Avisar por WhatsApp de que un encargo ha llegado es rápido, el cliente lo lee y te ahorra llamadas. Pero lo que envías desde una farmacia casi siempre dice algo sobre la salud de alguien, y eso cambia las reglas.
La buena noticia es que se puede hacer bien sin complicarse. Esto es lo que dicen la Agencia Española de Protección de Datos (AEPD) y la jurisprudencia, traducido al mostrador.
Por qué un encargo es un dato de salud
En octubre de 2024, el Tribunal de Justicia de la Unión Europea dejó claro en el caso Lindenapotheke (C-21/23) que los datos de quien encarga a una farmacia medicamentos de venta exclusiva en farmacia son datos de salud, aunque no necesiten receta y aunque sean para otra persona. Basta con que, relacionando datos, se pueda deducir algo sobre su salud.
La AEPD lo aplica igual. En una resolución de 2025 contra una farmacia lo resumió así: los datos sobre la dispensación de medicamentos o pañales por parte de una farmacia son datos de salud.
¿Y la parafarmacia? No es dato de salud de forma automática, pero un test de embarazo, unos absorbentes de incontinencia o un tratamiento capilar pueden revelarla. Lo prudente es tratar cualquier encargo como si lo fuera.
¿Puedo avisar por WhatsApp?
Sí. La Guía para profesionales del sector sanitario de la AEPD (2022, revisada en 2024) considera lícito usar el teléfono que te dio el paciente para avisarle o recordarle algo, sea cual sea la aplicación. Pero pone condiciones:
- El mensaje va solo al paciente, nunca a un grupo.
- Hay que ofrecer siempre otro medio de contacto a quien no quiera WhatsApp.
- Se revela la mínima información necesaria.
La misma guía advierte de que puede no ser aconsejable usar estos canales cuando hay datos sensibles. Traducido: el aviso sí, el detalle no.
Qué escribir y qué no
La regla es que el mensaje no diga qué es ni para qué es. Compara:
Hola, tu pedido ya está disponible en la farmacia. Pásate cuando quieras.
Hola María, ya ha llegado tu tratamiento para la tiroides. Son 18,40 €.
El primero cumple: avisa y no revela nada. El segundo nombra el producto, deja deducir una enfermedad y cualquiera que vea la pantalla de bloqueo del móvil se entera. Algunas pautas:
- No nombres el medicamento ni el producto. «Tu pedido» o «tu encargo» es suficiente.
- No menciones síntomas, enfermedades ni tratamientos.
- Si el encargo es para un familiar, no des más datos de los que ya sabe quién lo pidió.
- No envíes fotos de recetas, de cajas ni de la libreta.
- Nada de publicidad en el mismo canal sin un consentimiento aparte.
Pide permiso para el canal
Para guardar el encargo y avisar al cliente no hace falta su consentimiento: la base es el propio encargo que te pide, junto con la excepción de asistencia sanitaria para los datos de salud. Pero sobre el uso de WhatsApp como canal la doctrina está dividida, y las guías del sector recomiendan pedir permiso.
Lo prudente, y además lo más fácil, es preguntarlo al apuntar el teléfono:
¿Te aviso por WhatsApp a este número cuando llegue?
Y apuntar la respuesta. Si dice que no, llamada o SMS. Si en algún momento quieres mandar promociones, eso necesita otro consentimiento, separado y explícito.
WhatsApp Business, no el móvil personal
Aquí está el error más común: avisar desde el móvil personal del técnico o del titular. Ese WhatsApp no tiene ningún contrato con la farmacia para tratar datos, y los chats con pacientes se quedan en un teléfono privado.
WhatsApp Business, en cambio, actúa según sus condiciones como encargado del tratamiento de la empresa, y las transferencias a Estados Unidos se apoyan en el Marco de Privacidad de Datos UE-EE. UU., que el Tribunal General confirmó en septiembre de 2025 (hay un recurso pendiente ante el TJUE). Lo recomendable:
- Un teléfono y una cuenta de WhatsApp Business de la farmacia, no de una persona.
- Bloqueo con código y acceso solo para el equipo.
- Mencionar esa transferencia internacional en la información que das al cliente.
Informa al cliente
El RGPD obliga a informar cuando recoges datos. La ley española permite hacerlo por capas: una primera información básica y un sitio donde consultar el resto. En la farmacia funciona así:
- Un cartel visible en el mostrador con quién es el responsable, para qué se usan los datos y cómo ejercer los derechos, con copia completa disponible.
- Una frase al pedir el teléfono: «Lo usamos solo para avisarte de tu encargo».
- El registro de actividades de tratamiento al día: si tratas datos de salud, es obligatorio aunque seas una empresa pequeña.
¿Hace falta un delegado de protección de datos? Para una oficina de farmacia, en general no es obligatorio, aunque la norma no es del todo clara y depende del volumen. Tu colegio te puede orientar.
Lo que les ha costado a otras farmacias
No he encontrado ninguna sanción de la AEPD a una farmacia por usar WhatsApp. Pero en 2025 la Agencia sancionó a cuatro farmacias por cómo trataban los datos de sus clientes, y el patrón de importes es claro:
| Infracción | Importe habitual |
|---|---|
| No informar al cliente o fallos de seguridad | 3.000 € cada una |
| Tratar datos sin base legal | 5.000 € |
| Tratar datos de salud sin ninguna excepción que lo permita | 10.000 € |
En el caso más llamativo (PS-00187-2025), una farmacia guardaba en un Excel propio, en el escritorio de los ordenadores del mostrador y con una contraseña compartida, los datos de sus clientes con su medicación. La multa fue de 16.000 €, que quedaron en 9.600 € tras reconocer los hechos y pagar voluntariamente.
La lista para mañana
- Una cuenta de WhatsApp Business de la farmacia, en un dispositivo de la farmacia.
- Preguntar «¿te aviso por WhatsApp?» y apuntar la respuesta.
- Mensajes que avisan sin decir qué es.
- Cartel informativo en el mostrador.
- Registro de actividades actualizado con el canal de avisos.
- Nada de grupos, fotos ni móviles personales.
Este artículo es divulgativo y no sustituye el asesoramiento jurídico. Ante dudas sobre tu caso, consulta con tu colegio o con un especialista en protección de datos.
Fuentes
- TJUE, asunto C-21/23 Lindenapotheke, comunicado de prensa de 4/10/2024. curia.europa.eu
- AEPD. Guía para profesionales del sector sanitario. aepd.es
- AEPD. Resolución PS-00187-2025. aepd.es
- AEPD. Resolución PS-00177-2025. aepd.es
- AEPD. Resoluciones PS-00139-2025 y PS-00190-2025. aepd.es
- Ley Orgánica 3/2018 de Protección de Datos (LOPDGDD). boe.es
- WhatsApp Business Data Processing Terms. whatsapp.com