La collecte de données à caractère personnel issues de sites internet, sans que cette collecte puisse être justifiée par un usage de ces données, constitue un traitement dépourvu de finalités, en violation de l’article 5 § 1, b) du RGPD.

L'article 8, paragraphe 1, de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et l'article 9, paragraphe 1, du règlement 2016/679, doivent être interprétés en ce sens que dans la situation où l'exploitant d'une pharmacie commercialise, par le biais d'une plateforme en ligne, des médicaments dont la vente est réservée aux pharmacies, les informations que les clients de cet exploitant saisissent lors de la commande en ligne des médicaments, telles que leur nom, l'adresse de livraison et les éléments nécessaires à l'individualisation des médicaments, constituent des données concernant la santé, au sens de ces dispositions, même lorsque la vente de ces médicaments n'est pas soumise à prescription médicale.