Tu farmacia: qué te exige la AEPD y qué no, con su artículo.
Dispensación con base jurídica clara, SEVeM operado sin enriquecer el repositorio con datos del paciente, SPD a residencias con consentimiento individual acreditado y contrato escrito, sin Excel paralelos al sistema oficial de receta, videovigilancia con cámaras que no graban la pantalla del ordenador. Razonamiento auditable sobre los criterios AEPD para farmacias, RDLeg 1/2015 garantías y uso racional, SEVeM Reglamento (UE) 2016/161 y la doctrina sancionadora real.
- 3 preguntas
- sin registro
- sin tarjeta
Situación por situación, con la norma que la impone.
Esto es lo propio del sector. Lo que te toca por tu tamaño o por lo que haces (web, cámaras, datos de salud…) lo ves en «¿Qué me aplica?», con este sector ya marcado.
-
Situación 01
SPD para residencia geriátrica sin contrato escrito ni consentimiento individual
Qué puede costar si se incumplePS/00139/2025: 13.000 € (7.800 € tras las reducciones por reconocimiento de responsabilidad y pago voluntario).
- El problema
- La residencia del barrio nos pide preparar SPD semanales para 25 residentes. El director firma un acuerdo verbal y nos pasa la lista de medicación. No hay contrato escrito y no tenemos consentimiento individual de cada residente. ¿Podemos empezar?
- Qué exige la normativa
- RGPD Art. 9 (categoría especial · datos de salud) · Art. 6.1.b ejecución de contrato · Art. 9.2.h asistencia sanitaria · información Art. 14 RGPD (los datos llegan a través de la residencia). La farmacia ES RESPONSABLE del tratamiento de los datos de los residentes (no encargada de la residencia). La AEPD sancionó un supuesto parecido (PS/00139/2025): SPD y pañales para residentes sin base jurídica ni información a los afectados.
- Cómo lo resuelve AIM ÆGIS
- El agente te dice que NO empieces sin contrato escrito + consentimiento individual de cada residente o de su representante legal acreditado. Te facilita el modelo de consentimiento individual con su registro y la cláusula informativa del Art. 14. Te recuerda que la facturación a la residencia no sustituye al consentimiento del titular.
-
Situación 02
Excel paralelo con datos de pacientes
Qué puede costar si se incumpleCaso real documentado (PS/00187/2025): 16.000 €, 9.600 € tras las reducciones, por un Excel paralelo entre 2018 y 2024.
- El problema
- Llevamos años manteniendo un Excel donde anotamos las incidencias de receta que enviamos al centro de salud por email, con nombres de los pacientes. Está en el escritorio del ordenador del mostrador. ¿Es un problema?
- Qué exige la normativa
- Art. 5.1.c minimización · Art. 5.1.f integridad y confidencialidad · Art. 6 base jurídica · Art. 13 información al interesado. Tratamiento adicional al sistema oficial requiere base jurídica propia.
- Cómo lo resuelve AIM ÆGIS
- El agente identifica que es exactamente el caso AEPD del Excel paralelo (PS/00187/2025: 16.000 €, que quedaron en 9.600 € tras las reducciones, por un Excel mantenido entre 2018 y 2024). Te indica: (1) eliminar el Excel inmediatamente; (2) si necesitas rastrear incidencias usa el propio sistema oficial o un log cifrado y separado; (3) revisar todos los escritorios de ordenadores en la oficina; (4) política escrita de prohibición de archivos paralelos.
-
Situación 03
Software de gestión farmacéutica sin contrato Art. 28
Qué puede costar si se incumpleMulta AEPD potencial hasta 10M € o 2% facturación · Art. 83.4.a RGPD.
- El problema
- Usamos NixFarma (o Farmatic, Bitfarma, Unycop) desde hace 10 años sin haber firmado nunca contrato con el proveedor. El soporte técnico accede regularmente a nuestros datos. ¿Es un problema serio?
- Qué exige la normativa
- Art. 28 RGPD · contrato escrito entre responsable y encargado con todos los elementos del Art. 28.3. Tratándose de datos de salud Art. 9 las medidas técnicas deben ser reforzadas.
- Cómo lo resuelve AIM ÆGIS
- El agente te facilita el modelo DPA específico para software farmacéutico, te indica los proveedores típicos del sector (NixFarma, Farmatic, Bitfarma, Unycop) con sus DPA estándar conocidos, verifica si los servidores están en UE o requieren SCC, y te ayuda a registrar el encargado en el RAT.
-
Situación 04
Cámara de seguridad grabando la pantalla del ordenador
Qué puede costar si se incumplePedir o tratar datos de más es infracción del art. 5.1.c RGPD (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor); caso real: 1.000 € a una farmacia cuyas cámaras grababan la calle y las conversaciones con los clientes (PS/00512/2022)
- El problema
- Tenemos cámaras de seguridad en la zona pública. Una de ellas captura desde un ángulo donde se ve la pantalla del ordenador del farmacéutico, donde aparecen los datos de los pacientes que atendemos.
- Qué exige la normativa
- Art. 5.1.c minimización · Art. 6.1.f interés legítimo limitado a finalidad de seguridad · Art. 22 LOPDGDD. Capturar datos Art. 9 incidentalmente excede la finalidad.
- Cómo lo resuelve AIM ÆGIS
- El agente te indica: (1) reorientar la cámara para que NO capture la pantalla; (2) si no es viable, biombo o reubicar; (3) eliminar las grabaciones previas que contengan la pantalla; (4) actualizar la política de videovigilancia; (5) si la grabación captura audio, eliminar también el audio (NO grabar audio en zona de atención).
-
Situación 05
Programa de fidelización con datos de medicamentos
Qué puede costar si se incumpleTratar datos de salud sin una excepción del art. 9.2 RGPD es infracción del art. 9 (art. 83.5 RGPD: hasta 20 M€ o el 4 % del volumen de negocio anual, si es mayor); caso real: 10.000 € de los 16.000 € del PS/00187/2025 fueron por el art. 9
- El problema
- Queremos lanzar un programa de fidelización con descuentos personalizados basados en lo que compra cada cliente. Incluye también medicamentos con receta. ¿Podemos?
- Qué exige la normativa
- Art. 7 RGPD consentimiento granular específico para fidelización · NO puede embebido en el contrato general. Art. 22 derecho a no ser sometido a decisiones individuales automatizadas.
- Cómo lo resuelve AIM ÆGIS
- El agente te lo desglosa: (1) usar datos de dispensación con receta para perfilado comercial requiere consentimiento granular EXPLÍCITO; (2) ese consentimiento es revocable y raramente lo dan los pacientes; (3) la solución viable: fidelización basada SOLO en OTC y parafarmacia (no en medicamentos con receta), con consentimiento separado; (4) plantilla de consentimiento granular para fidelización + política de privacidad específica del programa.
-
Situación 06
Brecha por extravío de USB con backup de 5 años
Qué puede costar si se incumpleNo notificar a tiempo es infracción del art. 33 RGPD (art. 83.4); caso real de documentos de pacientes perdidos de vista: 10.000 € a una farmacia por tirarlos a un contenedor (PS/00538/2022)
- El problema
- La titular hace cada viernes copia de seguridad en pen drive USB que se lleva al banco. Un viernes el USB se extravía. Contiene historial de dispensación de 3.500 pacientes con datos Art. 9.
- Qué exige la normativa
- Art. 33 RGPD notificación en 72h · Art. 34 RGPD comunicación a interesados si hay alto riesgo: con datos de salud sin cifrar suele haberlo, pero se valora y documenta caso por caso, y no hace falta si estaban cifrados de forma robusta (Art. 34.3.a).
- Cómo lo resuelve AIM ÆGIS
- El agente te indica usar la herramienta /herramientas/brecha/ de ÆGIS para evaluar formalmente. Si el USB no estaba cifrado, riesgo alto → notificar AEPD + comunicar a los 3.500 pacientes (Art. 34). Si estaba cifrado fuerte, Art. 34.3.a permite no comunicar a interesados. Recomienda migrar a backup en nube cifrada.
Los marcos del catálogo que cubren este sector, con su referencia oficial. Cada uno explica a quién obliga y desde cuándo.
Lo que puede costar no hacerlo.
Cinco procedimientos de la AEPD contra farmacias, cada uno con su resolución: SPD y dispensación sin base jurídica, un Excel paralelo con la medicación de los pacientes, documentos en la basura y cámaras que graban la calle y el sonido
SPD y pañales a residentes: 13.000 € (7.800 € tras reducciones, PS/00139/2025) · Excel paralelo: 16.000 € (9.600 € tras reducciones, PS/00187/2025) · SPD, dispensación y cesiones sin base: 21.000 € (PS/00197/2025) · documentos en un contenedor: 10.000 € (PS/00538/2022) · cámaras con sonido: 1.000 €, 600 € pagados (PS/00512/2022)
-
PS/00139/2025
13.000 €Importe que cita el caso
Caso real (PS/00139/2025): la AEPD sancionó a la titular de una farmacia que preparaba SPD y dispensaba pañales a residentes de centros geriátricos sin base jurídica ni consentimiento de los afectados y sin informarles: dos infracciones del art. 6.1 RGPD y una del art. 14. Multa total de 13.000 €, que quedó en 7.800 € tras las reducciones por reconocimiento de responsabilidad y pago voluntario. También le ordenó adoptar medidas en tres meses.
CausaTratamiento sin base jurídica (Art. 6.1 RGPD) + falta de información (Art. 14 RGPD)
-
PS/00187/2025
16.000 €Importe que cita el caso
Una farmacia de Castilla y León fue sancionada (PS/00187/2025) por anotar en hojas Excel, entre 2018 y 2024, datos de pacientes y de su medicación al pasar la tarjeta sanitaria: infracciones de los arts. 9 (10.000 €), 13 (3.000 €) y 32 RGPD (3.000 €). Total 16.000 €, que quedó en 9.600 € por reconocimiento de responsabilidad y pago voluntario.
CausaDatos de salud sin base (Art. 9) + falta de información (Art. 13) + falta de seguridad (Art. 32)
-
PS/00197/2025 · SPD y dispensación sin base
21.000 €Importe que cita el caso
La titular de una farmacia de Cataluña preparaba sistemas personalizados de dosificación sin el consentimiento de los pacientes, dispensaba medicación sin base jurídica, cedía datos a terceros no autorizados, no informaba y no tenía medidas de seguridad adecuadas. La AEPD le impuso 21.000 €: tres multas de 5.000 € por el art. 6 RGPD, 3.000 € por el art. 14 y 3.000 € por el art. 32.
CausaSPD, dispensación y cesiones sin base jurídica, sin información ni seguridad (arts. 6, 14 y 32 RGPD)
-
PS/00538/2022 · documentos en la basura
10.000 €Importe que cita el caso
Un vecino encontró, una y otra vez, gran cantidad de documentación sanitaria con datos personales de una farmacia en un contenedor público de basura. La AEPD impuso a su titular 4.000 € por falta de medidas de seguridad (art. 32 RGPD) y 6.000 € por vulnerar la confidencialidad (art. 5.1.f), y le ordenó adecuar su actuación.
CausaDocumentos con datos de salud tirados a un contenedor (arts. 5.1.f y 32 RGPD)
-
PS/00512/2022 · Farmacia Mercado Central de San Fernando
1.000 €Importe que cita el caso
Las cámaras de una farmacia (Farmacia Mercado Central de San Fernando, C.B.) captaban la vía pública y grababan el sonido de las conversaciones con los clientes, según la reclamación de una empleada. La AEPD le abrió procedimiento por el art. 5.1.c RGPD con una multa de 1.000 €; pagó 600 € el 20/12/2022 con las dos reducciones.
CausaCámaras que graban la calle y el sonido (art. 5.1.c RGPD)
8 documentos, cada uno con su base legal.
Se generan a partir del caso de cada empresa: documentos editables para que los revises, con la norma que cumplen a la vista.
-
RAT farmacia · Art. 30 RGPD
Registro de Actividades de Tratamiento con 11 tratamientos típicos pre-cargados: dispensación con receta, medicación crónica, SPD residencias, estupefacientes/psicotrópicos, videovigilancia, fidelización, cesiones CCAA, RRHH, brechas.
Base legal: Art. 30 RGPD · obligatorio para todas las farmaciasPDF + Word editable -
Contrato Art. 28 RGPD con software de gestión farmacéutica
Modelo DPA específico para proveedores tipo NixFarma, Farmatic, Bitfarma, Unycop. Incluye seguridad Art. 32 reforzada para datos Art. 9, sub-encargados, ubicación de servidores y SCC si extracomunitario.
Base legal: Art. 28 RGPD · contrato escrito con encargadosPDF + Word editable -
Contrato Art. 28 + consentimiento individual para SPD residencia
Modelo completo para dispensación SPD a residencias: contrato escrito farmacia-residencia que regula responsabilidades + formulario de consentimiento informado individual para cada residente o representante legal + cláusula informativa Art. 13.
Base legal: Art. 9.2.h + Art. 7 + Art. 13 RGPD + RDLeg 1/2015PDF + Word editable -
Protocolo de videovigilancia en oficina de farmacia
Política completa: zona pública con interés legítimo, zona técnica con consentimiento, zona de psicotrópicos con custody obligatoria. Reglas: NO grabar pantalla del ordenador, NO audio, conservación de un mes como máximo, cartel Art. 13.
Base legal: Art. 22 LOPDGDD + Art. 6.1.f RGPDPDF + Word editable -
Consentimiento granular para programa de fidelización
Formulario separado del contrato esencial: consentimiento explícito y granular para fidelización (OTC y parafarmacia exclusivamente, NO medicamentos con receta), comunicaciones promocionales, perfilado limitado. Revocable por escrito.
Base legal: Art. 7 + Art. 6.1.a RGPD + Art. 6 LOPDGDDPDF + Word editable -
Protocolo de brecha de seguridad · 72h
Workflow paso a paso adaptado a farmacia: registro hora, valoración del riesgo caso por caso (con datos de salud sin cifrar suele ser alto), formulario de notificación de brechas de la sede electrónica de la AEPD, comunicación a pacientes, comunicación al Colegio Oficial y CCAA si aplica.
Base legal: Art. 33 + Art. 34 RGPDPDF + Word editable -
Política interna · prohibición de archivos paralelos
Política escrita firmada por todo el personal: prohibición expresa de mantener Excel, libretas, agendas o archivos paralelos al sistema oficial de receta electrónica con datos de pacientes. Sanciones internas disciplinarias.
Base legal: Art. 5.1.c minimización + Art. 32 medidas técnicasPDF + Word editable -
Checklist resolución de incidencias de receta
Procedimiento correcto para resolver errores de receta electrónica: 1) rechazo en sistema oficial; 2) llamada telefónica si urgente; 3) email cifrado a dirección corporativa SOLO si imprescindible; 4) prohibido conservar copia paralela; 5) registro en el sistema, no en libreta.
Base legal: Criterios AEPD investigación 2024 Sacyl + minimizaciónPDF + Word editable
¿Llevas clientes de este sector? Ofréceselo con tu marca.
Cada cliente del sector ve qué le obliga y por qué, con su artículo; tú revisas lo que exige criterio profesional y lo facturas como servicio tuyo. Te enseñamos cómo, sin compromiso.
~22.000 oficinas de farmacia en España.
Lo que te toca a ti, en tres preguntas.
Tu sector ya viene marcado: di cuántas personas sois y qué haces, y verás cada obligación con su porqué y su norma.
- 3 preguntas
- sin registro
- sin tarjeta