Fiński organ ochrony danych osobowych nałożył na Yliopiston Apteekki karę administracyjną w wysokości 1,1 miliona euro. Powodem były uchybienia w zabezpieczeniu danych i nieprawidłowości związane ze stosowaniem narzędzi analitycznych oraz technologii śledzących w sklepie internetowym apteki. W toku sprawy stwierdzono, że dane dotyczące korzystania z serwisu przez klientów były przekazywane do firm świadczących usługi śledzenia.
Jak zaczęło się postępowanie?
Data Protection Ombudsman wszczął dochodzenie po zgłoszeniu, które wyszło od doktoranta z Uniwersytetu w Turku. W ramach prac nad internetowymi usługami zdrowotnymi badacz przeanalizował ruch sieciowy i wykrył nieprawidłowości dotyczące ochrony danych w fińskich aptekach internetowych. Organ prowadził także lub prowadzi równoległe postępowania wobec innych aptek.
Co wykryto w sklepie internetowym apteki?
Yliopiston Apteekki wykorzystywała pliki cookie i inne technologie śledzące w sposób, który prowadził do przekazywania danych o interakcjach użytkowników do podmiotów trzecich. W szczególności dane trafiały do dostawców takich usług jak Google i Meta.
W praktyce dostawcy otrzymywali informacje m.in. o tym, kiedy klient dodawał produkty do koszyka lub klikał przycisk zakupu. Przekazywane dane obejmowały także adresy IP oraz inne identyfikatory, które – w określonych warunkach – mogły umożliwić jednoznaczną identyfikację osoby. Jeśli użytkownik był w danym momencie zalogowany na koncie Google lub Facebook, Google i Meta mogły go zidentyfikować bezpośrednio.
Jaką decyzję podjął organ?
W ocenie fińskiego organu apteka naruszyła przepisy RODO, w tym art. 32 oraz art. 5 ust. 1 lit. f. W konsekwencji nałożono karę w wysokości 1,1 miliona euro.
Dodatkowo organ wydał ostrzeżenie, uznając, że apteka nie zapewniała odpowiedniego poziomu bezpieczeństwa dla danych osobowych generowanych i gromadzonych w związku z korzystaniem z jej sklepu internetowego.
Za jaki okres dotyczyły zarzuty?
Postępowanie obejmowało praktyki stosowane od maja 2018 r. do września 2022 r. Firma poinformowała, że zaprzestała korzystania z technologii śledzących Google i Meta we wrześniu 2022 r. Organ jednocześnie przekazał wskazówki dotyczące pozostałych technologii śledzących, które apteka nadal wykorzystywała.
