Apoteket AB och Apohem har använt den så kallade Meta-pixeln på sina webbplatser och överfört integritetskänsliga personuppgifter till Meta.
Det konstaterar Integritetsskyddsmyndigheten, IMY, som beslutar om sanktionsavgifter på 37 miljoner kronor mot Apoteket AB och 8 miljoner mot Apohem AB.
IMY hänvisar i sitt beslut att det finns en skyldighet att anmäla vissa personuppgiftsincidenter till myndigheten, enligt dataskyddsförordningen, GDPR. IMY har tagit emot sådana anmälningar från Apoteket och Apohem om att respektive bolag under en längre tid fört över fler personuppgifter än avsett till Meta.
Apoteket och Apohem har använt sig av Metas analysverktyg Meta-pixel på sina webbplatser för att förbättra sin marknadsföring på Facebook och Instagram. Den felaktiga överföringen av personuppgifter har orsakats av att bolagen aktiverat en ny delfunktion i Meta-pixeln.
Saknat rutiner som krävs
”Genom att aktivera delfunktionen har bolagen fört över integritetskänsliga personuppgifter till Meta om ett stort antal kunder. Bolagen har bland annat fört över uppgifter om köp av receptfria läkemedel för behandling av exempelvis specifika hälsobesvär, självtester och behandling av könssjukdomar och sexleksaker. Överföringen har inte omfattat receptbelagda mediciner”, framgår det av besluten.
– Behandling av den här typen av integritetskänsliga personuppgifter innebär höga risker som medför krav på hög skyddsnivå. Bolagen har haft en skyldighet att vidta lämpliga åtgärder för att skydda uppgifterna från att exempelvis delas med obehöriga, säger Shirin Daneshgari Nejad, jurist på IMY.
IMY uppger att myndighetens granskning visar att bolagen inte har haft de rutiner som krävts för att själva upptäcka bristerna. Överföringen av personuppgifterna har därför pågått under en längre tid och stoppats först efter att bolagen fått kännedom om händelsen av utomstående. Det säger Maja Welander, jurist på IMY.
Brutit mot GDPR
Enligt IMY har bolagen brutit mot dataskyddsförordningen, GDPR, genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för sina kunders personuppgifter.
Bristerna gör att IMY beslutar om sanktionsavgifter på 37 miljoner kronor mot Apoteket och 8 miljoner mot Apohem.
IMY uppger att bolagen har efter att de upptäckte den felaktiga överföringen av uppgifter till Meta utvecklat sina interna rutiner för att säkerställa en korrekt och säker behandling av personuppgifter. Incidenterna anmäldes till IMY 2022.
