Mindemo Oy:lle 33 000 euron seuraamusmaksu terveystietojen välittämisestä eteenpäin
Tietosuojavaltuutetun toimisto on määrännyt terveyspalveluyritys Mindemo Oy:lle 33 000 euron seuraamusmaksun tietosuojalainsäädännön vastaisesta toiminnasta. Yrityksen verkkoajanvarauspalvelu välitti käyttäjien arkaluonteisia terveystietoja ulkopuolisille teknologiajäteille evästeiden ja seurantatyökalujen kautta.
Tietosuojavaltuutetun toimiston seuraamuskollegio katsoi ratkaisussaan, että yritys oli ottanut käyttöön evästeitä ja muita seurantatyökaluja ilman riittävää arviointia ja suojatoimenpiteitä. Käytäntö jatkui vähintään vuoden ajan. Tietoja välitettiin eteenpäin tilanteissa, joissa käyttäjä oli hyväksynyt sivuston evästeet.
Seurantapalvelujen tarjoajille, kuten Googlelle, Metalle ja Microsoftille, välittyi tietoja muun muassa ajanvarauksen aloittamisesta, valitusta terapiamuodosta ja terapeutista. Tiedotteen mukaan tietoja ei ollut anonymisoitu tai pseudonymisoitu tavalla, joka olisi estänyt niiden yhdistämisen käyttäjään esimerkiksi IP-osoitteen perusteella.
Apulaistietosuojavaltuutettu Heljä-Tuulia Pihamaa korostaa, että terveydenhuollon palveluissa käyttäjän on voitava luottaa tietojen turvallisuuteen. Pihamaan mukaan yritysten on suunniteltava huolellisesti analytiikkapalveluiden käyttö ja tutustuttava niiden ehtoihin, erityisesti kun käsitellään arkaluonteisia terveystietoja.
Mindemo Oy on ilmoittanut poistaneensa seurantapalvelut ajanvarauksestaan ja verkkosivuiltaan selvityksen aikana. Yhtiö on myös pyytänyt teknologiajätteitä poistamaan kerätyt tiedot. Viranomainen otti huomioon yrityksen ripeät korjaustoimenpiteet asian arvioinnissa.
Päätös 33 000 euron seuraamusmaksusta ja huomautuksesta ei ole vielä lainvoimainen. Yhtiöllä on oikeus valittaa päätöksestä hallinto-oikeuteen. Mindemo Oy toimi aiemmin nimellä Heltti Oy.