El informe jurídico de la Agencia Española de Protección de Datos (AEPD) analiza el Proyecto de Real Decreto que regula la fabricación, presentación y comercialización de productos del tabaco y relacionados, con el objetivo de transponer la Directiva 2014/40/UE. Este proyecto incorpora medidas para proteger la salud pública, especialmente la de los jóvenes, y cumple con las obligaciones del Convenio Marco de la OMS para el Control del Tabaco.
El informe destaca que el Proyecto no incluye ciertas normas de la Directiva que requieren desarrollo mediante una ley, como las relativas a las ventas a distancia transfronterizas y la trazabilidad. Esto es relevante porque estas normas tienen un impacto significativo en la protección de datos personales, especialmente en lo que respecta al tratamiento de datos por parte de los establecimientos minoristas.
El artículo 18 de la Directiva, que no se transpone en el Proyecto, establece que los minoristas deben tratar los datos personales de los consumidores de manera conforme a la normativa de protección de datos y no pueden comunicarlos a terceros. Además, se menciona la necesidad de sistemas de verificación de edad para evitar la compra por menores, lo cual implica el tratamiento de datos personales.
El Proyecto también crea registros administrativos para la identificación de responsables de la comercialización de dispositivos de liberación de nicotina y productos a base de hierbas para fumar. Estos registros están amparados por la Directiva y la Ley Orgánica de Protección de Datos.
En cuanto al régimen de vigilancia de reacciones adversas, el artículo 28 del Proyecto obliga a fabricantes, importadores y distribuidores a establecer procedimientos de vigilancia y comunicación de efectos adversos. Sin embargo, el informe advierte que esto podría implicar el tratamiento de datos personales relacionados con la salud, lo cual requiere el consentimiento de los afectados o una norma con rango de ley.
El informe concluye que, aunque el Proyecto cumple con la Directiva y la normativa de protección de datos en gran medida, es necesario aclarar que el seguimiento de reacciones adversas no debe implicar el tratamiento de datos personales por parte de los fabricantes, importadores y distribuidores, salvo que se establezca expresamente en una ley. Además, se recomienda revisar la inclusión de conceptos que no se regulan en el Proyecto para evitar incertidumbres.