Mindemo Oy:lle seuraamusmaksu verkkosivuevästeiden tietosuojapuutteista

Tietosuojavaltuutetun toimiston seuraamuskollegio on määrännyt terveyspalveluja tarjoavalle Mindemo Oy:lle 33 000 euron hallinnollisen seuraamusmaksun. Yritys toimi aiemmin nimellä Heltti Oy. Yritys oli ottanut verkkoajanvarauspalvelussaan käyttöön evästeitä ja muita seurantatyökaluja ilman riittävää arviointia ja suojatoimenpiteitä.

Yrityksen terapia-ajanvarauspalvelun kautta oli välitetty käyttäjien tietoja Googlelle, Metalle ja Microsoftille, jos he olivat hyväksyneet evästeet. Jos käyttäjä ei ollut hyväksynyt evästeitä, hänen tietojaan ei välitetty eteenpäin. 

Käyttäjien tietoja välitettiin seurantapalvelujen tarjoajille tietosuojalainsäädännön vastaisesti vähintään vuoden ajan. Palveluntarjoajille välittyi terveyteen liittyviä tietoja muun muassa ajanvarauksen aloittamisesta ja vahvistamisesta, valitusta terapiamuodosta ja terapeutista. 

Tietoja ei ollut anonymisoitu tai pseudonymisoitu niin, että tietoja ei voisi yhdistää käyttäjään. Yhdistäminen oli mahdollista esimerkiksi IP-osoitteiden ja muiden teknisten tietojen avulla. 

”Terveydenhuollon ajanvarauspalvelua käyttävän on voitava luottaa siihen, että tiedot pysyvät turvassa eivätkä päädy ulkopuolisille missään muodossa. Yritysten on tärkeää suunnitella huolellisesti, millaisia eväste- ja analytiikkapalveluita ne ottavat käyttöön sekä tutustua tarkkaan palvelujen ehtoihin”, apulaistietosuojavaltuutettu Heljä-Tuulia Pihamaa sanoo. 

”Mitä arkaluonteisemmista tiedoista on kyse ja mitä suurempia riskejä tietoihin liittyy, sitä vahvemmin niitä on suojattava. Henkilötietojen käsittely on rajattava vain tarpeelliseen”, Pihamaa muistuttaa. 

Mindemolle määrättiin seuraamusmaksu ja annettiin huomautus puutteista henkilötietojen turvallisessa käsittelyssä. Yritys on ilmoittanut poistaneensa seurantapalvelut ajanvarauspalvelustaan ja verkkosivuiltaan tietosuojavaltuutetun toimiston selvityksen aikana. Lisäksi se on pyytänyt seurantapalveluntarjoajia poistamaan kerätyt tiedot.