Hace unos días recibí una llamada de un abogado catalán que me dijo que cómo iba a yo a considerar responsable del tratamiento a un centro de monjitas de Cataluña obligándoles a realizar una “cesión” de datos personales de sus pacientes a una farmacia para recibir el Servicio Personalizado de Dosificación (en adelante SPD). A esto no contestaremos, ya que de lo que se trata es de identificar el rol, ya sea para una tienda de zapatos, o un centro sociosanitario de mayor o menor tamaño, aspectos que resultan irrelevantes. Así mismo indicó este profesional, que la Farmacia no se convierte en responsable por tener obligaciones (dígase recogida de consentimientos e información) desde el punto de vista de la normativa sanitaria.
En definitiva, se trata de una cuestión compleja que no está regulada, y no nos constan hasta el momento resoluciones de Autoridades de Control o de Consejerías de Sanidad que aclaren estos criterios de manera particular. Al hilo de anterior cabe aclarar que este es un artículo de opinión, que muestra la interpretación de las diferentes normativas que regulan aspectos relacionados y está escrito desde el respeto a los profesionales que muestran una postura contraria.
En este análisis no nos basamos (solamente) en la normativa farmacéutica que regula las obligaciones de la farmacia en el SPD, las que, sin duda, son una herramienta válida para esclarecer los conceptos y definir los roles.
Ahí vamos:
🧩 ANÁLISIS JURÍDICO
1. 🔎 Criterio del RGPD y la LOPDGDD sobre el concepto de responsable
El art. 4.7 RGPD define al responsable del tratamiento como quien determina los fines y medios del tratamiento.
El encargado (art. 4.8 RGPD), por su parte, actúa por cuenta del responsable y siguiendo sus instrucciones.
📌 La LOPDGDD (art. 28 y ss.) confirma y matiza esta distinción, subrayando que el encargado no puede usar los datos para fines propios, y que debe existir un contrato que regule la relación.
➡️ Con estas definiciones salta a la vista, para quien conoce la normativa farmacéutica, que en el SPD, la farmacia define los fines (decide sobre la inclusión del paciente en el servicio, prepara la medicación, recoger los datos, tiene obligación directa-no derivada de contrato o instrucciones- de informar sobre el tratamiento), y decide los medios (formato, software, materiales, mecanismos de control).
2. 📜 Real Decreto de Cataluña sobre el SPD
Este decreto, que es de los pocos que regulan el servicio de SPD, establece, entre otros aspectos, que:
- La farmacia asume funciones asistenciales, no logísticas.
- El titular de la farmacia es responsable de la preparación del SPD, incluyendo análisis de requisitos para decidir si admite al paciente, los controles de calidad, validación farmacéutica, bloqueo de la dispensación, etc.
- Se requiere registro de datos clínicos, seguimiento del tratamiento y contacto con profesionales sanitarios.
➡️ Ninguna de estas obligaciones legales derivan, ni pueden derivar, de instrucciones de una Residencia de Mayores o Centro Sociosanitario.
➡️ Todo esto encaja claramente en la figura de responsable del tratamiento, no del encargado. La farmacia no ejecuta meras instrucciones, sino que actúa con independencia profesional y según su propio juicio técnico-sanitario, no solamente en el ámbito farmacéutico sino también en el tratamiento de datos derivado del SPD.
3. 🧠 Dictamen WP249 y otros dictámenes del Grupo de Trabajo del Art. 29
Aunque el Grupo de Trabajo del art. 29 en este dictamen se centra en el ámbito laboral, sus fundamentos sobre la determinación del responsable vs. encargado son plenamente aplicables, en particular:
«El responsable es quien tiene el control y decide sobre el ‘por qué’ y el ‘cómo’ del tratamiento. No basta con que alguien trate datos para otra entidad para ser encargado, si tiene poder decisorio relevante» (WP249, p. 6-7).
Además, el Dictamen 1/2010 del GT29 sobre los conceptos de responsable y encargado deja claro que: «Un profesional sanitario que, dentro de su autonomía técnica y profesional, decide el tratamiento más adecuado para un paciente y lo administra, es responsable del tratamiento, incluso si actúa dentro de una organización (p. ej. hospital o residencia)».
4. ⚖️ Aplicación al caso del SPD para pacientes institucionalizados
Aunque el personal de la residencia pueda prescribir la medicación al paciente, y decidir qué farmacia prestará el SPD a sus pacientes (con ciertas limitaciones geográficas según la regulación autonómica) el tratamiento de datos personales para preparar el SPD, lo realiza la farmacia en ejercicio de su actividad profesional autónoma. Así también decide la farmacia si trata o no los datos, cuándo, cómo, para qué. Y por último es la farmacia quien tiene la obligación legal de recabar consentimientos farmacéuticos y para el tratamiento de datos, y en ninguna de las obligaciones anteriores puede seguir instrucciones de nadie.
📌 Por tanto:
- La residencia es responsable del tratamiento que hace para la atención global al residente.
- La farmacia es responsable del tratamiento de los datos que usa para prestar el SPD, porque:
- Debe recabar un consentimiento directo otorgado por el paciente o su representante para tratar los datos personales.
- Decide si trata o no los datos, valorando si el paciente es idóneo.
- Decide qué datos usar, cómo usarlos, cómo conservarlos, cuánto tiempo tratarlos.
- Tiene obligaciones legales específicas como establecimiento sanitario.
- Utiliza sus propios medios y criterios técnicos,
- No sigue instrucciones de la residencia.
📚 CONCLUSIÓN
La farmacia actúa como responsable del tratamiento de los datos personales cuando presta el servicio SPD a pacientes de residencias. No es una mera ejecutora de instrucciones de la residencia, sino que actúa con autonomía técnica, legal y profesional en un servicio sanitario regulado, siendo ella la que determina los fines y medios del tratamiento de los datos personales.
Este estudio ha tenido en cuenta, fundamentalmente, los siguientes preceptos:
- Artículos 4.7, 28 y ss. del RGPD.
- Art. 4 y 5 LOPDGDD.
- Real Decreto autonómico 15/2025 sobre SPD en Cataluña.
- Dictamen 1/2010 del Grupo de Trabajo del Art. 29.
- Doctrina consolidada del GT29 (incluido el WP249) sobre el criterio funcional y no formalista en la determinación del responsable del tratamiento.
