Πρόστιμο 33.000 ευρώ σε εταιρεία παροχής υπηρεσιών υγείας για διαβίβαση δεδομένων μέσω cookies

Διοικητικό πρόστιμο ύψους 33.000 ευρώ επέβαλε η φινλανδική αρχή προστασίας δεδομένων στην εταιρεία παροχής υπηρεσιών υγείας Mindemo Oy, για παραβάσεις της νομοθεσίας προστασίας δεδομένων που συνδέονταν με τη χρήση cookies και άλλων εργαλείων παρακολούθησης στην ηλεκτρονική υπηρεσία προγραμματισμού θεραπευτικών συνεδριών.

Σύμφωνα με την ανακοίνωση της αρχής της 8ης Οκτωβρίου 2026, η εταιρεία είχε ενσωματώσει στην υπηρεσία ηλεκτρονικών ραντεβού τεχνολογίες παρακολούθησης χωρίς προηγουμένως να έχει αξιολογήσει επαρκώς τους κινδύνους που συνεπαγόταν η χρήση τους και χωρίς να έχει εφαρμόσει τα κατάλληλα μέτρα προστασίας των δεδομένων των χρηστών.

Η λειτουργία των συγκεκριμένων εργαλείων είχε ως αποτέλεσμα τη διαβίβαση προσωπικών δεδομένων προς τη Google, τη Meta και τη Microsoft, οι οποίες παρείχαν τις αντίστοιχες υπηρεσίες παρακολούθησης και ανάλυσης της διαδικτυακής δραστηριότητας.

Διαβίβαση πληροφοριών σχετικών με την υγεία των χρηστών

Η έρευνα της φινλανδικής αρχής κατέδειξε ότι τα δεδομένα που διαβιβάζονταν στους τρίτους παρόχους δεν περιορίζονταν σε γενικές πληροφορίες σχετικά με την επισκεψιμότητα της ιστοσελίδας.

Αντιθέτως, η διαβίβαση περιλάμβανε πληροφορίες που σχετίζονταν άμεσα με τη χρήση υπηρεσιών ψυχοθεραπείας, όπως η έναρξη της διαδικασίας κράτησης ραντεβού, η επιβεβαίωσή του, το είδος της θεραπείας που είχε επιλέξει ο ενδιαφερόμενος και ο συγκεκριμένος θεραπευτής στον οποίο επιθυμούσε να απευθυνθεί.

Οι πληροφορίες αυτές δεν είχαν υποβληθεί σε επαρκή ανωνυμοποίηση ή ψευδωνυμοποίηση, ώστε να αποκλείεται η σύνδεσή τους με συγκεκριμένους χρήστες. Η ταυτοποίηση μπορούσε να πραγματοποιηθεί μέσω της συσχέτισης των διαβιβαζόμενων πληροφοριών με διευθύνσεις IP και άλλα τεχνικά δεδομένα.

Η αρχή διαπίστωσε ότι η παράνομη διαβίβαση των δεδομένων προς τους παρόχους υπηρεσιών παρακολούθησης είχε διαρκέσει τουλάχιστον ένα έτος.

Η αποδοχή των cookies δεν απέτρεψε την παράβαση

Στην υπό εξέταση υπόθεση, αξιοσημείωτο υπήρξε το γεγονός ότι η διαβίβαση των δεδομένων πραγματοποιείτο μόνο εφόσον ο χρήστης είχε προηγουμένως αποδεχθεί τα cookies. Όταν ο επισκέπτης της ιστοσελίδας δεν παρείχε τη σχετική αποδοχή, τα προσωπικά του δεδομένα δεν διαβιβάζονταν στους τρίτους παρόχους.

Παρά την ύπαρξη αυτού του μηχανισμού επιλογής, η φινλανδική αρχή διαπίστωσε παραβάσεις της νομοθεσίας προστασίας δεδομένων, οι οποίες συνδέονταν με την ανεπαρκή αξιολόγηση των τεχνολογιών παρακολούθησης και την απουσία κατάλληλων μέτρων ασφάλειας.

Η αναπληρώτρια Επίτροπος Προστασίας Δεδομένων υπογράμμισε ότι οι χρήστες μιας ηλεκτρονικής υπηρεσίας προγραμματισμού ιατρικών ραντεβού πρέπει να μπορούν να εμπιστεύονται ότι οι πληροφορίες τους παραμένουν ασφαλείς και δεν καταλήγουν σε τρίτους. Παράλληλα, επεσήμανε πως οι επιχειρήσεις οφείλουν να εξετάζουν προσεκτικά τις υπηρεσίες cookies και διαδικτυακής ανάλυσης που επιλέγουν να χρησιμοποιήσουν, καθώς και τους όρους που διέπουν τη λειτουργία τους. Κατά την ίδια, όσο μεγαλύτερη είναι η ευαισθησία των δεδομένων και οι κίνδυνοι που συνδέονται με την επεξεργασία τους, τόσο ισχυρότερα πρέπει να είναι τα μέτρα προστασίας, ενώ η επεξεργασία οφείλει να περιορίζεται στα αναγκαία δεδομένα.

Η απομάκρυνση των εργαλείων παρακολούθησης και οι διορθωτικές ενέργειες

Κατά τη διάρκεια της έρευνας της φινλανδικής Αρχής, η Mindemo Oy δήλωσε ότι είχε αφαιρέσει τις υπηρεσίες παρακολούθησης τόσο από το ηλεκτρονικό σύστημα προγραμματισμού ραντεβού όσο και από τις ιστοσελίδες της.

Η εταιρεία ενημέρωσε επίσης την αρχή ότι είχε απευθυνθεί στους παρόχους των συγκεκριμένων υπηρεσιών, ζητώντας τη διαγραφή των προσωπικών δεδομένων που είχαν συλλεχθεί μέσω των εργαλείων παρακολούθησης.

Η εκπρόσωπος της φινλανδικής αρχής αναφέρθηκε θετικά στην αντίδραση της εταιρείας, επισημαίνοντας ότι οι υπεύθυνοι επεξεργασίας που διαπιστώνουν παραβάσεις της νομοθεσίας οφείλουν να λαμβάνουν άμεσα μέτρα για τον περιορισμό των ενδεχόμενων επιπτώσεων στα επηρεαζόμενα πρόσωπα.

Παρ’ όλα αυτά, στην εταιρεία επιβλήθηκε διοικητικό πρόστιμο 33.000 ευρώ και απηύθυνε σύσταση για τις πλημμέλειες στην ασφαλή επεξεργασία των προσωπικών δεδομένων.