Činjenice
Voditelj obrade je Yliopiston Apteekki (Sveučilišna ljekarna), najveći ljekarnički lanac u Finskoj odakle pojedinci mogu naručiti lijekove na recept i bez recepta. Istraga nadzornog tijela je otkrila kako je ljekarnička tvrtka, u vlasništvu Sveučilišta u Helsinkiju, koristila kolačiće i drugu tehnologiju praćenja prilikom posjeta online trgovini.
Zviždač je obavijestio finsko nadzorno tijelo da voditelj podataka prenosi farmaceutske podatke iz svoje online ljekarne, kao što su podaci o pregledavanju ili podaci koji ukazuju na namjeru kupnje određenog lijeka, tvrtkama Meta, Google i New Relic (usluga praćenja učinka). Te su tvrtke primale precizne informacije o kupnji lijekova, podatke koji se mogu povezati s pojedinačnim kupcem.
U lipnju 2022. nadzorno tijelo je pokrenulo istragu o tom pitanju.
Voditelj podataka tvrdio je da informacije o lijekovima koje su kupci kupili ili nazivi lijekova nisu preneseni tvrtkama Meta, Google ili New Relic te da iz pregledanih stranica nije moguće izvući nikakve zaključke o tome koje je proizvode kupac kupio, a kamoli bilo kakve daljnje zaključke o zdravlju ili medicinskom stanju osobe. Voditelj je nadalje tvrdio da su svi preneseni podaci ograničeni i maskirani te da se u svakom slučaju podaci o pregledavanju ne smatraju osobnim podacima prema GDPR-u.
Zaključak
Prvo, finsko nadzorno tijelo je utvrdilo da voditelj nije osigurao da vanjski pružatelji usluga praćenja (Google, Meta) nemaju pristup osobnim podacima koji se odnose na transakcije online ljekarni, suprotno zahtjevima integriteta, povjerljivosti i sigurnosti obrade, čime je prekršen članak 5(1)(f), članak 32(1) i članak 32(2) GDPR-a.
Morate paziti na koji način koristite vanjske pružatelje, koje, na koji način te koje društvene mreže, kako i na koji način. Nakon toga svako korištenje mora biti obuhvaćemo u obavijestima o obradi podataka prema vašim ispitanicima.
WEB STRANICE PRIKUPLJAJU I OBRAĐUJU OSOBNE PODATKE
Finsko nadzorno tijelo je utvrdilo da su pružatelji usluga web stranice primali informacije o posjetiteljima web stranice, kao što su IP adrese i drugi podaci koji se mogu koristiti za identifikaciju ispitanika. Kombinacija tih podataka s podacima o različitim posjetima web stranici može omogućiti opsežnu, automatiziranu identifikaciju i profiliranje ispitanika. Kao rezultat toga, nadzorno tijelo je utvrdilo da su podaci o pregledavanju, namjeri kupnje i kupnji lijekova koje je voditelj obrade prenio pružatelju usluga praćenje stoga, u odnosu na pružatelja usluga, osobni podaci osobe koja se može identificirati u smislu članka 4(1) GDPR-a.
Drugo, nadzorno tijelo je utvrdilo da je voditelj obrade prekršio načelo minimizacije podataka prenoseći New Relicu podatke koji nisu bili potrebni za praćenje performansi web stranice u skladu s člankom 5(1)(c) i člankom 25(2) GDPR-a.
Možda niste svjesni da korištenjem nekih alata iznosite podatke u zemlje izvan EU, a što je možebitno nezakonito ukoliko to pravno niste pokrili.
Na kraju, nadzorno tijelo naložilo je voditelju obrade da plati administrativnu kaznu od 1.100.000 EUR, u skladu s člankom 58(2)(i) i člankom 83 GDPR-a.
Finsko nadzorno tijelo započelo je istragu o praksama ljekarničke tvrtke Yliopiston Apteekki nakon što ih je zviždač, doktorski istraživač sa Sveučilišta u Turkuu, kontaktirao. Koristeći analizu mrežnog prometa, otkrio je nedostatke u zaštiti podataka u finskim online ljekarnama kao dio istraživanja usmjerenog na funkcioniranje online usluga povezanih sa zdravljem. Finsko nadzorno tijelo trenutno istražuje slične nedostatke pronađene i u online trgovinama nekoliko drugih ljekarni. Svakako možemo očekivati porast ovakvih prijava u budućnosti.
Ostaje paziti i javiti svaku promjenu rpužatelja usluga DPO-u odnosno Službeniku za zaštitu podataka na vrijeme, a to znači prije nego ju počnete koristiti kako bi se sve pravno moglo pokriti, uskladiti sa propisima te u konačnici kako biste znali, ukoliko preuzimate određeni rizik, koliko on košta!
