Påföljdsavgift till Mindemo Oy för dataskyddsbrister i webbkakor

Påföljdsavgift till Mindemo Oy för dataskyddsbrister i webbkakor

Påföljdskollegiet vid dataombudsmannens byrå har påfört Mindemo Oy, som tillhandahåller hälsovårdstjänster, en administrativ påföljdsavgift på 33 000 euro. Företaget verkade tidigare under namnet Heltti Oy. Företaget hade tagit i bruk kakor och andra spårningsverktyg i sin webbtjänst för tidsbokning utan tillräcklig bedömning och tillräckliga skyddsåtgärder.

Användaruppgifter förmedlades till Google, Meta och Microsoft via företagets tidsbokningstjänst för terapi, om användarna hade godkänt kakorna. Om användaren inte hade godkänt kakorna förmedlades uppgifterna inte vidare.

Användarnas uppgifter förmedlades i strid med dataskyddslagstiftningen till leverantörer av spårningstjänster under minst ett år. Tjänsteleverantörerna tog emot hälsouppgifter om bland annat påbörjandet och bekräftandet av en tidsbokning samt valet av terapiform och terapeut.

Uppgifterna hade inte anonymiserats eller pseudonymiserats på ett sådant sätt att de inte kunde kopplas till en användare. Det var möjligt att koppla uppgifterna till användarna exempelvis med hjälp av IP-adresser och andra tekniska uppgifter.

"Den som använder en tidsbokningstjänst inom hälso- och sjukvården måste kunna lita på att uppgifterna förvaras säkert och inte hamnar hos utomstående i någon form. Det är viktigt att företagen noggrant planerar vilka kakor och analystjänster de tar i bruk och sätter sig in i villkoren för tjänsterna", säger biträdande data­skyddsombud Heljä-Tuulia Pihamaa.

"Ju känsligare uppgifterna är och ju större risker som är förknippade med dem, desto bättre måste de skyddas. Behandlingen av personuppgifter ska begränsas till endast det som är nödvändigt", påminner Pihamaa.

Mindemo påfördes en påföljdsavgift och fick en anmärkning för brister i säkerheten vid behandlingen av personuppgifter. Företaget har uppgett att det har tagit bort spårningstjänsterna från sin tidsbokningstjänst och webbplats under den utredning som gjordes av dataskyddsombudets byrå. Företaget har också bett leverantörerna av spårningstjänster att radera de insamlade uppgifterna.

"När ett företag upptäcker lagstridigheter i sin verksamhet är det viktigt att snabbt vidta åtgärder för att begränsa de skador som användarna kan drabbas av, vilket företaget också gjorde i det här fallet", säger Pihamaa.

Beslutet har ännu inte vunnit laga kraft och kan överklagas hos förvaltningsdomstolen.

Mer information:

Besluten av biträdande data­skyddsombudet och dataskyddsombudets påföljdskollegium (TSV/303/2022) i Finlex på finska

Biträdande dataombudsman Heljä-Tuulia Pihamaa, tfn 029 566 67 87, helja-tuulia.pihamaa(at)om.fi