text: Apoteket AB

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Hashning är en kryptografisk envägsfunktion som kan användas för att åstadkomma pseudonymisering, som är en möjlig säkerhetsåtgärd enligt artikel 32 i dataskyddsförordningen, genom att personuppgifter ersätts med en så kallad hashsumma. Det innebär att de ersatta personuppgifterna inte är tillgängliga i klartext och att det behövs kompletterande uppgifter för att det ska gå att identifiera den registrerade.

text: Rådets förordning

text: (EG) nr 1/2003

text: av den 16 december 2002 om tillämpning av konkurrensreglerna i artiklarna 81 och 82 i fördraget.

text: Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002

text: om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation). 5 Yttrande 5/2019 om samspelet mellan direktivet om integritet och elektronisk kommunikation och den allmänna dataskyddsförordningen, särskilt när det gäller dataskyddsmyndigheternas behörighet, uppgifter och befogenheter, antaget den 12 mars 2019, punkt 68 och 69.

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 7 EU-domstolens dom den 6 november 2003, Lindqvist,

text: , EU:C:2003:596, punkt 50–51.

text: EU-domstolens dom den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija,

text: , EU:C:2022:601, p. 123– 127.

text: Personnummer omfattas av ett särskilt skydd enligt artikel 87 i dataskyddsförordningen och

text: 3 kap. 10 § lagen (2018:218)

text: med kompletterande bestämmelser till EU:s dataskyddsförordning.

text: EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR.

text: EU-domstolens dom den 5 december 2023, Nacionalinis visuomenės sveikatos centras,

text: , EU:C:2023:949, p. 81 och EU-domstolens dom den 5 december 2023, Deutsche Wohnen SE

text: , EU:C:2023:950, p. 76. 12 Se för bedömningen av oaktsamhet även Kammarrätten i Stockholms dom den 11 mars 2024 i mål 2829-23 s.12. 13 Apoteket är moderbolag i en koncern. Om företaget omfattas av skyldigheten att upprätta koncernredovisningar är dessa koncernredovisningar för koncernens moderbolag relevanta för att återspegla företagets sammanlagda omsättning, se EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 130. 14 EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 60.

text: Ju mer central en behandling är för den personuppgiftsansvariges verksamhet, desto allvarligare blir oriktigheterna i behandlingen. Se EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkt 53. 16 EDPB:s riktlinjer Guidelines 04/2022 on the calculation of administrative fines under the GDPR, punkterna 95–98.

sprak: sv

titel: Beslut

amne: Bristande skydd av personuppgifter i digitala tjänster för barn

korrigerandeAtgard: Sanktionsavgifter om 37 miljoner för Apoteket AB och 8 miljoner för Apohem AB

lagakraft: Ja (Apoteket), Nej (Apohem)

lagrum: Artikel 32 i dataskyddsförordningen, GDPR

nyckelord: Tekniska och organisatoriska säkerhetsåtgärder

overklagan: Nej (Apoteket), Ja (Apohem)

rubrik: Överföring av integritetskänsliga personuppgifter till Meta

sammanfattning: IMY har bedrivit tillsyn mot Apoteket AB och Apohem AB som använt den så Meta-pixeln på sina webbplatser. Genom att aktivera en ny delfunktion i Meta-pixeln förde bolagen över integritetskänsliga personuppgifter till Meta. Överföringen omfattade kunders kontaktuppgifter och uppgifter om produkter som kunderna köpt i form av bland annat receptfria läkemedel för behandling av specifika hälsobesvär, självtester och behandling av könssjukdomar och sexleksaker. Uppgifter om köp av receptbelagda mediciner fördes inte över. IMY:s granskning visade att bolagen inte vidtagit tillräckliga skyddsåtgärder för att skydda kundernas personuppgifter. Bristerna bestod av att bolagen inte vidtagit några tekniska åtgärder för att begränsa vilka uppgifter som fördes över till Meta. Bolagen hade inte heller de rutiner som krävdes för att själva upptäcka bristerna. Överföringen av personuppgifterna pågick därför under en längre tid och stoppades först efter att bolagen fått kännedom om händelsen av utomstående. Läs tillsynsbeslutet mot Apoteket Läs tillsynsbeslutet mot Apohem

publisher: Integritetsskyddsmyndigheten

sanktionsavgift: 37 miljoner kronor

slug: apoteket

title: Apoteket AB, gällande Meta-pixel

org: imy

sammanfattning: Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Apoteket AB ska betala en administrativ sanktionsavgift på 37 000 000 kronor. Detta efter att bolaget använt den så kallade Meta-pixeln på sin webbplats och överfört integritetskänsliga personuppgifter till Meta.

text: IMY-2022-3270 Beslut efter tillsyn enligt

type: stycke

text: dataskyddsförordningen – Apoteket AB

type: rubrik

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Apoteket AB (556138-6532) har behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifter vid användning av analysverktyget Metapixeln under perioden 19 januari 2020–25 april 2022.

text: Integritetsskyddsmyndigheten beslutar med stöd av artiklarna 58.2 och 83 i dataskyddsförordningen att Apoteket AB ska betala en administrativ sanktionsavgift på 37 000 000 kronor.

text: Redogörelse för tillsynsärendet

text: Bakgrund m.m.

text: Den 25 april 2022 lämnade Apoteket AB (Apoteket) in en anmälan om personuppgiftsincident till Integritetsskyddsmyndigheten (IMY). Av anmälan framgick att Apoteket använt Meta Platforms Ireland Limiteds (Metas) analysverktyg Meta-pixeln på sin webbplats www.apoteket.se (webbplatsen) för att förbättra annonseringen mot kunder och därigenom tillåtit överföring av data gällande kunder och webbplatsbesökare till Meta som inte var tänkta att överföras. Apoteket upptäckte incidenten genom information från en utomstående. Incidentanmälan föregicks av uppgifter i media om att Apoteket fört över vissa uppgifter om sina kunders webbköp till Meta.

text: IMY inledde tillsyn i maj 2022 mot bakgrund av de uppgifter som förekom i incidentanmälan. Tillsynen har avgränsats till frågan om Apoteket har vidtagit lämpliga tekniska och organisatoriska åtgärder i enlighet med artikel 32 i dataskyddsförord- ningen.

text: Handläggningen vid IMY har skett genom skriftväxling med Apoteket. IMY har även inhämtat utredning i form av information från Meta om hur Meta-pixeln och dess filtreringsmekanism fungerar.

text: Vad Apoteket har uppgett

text: Apoteket har i huvudsak uppgett följande gällande den fråga som är föremål för granskning.

text: Personuppgiftsansvar

text: Apoteket är personuppgiftsansvarig i den del som avser införandet av Meta-pixeln (tidigare Facebook-pixeln) och överföringen av uppgifter till Meta (tidigare Facebook).

text: Ändamålet med behandlingen

text: Apoteket har använt sig av Meta-pixeln sedan 2017. Behandlingen har övergripande sett skett för marknadsföringsändamål. Det primära syftet var att mäta effekten av bolagets marknadsföring på Metas sociala medieplattformar Facebook och Instagram. Det sekundära syftet var att marknadsföra produkter till besökare som besökt produktsidor för egenvård utan att handla, för att få dessa kunder att handla vid ett senare tillfälle. Pixeln användes för det sekundära syftet i begränsad omfattning, under begränsade perioder. Den 19 januari 2020 aktiverades den automatiska typen av Meta-pixelns funktion för avancerad matchning (AAM-funktionen) vilket innebar att fler uppgifter än tidigare kom att behandlas. Aktiveringen av AAM-funktionen var inte nödvändig för att uppfylla ändamålen med behandlingen. Aktiveringen av Meta-pixeln och AAM-funktionen har skett av enskilda medarbetare utan föregående riskbedömning i strid med Apotekets rutiner. Apoteket blev medvetet om att uppgifter som skulle kunna anses känsliga delats först efter att media rapporterat om det. Apoteket beslutade att omedelbart inaktivera Meta-pixeln och AAM-funktionen den 25 april 2022 efter att bolaget uppmärksammats på omfattningen av uppgifter som förts över.

text: Vilka personuppgifter som förts över till Meta

text: Överföringen till Meta har inte sett likadan ut för alla kunder, utan har berott på kundens agerande på webbplatsen. Apoteket har inte fört över uppgifter om kunder som nekat till marknadsföringskakor. För kunder som har samtyckt till marknadsföringskakor har generellt sett följande händelsedata förts över genom Meta-pixeln:

text: • URL • value (värde på produkt eller total kundkorg) • currency (=”SEK”) • content IDs (ProduktID, Apotekets interna produktnummer) • content Type (=”Product”) • IP-adress.

text: Sedan AAM-funktion aktiverades har därutöver följande kontaktinformation förts över:

text: • för- och efternamn • e-postadress • telefonnummer • personnummer • kön • stad • postnummer • land.

text: Kontaktinformationen har bara förts över vid genomförda köp och då i hashad form, vilket innebar att Meta bara har kunnat läsa informationen om de har haft motsvarande information sedan tidigare. Meta har sedan försökt matcha den överförda kontaktinformationen med ett användar-ID på Facebook och därefter raderat den. Om en kund loggat in på ”Mina sidor” med mobilt BankID har personnumret överförts eftersom det tolkats som ett telefonnummer.

text: Apoteket har gjort ett aktivt val att inte föra över uppgifter om receptbelagda varor. Exkluderingen har skett genom att den del av webbplatsen där en kund kan lägga en receptbelagd vara i varukorgen inte innehöll Meta-pixeln. Vidare har orderrader som innehåller receptbelagda varor filtrerats bort vid köptillfället från själva produktdatan av Apotekets server innan den förts över till Meta. Om en besökare accepterat marknadsföringskakor och genomfört ett köp har uppgifter om följande produkter och/eller produktkategorier delats via Meta-pixeln med AAM-funktionen aktiverad:

text: a) självtester och behandling för könssjukdomar b) preventivmedel och dagen-efter-piller c) sexleksaker d) produkter för vaginal hälsa (t.ex. torra slemhinnor, klimakteriebesvär och svamp i underlivet) e) produkter för prostatabesvär och urineringsbesvär f) graviditetstest, ägglossningstest och graviditetsprodukter g) produkter för behandling av svamp (t.ex. fotsvamp eller nagelsvamp) h) produkter för behandling och kontroll av diabetes i) produkter för behandling av ändtarmsbesvär (t.ex. analsprickor och hemorrojder) j) produkter för behandling av magbesvär (t.ex. IBS, förstoppning och diarré) k) produkter för behandling av migrän l) produkter för behandling av allergi m) tillbehör till hörapparater n) produkter för behandling av bakteriella infektioner o) produkter för behandling av psoreasis p) produkter för behandling av rosacea q) stomiprodukter.

text: Meta är i grund och botten en behörig mottagare och all överföring av webbplatsbesökarnas uppgifter har inte varit otillåten. Det som utgjort en personuppgiftsincident är den eventuella överföringen av känsliga personuppgifter. Alla produkter i Apotekets sortiment kan dock inte anses ge information om en persons hälsa eller sexualliv, utan enbart produkter ur ett så kallat integritetskänsligt sortiment i kombination med en direkt personuppgift. En persons agerande på webbplatsen behöver inte heller indikera något om den enskildes hälsa eller sexualliv, förrän kunden lagt en integritetskänslig produkt i varukorgen eller genomfört ett köp av en sådan produkt. Det är dock inte självklart att heller det säger något om den enskilde kunden eftersom många handlar produkter åt andra, i preventivt syfte eller till ett ”husapotek”. Därtill tillhör de egenvårdsprodukter som Apoteket säljer med säkerhet inte det så kallade integritetskänsliga sortimentet. Rättsläget är oklart på området och det är svårt att kategoriskt säga att känsliga personuppgifter har överförts.

text: Om överföring av känsliga personuppgifter har skett så har det inte varit Apotekets avsikt. Apoteket har dock ett personuppgiftsbiträdesavtal med Meta och det är inte fråga om en okänd mottagare av uppgifterna. Överföringen har inte skett på ett okontrollerat sätt i den mening att obehöriga har kommit åt informationen genom en hackerattack med uppenbart ont uppsåt. Den faktiska risken för de registrerade bedöms därför som måttlig. Överföringen av personnummer har inte ökat risken för de

text: registrerade eftersom uppgifterna förts över i förvrängd form, hashade med SHA256, och sedan raderats av Meta eftersom uppgifterna inte kunnat matchas. Den primära bristen består av att de registrerade i viss mån förlorat kontrollen över sina personuppgifter, men Apotekets agerande i sig ökade inte risken för de registrerade. Det bör ses som förmildrande att Meta har haft en aktiv signalfiltreringsmekanism som filtrerat bort känsliga uppgifter. Informationen har därmed inte delats vidare eller använts av Apoteket eller Meta. Skadan för de registrerade är därmed begränsad.

text: Incidentens omfattning

text: Incidenten uppskattades vid tidpunkten för anmälan ha påverkat 500 001–1 000 000 registrerade. Apoteket har därefter uppgett att det inte går att ge en exakt siffra på antalet registrerade som drabbats av händelsen. Detta bland annat med hänsyn till att det inte handlar om en läcka från ett register eller en databas som Apoteket har haft full kontroll och insyn över samt att överföring av data skett direkt mellan användarens webbläsare och Meta. Kretsen av potentiellt berörda registrerade påverkas av flera faktorer. Det maximala antalet påverkade individer är 930 000. Beräkningen baserar sig på antalet köp från webben under den aktuella perioden, med hänsyn tagen till att en viss andel av köpen görs av återkommande kunder och kunder som använder sig av annonsblockerare eller har nekat till användningen av kakor. Apotekets uppfattning är att incidenten endast omfattar genomförda köp och inte uppgifter om att en person klickat på produkter, lagt produkter i varukorgen eller påbörjat betalning. Nio procent av den totala andelen av webbförsäljningen under den aktuella perioden som incidenten pågick bestod av produkter som tillhör de kategorier som räknas upp ovan under punkt a–q. Vad gäller mängden överförda personuppgifter har Apoteket bland annat framfört att antalet unika produkter för varje köp som genomfördes under perioden uppgår till 1,41 produkter per kund. Vid bedömningen av hur många känsliga personuppgifter som överförts måste dock beaktas att vissa av köpen har omfattat egenvårdsprodukter (som inte avslöjar uppgifter om hälsa), gjorts åt andra eller avsett flera förpackningar av samma produkt.

text: Teknisk och organisatorisk säkerhet

text: Innan den aktuella incidenten hade Apoteket proaktiva processer på plats för att säkerställa korrekt hantering av personuppgifter, inklusive ingående riskbedömningar och granskningar av dataskyddsombudet avseende frågor som rör personuppgifter. Apotekets utvecklingsprocess innehåller flera kontrollpunkter för att fånga upp risker och säkerställa en korrekt behandling av personuppgifter. Kontrollpunkterna består av att nya lösningar eller funktioner på webbplatsen granskas ur informationssäkerhetsoch dataskyddsperspektiv (genom en informationsanalys), arkitekturellt perspektiv och avtalsmässigt (om lösningen köps in) samt kodgranskas innan lösningen går i produktion på webbplatsen. Apoteket genomför också revisioner och penetrationstester av webbplatsen för att kunna upptäcka och åtgärda sårbarheter.

text: I det aktuella fallet har Apotekets fastställda rutiner för IT-utveckling och riskbedömning inte följts av enskilda medarbetare. En möjlig orsak, vilket inte är ett försvar, kan ha varit att funktionaliteten var mycket enkel att aktivera utan någon egentlig utvecklingsinsats. Vid tidpunkten för aktiveringen av AAM-funktionen krävdes adminbehörighet i verktyget Meta Business Manager vilket två yrkesroller, omfattande totalt tre personer, hade. Enligt rutin ses behörigheter till verktyget Meta Business Manager, inklusive AAM-funktionen, över och kontrolleras regelbundet för att säkerställa att

text: endast personer med behov har tillgång. Några andra önskvärda rutiner för översyn och uppföljning har inte satts upp till följd av att aktiveringen pixeln och AAMfunktionen inte har följt Apotekets ordinarie rutiner.

text: Efter att Meta-pixeln och AAM-funktionen avaktiverats har Apoteket haft en dialog med Meta kring radering av data. Meta har uppgett att data äldre än två år redan raderats, men att bolaget inte kan radera datan från de två senaste åren manuellt. Apoteket har tagit fram generell information till de registrerade om händelsen som var publicerad på webbplatsen under slutet av april och i maj 2022. För att kunna bemöta specifika frågor och svar från kunder togs ett informationsunderlag fram till Apotekets medarbetare. Apoteket har även vidtagit åtgärder för att långsiktigt minska risken för liknande händelser. Bolaget har genomfört en inventering och analys av cookies- och analysverktyg på webbplatsen, infört en yrkesroll med övergripande ansvar för marknadsavdelningen i syfte att säkerställa efterlevnad av regler och riktlinjer samt förbättrat sin styrmodell för informationssäkerhet. Medarbetarna genomförde sedan tidigare en årlig e-utbildning inom säkerhet som inkluderar ett kapitel om dataskydd och informationssäkerhet. För att ytterligare stärka medvetenheten efter incidenten har korta e-utbildningar inom IT- och informationssäkerhet införts.

text: Val av korrigerande åtgärd

text: Apoteket har fört över uppgifter till Meta som inte borde ha delats. Skadan har dock varit begränsad. Överträdelsen har inte heller påverkat kärnan i uppfyllandet av Apotekets skyldigheter enligt artikel 32 i dataskyddsförordningen. Apoteket har omedelbart anmält överträdelsen till IMY och vidtagit de åtgärder som varit möjliga för att minska konsekvenserna av överträdelsen. Dessa omständigheter, tillsammans med att överträdelsen skett genom oaktsamhet, medför att det är fråga om en överträdelse av mindre betydelse och det är därför tillräckligt att meddela en reprimand.

text: Vad gäller överträdelsens allvarlighet så har den endast i liten utsträckning hindrat en effektiv tillämpning av artikel 32 i dataskyddsförordningen. Vidare har överträdelsen genomförts inom affärsverksamhet och behandlingens karaktär har därför inte medfört några särskilda risker. Det har inte heller funnits något beroendeförhållande mellan de registrerade och Apoteket. Behandlingen har skett för marknadsföringsändamål vilket inte är en del av Apotekets kärnverksamhet som består av att tillhandahålla receptbelagda och receptfria läkemedel. Personuppgiftsincidenten har förvisso omfattat ett förhållandevis stort antal registrerade, men nivån av skada som överträdelsen medfört är låg. Överträdelsen bör som högst anses vara av medelhög allvarlighetsgrad.

text: Det finns skäl att beakta hur omsättning beräknas inom andra EU-rättsliga områden, främst konkurrensrätten. Detta eftersom huvuddelen av Apotekets omsättning härrör från andra delar av Apotekets verksamhet, såsom exempelvis traditionell butikshandel samt vård- och dosaffärer, än den överträdelsen skett inom. Enligt Kommissionens Riktlinjer för beräkning av böter som döms ut enligt artikel 23.2 a i förordning nr 1/2003 anges att grundbeloppet för beräkningen ska fastställas genom att utgå från försäljningsvärdet för de varor eller tjänster som har ett direkt eller indirekt samband med överträdelsen och som företaget sålt i det berörda geografiska området inom EES. Analogt skulle den del av Apotekets omsättning som avser den del av verksamheten där överträdelsen skett beaktas, det vill säga omsättningen som avser onlineförsäljning av receptfria läkemedel, egenvårdsprodukter, hygienartiklar och hudvård.

text: Det föreligger flera förmildrande omständigheter kring överträdelsen bland annat i form av de åtgärder Apoteket vidtagit för att lindra konsekvenserna för de registrerade, att Apoteket samarbetat fullt ut med IMY och att uppgifter filtrerats bort och därmed inte nått Meta för vidarebehandling. Apoteket har även anmält händelsen på eget initiativ till IMY. Eftersom ekonomisk vinst genom överträdelsen kan ses som en försvårande faktor vid beräkningen av sanktionsavgift, vill Apoteket förtydliga att den ökning av försäljningen som eventuellt kan kopplas till användningen av AAM-funktionen är näst intill obefintlig.

text: Motivering av beslutet

text: IMY ska inledningsvis ta ställning till om dataskyddsförordningen är tillämplig och om IMY är behörig tillsynsmyndighet. Om så är fallet ska IMY pröva frågan om Apoteket är personuppgiftsansvarig och om bolaget har vidtagit lämpliga säkerhetsåtgärder enligt artikel 32 i dataskyddsförordningen för att skydda de personuppgifter som behandlats genom Meta-pixeln, med AAM-funktionen aktiverad, under perioden 19 januari 2020– 25 april 2022.

text: IMY:s behörighet

text: Tillämpliga bestämmelser

text: Av artikel 95 i dataskyddsförordningen följer att dataskyddsförordningen inte ska innebära några ytterligare förpliktelser för fysiska eller juridiska personer som behandlar personuppgifter, för sådana områden som redan omfattas av skyldigheter enligt det så kallade eDataskyddsdirektivet . eDataskyddsdirektivet har genomförts i svensk rätt genom lagen (

text: ) om elektronisk kommunikation (LEK), där bland annat insamling av uppgifter genom webbkakor regleras.

text: Enligt

text: 9 kap. 28 §

text: LEK, som genomför artikel 5.3 i eDataskyddsdirektivet, får uppgifter lagras i eller hämtas från en abonnents eller användares terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den. Vidare framgår att detta inte hindrar sådan lagring eller åtkomst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller som är nödvändig för att tillhandahålla en tjänst som användaren eller abonnenten uttryckligen har begärt. LEK trädde i kraft den 22 augusti 2022. Under den i ärendet aktuella tiden gällde dock samma krav enligt 6 kap. 18 § lagen om (

text: ) om elektronisk kommunikation. Det är Post- och telestyrelsen (PTS) som är tillsynsmyndighet enligt LEK (

text: 1 kap 5 §

text: förordningen [2022:511] om elektronisk kommunikation).

text: Europeiska dataskyddsstyrelsen (EDPB) har yttrat sig över samspelet mellan eDataskyddsdirektivet och dataskyddsförordningen. Av yttrandet följer bland annat att den nationella tillsynsmyndighet som utsetts enligt eDataskyddsdirektivet är ensamt behörig att övervaka efterlevnaden av direktivet. Däremot är IMY enligt dataskyddsförordningen behörig tillsynsmyndighet för den behandling som inte regleras särskilt i eDataskyddsdirektivet.

text: IMY:s bedömning

text: IMY:s granskning tar sikte på en situation då registrerade har använt sig av en tjänst på Apotekets webbsida i syfte att beställa en vara och själv lämnat den information som Meta-pixeln har fångat upp. Denna informationshantering innebär inte att uppgifter lagras i eller hämtas från en abonnents eller användares terminalutrustning och omfattas därmed inte av 9 kap. 28 § i LEK eller tidigare gällande motsvarande bestämmelse i lagen om om elektronisk kommunikation. Det innebär att regleringen i dataskyddsförordningen är tillämplig på den aktuella personuppgiftsbehandlingen och att IMY är behörig tillsynsmyndighet. Därtill kan konstateras att IMY:s granskning avser om Apoteket vidtagit tillräckliga säkerhetsåtgärder, vilket inte är något som regleras särskilt i LEK. Även det förhållandet medför således att IMY är behörig att utreda den fråga som tillsynsärendet gäller.

text: Personuppgiftsansvar

text: Tillämpliga bestämmelser

text: Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen den som ensamt eller tillsammans med andra bestämmer ändamål och medel för behandlingen av personuppgifter. Att ändamål och medel kan bestämmas av mer än en aktör innebär att flera aktörer kan vara personuppgiftsansvariga för samma behandling.

text: Den personuppgiftsansvarige ska enligt artikel 5.2 i dataskyddsförordningen ansvara för och kunna visa att principerna i artikel 5.1 efterlevs (principen om ansvarsskyldighet).

text: IMY:s bedömning

text: Apoteket har uppgett att bolaget är personuppgiftsansvarigt vad gäller införandet av Meta-pixeln och den överföring av uppgifter som har skett till Meta.

text: Av utredningen i ärendet framgår att Apoteket har infört Meta-pixeln, ett scriptbaserat verktyg i form av ett kodstycke som registrerar besökares agerande och överför informationen till Meta, på sin webbplats och därefter aktiverat AAM-funktionen. Syftet med Meta-pixeln har varit att öka effektiviteten av bolagets marknadsföring samt i viss mån rikta annonser mot tidigare besökare på webbplatsen. Apoteket har därmed bestämt hur behandlingen ska gå till och för vilket ändamål personuppgifterna ska behandlas. IMY bedömer därför att Apoteket är personuppgiftsansvarig för den behandling av personuppgifter som har skett genom användandet av Meta-pixeln med AAM-funktionen aktiverad.

text: Har Apoteket säkerställt en lämplig säkerhetsnivå för personuppgifterna?

text: Tillämpliga bestämmelser

text: Kravet på att vidta lämpliga skyddsåtgärder

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Det ska, enligt samma bestämmelse, ske med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder, när det är lämpligt,

text: a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident och d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: Vid bedömningen av lämplig säkerhetsnivå ska, enligt artikel 32.2, särskild hänsyn tas till de risker som behandlingen medför, i synnerhet från oavsiktlig eller olaglig förstöring, förlust eller ändring eller till obehörigt röjande av eller obehörig åtkomst till de personuppgifter som överförts, lagrats eller på annat sätt behandlats.

text: I skäl 75 till dataskyddsförordningen anges faktorer som ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter. Bland annat nämns förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt samt om behandlingen avser uppgifter om hälsa eller sexualliv. Vidare ska beaktas om behandlingen gäller personuppgifter om sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

text: I skäl 76 till dataskyddsförordningen anges att hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken det fastställs huruvida uppgiftsbehandlingen inbegriper en risk eller hög risk.

text: Behandling av känsliga personuppgifter

text: Uppgifter om hälsa och sexualliv utgör sådana särskilda kategorier av personuppgifter, så kallade känsliga personuppgifter, som ges ett särskilt starkt skydd enligt dataskyddsförordningen. Det är som huvudregel förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2 i förordningen.

text: Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa vilka ger information om dennes hälsostatus. I skäl 35 till dataskyddsförordningen anges att personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd.

text: EU-domstolen har i målet Lindqvist slagit fast att en uppgift om att en person skadat sin fot och är deltidssjukskriven utgör en personuppgift som rör hälsa enligt dataskyddsdirektivet (direktivet upphävdes genom dataskyddsförordningen). EUdomstolen uttalade i målet att med hänsyn till syftet med dataskyddsdirektivet ska uttrycket "uppgifter som rör hälsa" ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter av en persons hälsa, såväl fysiska som psykiska sådana. EUdomstolen har i det senare avgörandet Vyriausioji tarnybinės etikos komisija

text: konstaterat att begreppet känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen ska tolkas brett och bedömt att även personuppgifter som indirekt, efter en intellektuell slutledning eller avstämning, avslöjar en fysisk persons sexuella läggning utgör känsliga personuppgifter enligt den aktuella bestämmelsen.

text: IMY:s bedömning

text: Behandlingen har inneburit en hög risk och krävt en hög skyddsnivå

text: Den personuppgiftsansvarige ska vidta åtgärder för att säkerhetsställa en skyddsnivå som är lämplig utifrån riskerna med behandlingen. Bedömningen av lämplig skyddsnivå ska göras med beaktande av bland annat behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.

text: IMY ska inledningsvis ta ställning till vilka personuppgifter Apoteket har fört över till Meta genom Meta-pixeln med AAM-funktionen aktiverad.

text: Av utredningen i ärendet framgår att aktiveringen av Meta-pixelns AAM-funktion har inneburit att Apoteket, såvida en kund accepterat marknadsföringskakor och inte använt sig av annonsblockerare, har fört över uppgifter om genomförda köp till Meta. Uppgifterna som förts över har omfattat information köpta produkter (bland annat URLadressen till produkter på webbplatsen, produkt-ID samt produkttyp) samt kontaktinformation om kunden (bland annat för- och efternamn, adress och telefonnummer).

text: Uppgifterna som förts över till Meta har inte omfattat receptbelagda produkter, men däremot följande produkter och produktkategorier:

text: I ärendet har framkommit att Meta har implementerat en så kallad filtreringsmekanism vars syfte är att upptäcka och radera information som förts över till Meta i strid med bolagets policy. IMY har med anledning av detta inhämtat information från Meta om hur filtreringsmekanismen fungerar. Av Metas yttrande den 16 februari 2024 framgår

text: att mekanismen är utformad för att upptäcka och radera potentiellt otillåten information, till exempel uppgifter om hälsa och ekonomi, i data som användare av pixeln överför till Meta innan den lagras och används i Metas annonssystem. När sådana uppgifter upptäcks och raderas får användaren en notifikation om det, men filtreringsmekanismen fungerar även om ett sådant meddelande inte skickas till användaren. Mot bakgrund av detta konstaterar IMY att pixeln i sig inte innehåller en filtreringsmekanism som förhindrar en överföring av uppgifter till Meta. Filtreringsmekanismen är utformad för att filtrera bort potentiellt integritetskänsliga uppgifter först efter att de har överförts till Meta och om Metas system har kunnat identifiera att överförda uppgifter innehåller sådan otillåten information. Avsaknaden av notifikationer om otillåten och raderad information kan inte heller i sig anses vara en bekräftelse på att potentiellt integritetskänsliga uppgifter inte har överförts till Meta. Förekomsten av filtreringsfunktionen har sammanfattningsvis inte förhindrat den konstaterade överföringen av personuppgifter till Meta.

text: IMY gör följande bedömning av riskerna med den aktuella personuppgiftsbehandlingen.

text: Behandling som omfattar känsliga personuppgifter medför normalt sett högre risker. Begreppet känsliga personuppgifter ska tolkas brett och omfattar även uppgifter som indirekt avslöjar sådana uppgifter. Apoteket har fört över uppgifter till Meta om vilken produkt som en kund har köpt samt uppgifter som identifierar kunden i form av bland annat namn, adress och telefonnummer. IMY anser att kombinationen av uppgifter som förts över till Meta har gjort det möjligt att utläsa att en specifik person har köpt en viss utpekad produkt.

text: Apoteket har inte fört över uppgifter om receptbelagda produkter. Flertalet av produkterna i Apotekets övriga sortiment (se punkt a–q ovan) är dock av sådan karaktär att uppgift om att en person köpt en sådan produkt skulle kunna avslöja uppgifter om den enskildes hälsotillstånd eller sexualliv. Apoteket har invänt att det inte är säkert att köparen är den faktiska användaren av produkten och det är svårt att kategoriskt säga att känsliga personuppgifter har överförts. IMY anser dock att det är sannolikt att i vart fall vissa av köpen av till exempel stomiprodukter, produkter för ändtarms-, urinerings- och prostatabesvär, vaginala besvär samt behandling av könssjukdomar och diabetes har gjorts för eget bruk i syfte att behandla ett visst hälsotillstånd. IMY bedömer därför att det är sannolikt att behandlingen har omfattat uppgifter om hälsa i den mening som avses i artikel 4.15 i dataskyddsförordningen. IMY gör samma bedömning avseende köpen av exempelvis dagen-efter-piller och sexleksaker, det vill säga att det är sannolikt att köpen i åtminstone några fall har skett för eget bruk och att behandlingen därmed avslöjat uppgifter om den enskildes sexualliv. Vid bedömningen av lämplig skyddsnivå skulle Apoteket därför beaktat att behandlingen skulle kunna komma att omfatta känsliga personuppgifter.

text: IMY bedömer vidare att uppgifter om köp av de utpekade varorna i punkt a–q, oaktat om uppgifterna utgör känsliga personuppgifter eller inte, är av sådan integritetskänslig art att de kräver ett starkt skydd enligt dataskyddsförordningen. Det har även framgått att Apoteket i vissa fall har överfört andra skyddsvärda personuppgifter i form av personnummer. Därtill har behandlingen utförts av ett apotek där kunden får antas ha särskilda förväntningar på att deras personuppgifter hanteras med en hög grad av konfidentialitet. IMY konstaterar därför att såväl personuppgifternas karaktär som det

text: sammanhang som de behandlats i har medfört ökade risker för de registrerades frioch rättigheter.

text: IMY konstaterar även att behandlingen har varit omfattande. Apoteket har haft ett stort antal kunder under den period Meta-pixelns AAM-funktion varit aktiverad och bolaget uppskattar att upp till 930 000 personer har omfattats av den aktuella incidenten. Beräkningen baseras på antalet köp från webben under den aktuella perioden med hänsyn tagen till att en viss andel köp gjorts av återkommande kunder och av individer som använder sig av annonsblockerare eller har nekat till kakor. Apoteket har även uppgett att 9 procent av de totala webköpen som genomfördes under perioden har omfattat de integritetskänsliga produkter som listats under punkt a–q. IMY bedömer att det utifrån dessa uppgifter, även om det inte går att fastställa exakt hur många av dessa köp som gjorts av registrerade som inte använt sig av annonsblockerare eller nekat till marknadsföringskakor, i vart fall kan konstateras att incidenten har berört ett stort antal registrerade.

text: Sammanfattningsvis bedömer IMY att behandlingen med hänsyn till sin art, omfattning och sammanhang har inneburit höga risker som medfört ett krav på hög skyddsnivå för personuppgifterna. Åtgärderna skulle bland annat säkerställa att personuppgifterna skyddades mot obehörigt röjande och förlust av kontroll.

text: Apoteket har inte vidtagit tillräckliga säkerhetsåtgärder

text: IMY ska därefter bedöma om Apoteket har säkerställt den höga skyddsnivå som krävts för personuppgifterna.

text: Apoteket har uppgett att bolaget hade proaktiva processer på plats innan incidenten för att säkerställa en korrekt hantering av personuppgifter. I det aktuella fallet har dock fastställda rutiner för IT-utveckling och riskbedömning, som bland annat inkluderar översyn och uppdatering av informationsanalyser vid alla förändringar av system och verktyg, inte följts av enskilda medarbetare. Av utredningen framgår att Apoteket därför inte har analyserat vilka risker och konsekvenser som den personuppgiftsbehandling som införandet av Meta-pixeln och aktiveringen av AAM-funktionen skulle innebära, innan behandlingen påbörjades. Apoteket har inte heller gjort ett urval och kategorisering av vilka produkter som skulle komma att behandlas. Det har lett till att det, utöver exkluderingen av receptbelagda varor, inte funnits någon teknisk begränsning av vilka uppgifter som skulle omfattas av behandlingen och att integritetskänsliga uppgifter om exempelvis köp av receptfria läkemedel och medicinsktekniska produkter har förts över till Meta.

text: En grundläggande förutsättning för att Apoteket ska kunna uppfylla sina skyldigheter enligt dataskyddsförordningen är att bolaget är medvetet om vilken behandling som sker under dess ansvar. Apoteket har under en lång period från den 19 januari 2020, då AAM-funktionen aktiverades, till och med den 25 april 2022, då Meta-pixeln togs bort, fört över fler uppgifter än som var avsett till Meta utan att själva upptäcka det. Apoteket har framfört att aktiveringen av Meta-pixelns AAM-funktion inte har följt Apotekets ordinarie rutiner och att några önskvärda rutiner för översyn och uppföljning därför inte satts upp. Eftersom Apoteket endast har haft rutiner för att följa upp dokumenterade förändringar, som utförts enligt uppsatta rutiner, har Apoteket saknat förmåga att upptäcka och åtgärda andra förändringar som faktiskt genomförts eller uppstått på annat sätt. Mot denna bakgrund konstaterar IMY att Apoteket har saknat organisatoriska rutiner för att systematisk följa upp oavsiktliga förändringar i sina system.

text: IMY bedömer därmed att Apoteket, även med beaktande av vad som anförts om de rutiner som förelåg vid tidpunkten för överträdelsen, inte kan anses ha vidtagit lämpliga tekniska och organisatoriska åtgärder i förhållande till de höga risker som behandlingen har inneburit. Apoteket har därför behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Val av ingripande

text: Tillämpliga bestämmelser m.m.

text: Vid överträdelser av dataskyddsförordningen har IMY ett antal korrigerande befogenheter att tillgå enligt artikel 58.2 i dataskyddsförordningen. Av artikel 58.2 i dataskyddsförordningen följer att IMY i enlighet med artikel 83 ska påföra sanktionsavgifter utöver eller i stället för andra korrigerande åtgärder som avses i artikel 58.2, beroende på omständigheterna i varje enskilt fall.

text: Varje tillsynsmyndighet ska säkerställa att påförandet av administrativa sanktionsavgifter i varje enskilt fall är effektivt, proportionellt och avskräckande. Det anges i artikel 83.1 i dataskyddsförordningen.

text: I artikel 83.2 anges de faktorer som ska beaktas för att bestämma om en administrativ sanktionsavgift ska påföras, men också vad som ska påverka sanktionsavgiftens storlek. Av betydelse för bedömningen av överträdelsens allvar är bland annat dess karaktär, svårighetsgrad och varaktighet. EDPB har antagit riktlinjer om beräkning av administrativa sanktionsavgifter enligt dataskyddsförordningen som syftar till att skapa en harmoniserad metod och principer för beräkning av sanktionsavgifter.

text: Enligt artikel 83.4 ska det vid överträdelser av bland annat artikel 32 påföras administrativa sanktionsavgifter på upp till 10 000 000 EUR eller, om det gäller ett företag, på upp till 2 procent av den totala globala årsomsättningen under föregående budgetår, beroende på vilket värde som är högst.

text: Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b i förordningen.

text: IMY:s bedömning

text: Sanktionsavgift ska påföras

text: IMY har gjort bedömningen att Apoteket behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Överträdelsen har skett genom att Apoteket behandlat personuppgifter med en otillräcklig säkerhetsnivå, vilket har medfört att personuppgifter av integritetskänslig och skyddsvärd karaktär om ett stort antal registrerade oavsiktligen har förts över till Meta. Obehörig åtkomst till den här typen av uppgifter medför en hög risk för de registrerades fri- och rättigheter. Överföringen har pågått under en lång tid och har inte upptäckts och åtgärdats förrän Apoteket informerats om bristen av en utomstående. IMY anser att det inte är fråga om en sådan mindre allvarlig överträdelse som kan medföra att en reprimand utfärdas i stället för en sanktionsavgift.

text: EU-domstolen har klargjort att det krävs att den personuppgiftsansvarige har begått en överträdelse uppsåtligen eller av oaktsamhet för att administrativa sanktionsavgifter ska kunna påföras enligt dataskyddsförordningen. EU-domstolen har uttalat att personuppgiftsansvariga kan påföras sanktionsavgifter för ageranden om de inte kan anses ha varit okunniga om att agerandet utgjorde en överträdelse, oavsett om de varit medvetna om att de åsidosatte bestämmelserna i dataskyddsförordningen.

text: Enligt principen om ansvarsskyldighet som bland annat kommer till uttryck i artikel 5.2 i dataskyddsförordningen ska den som ansvarar för behandlingen av personuppgifter säkerställa och kunna visa att behandlingen är förenlig med dataskyddsförordningen. IMY konstaterar således att Apoteket ansvarar för att de personuppgifter som behandlas i verksamheten, behandlas på ett sätt som säkerställer en lämplig säkerhetsnivå. IMY har vid sin prövning konstaterat att Apoteket inte levt upp till de krav som dataskyddsförordningen ställer i detta avseende. Apoteket kan inte anses ha varit okunnig om att dess agerande inneburit en överträdelse av förordningen.

text: IMY bedömer därmed att förutsättningarna för att påföra Apoteket en administrativ sanktionsavgift för överträdelserna är uppfyllda. Vid bestämmande av sanktionsavgiftens storlek ska IMY beakta de omständigheter som anges i artikel 83.2 samt säkerställa att den administrativa sanktionsavgiften är effektiv, proportionell och avskräckande.

text: Utgångspunkter för beräkningen av sanktionsavgiften

text: IMY bedömer att det är årsomsättningen för Apoteket som ska läggas till grund för beräkningen av de administrativa sanktionsavgifter i det aktuella fallet. Den maximala sanktionsavgiften som gäller för företag vid överträdelser av artikel 32 uppgår till det belopp som är högst av 10 000 000 EUR respektive 2 procent av den totala globala årsomsättningen under föregående budgetår.

text: Av Apotekets årsredovisning för år 2023 framgår att årsomsättningen för det året var 23 270 000 000 kronor. Det högsta sanktionsbelopp som kan fastställas i ärendet uppgår därmed till 2 procent av det beloppet vilket är 465 400 000 kronor. IMY konstaterar att det saknas stöd i tillämplig lagstiftning för att beräkna sanktionsavgiften utifrån ett annat belopp på det sätt som Apoteket framfört görs vid tillämpning av annan EU-rättslig lagstiftning.

text: Överträdelsens allvar

text: Av EDPB:s riktlinjer framgår att tillsynsmyndigheten ska bedöma om överträdelsen är av låg, medel, eller hög allvarlighetsgrad enligt artikel 83.2 a, b och g i dataskyddsförordningen.

text: Den aktuella överträdelsen har omfattat ett stort antal registrerade och har pågått under en lång tid. Uppgifterna som förts över har omfattat personnummer och uppgifter om att direkt identifierbara personer köpt integritetskänsliga produkter. Den

text: obehöriga överföringen har därmed inneburit en hög risk för de registrerades fri- och rättigheter i form av risk för förlust av konfidentialitet för skyddsvärda uppgifter. Vidare har överträdelsen skett i en apoteksverksamhet där de registrerade måste anses haft en berättigad förväntan på hög konfidentialitet och att deras personuppgifter inte sprids till obehöriga. Försäljning av receptfria och andra hälsorelaterade produkter måste därtill anses omfattas av Apotekets kärnverksamhet, vilket gör att överträdelsen ska betraktas som mer allvarlig än om så inte varit fallet.

text: I bedömningen av allvarlighetsgraden beaktar IMY även att Apoteket vid tidpunkten för överträdelsen hade vidtagit ett antal lämpliga tekniska och organisatoriska säkerhetsåtgärder. Vidare har personuppgifterna förts över i hashat, det vill säga oläsligt, format till en enda mottagare och det rör sig därmed inte om ett okontrollerat röjande där uppgifterna exempelvis delats till många obehöriga eller funnits publikt tillgängliga på webben.

text: IMY bedömer mot bakgrund av ovanstående omständigheter att det sammantaget rör sig om en överträdelse av artikel 32.1 i datasskyddsförordningen av låg allvarlighetsgrad.

text: IMY ska vid sin bedömning av sanktionsavgiftens storlek även ta hänsyn till sådana försvårande och förmildrande faktorer som förtecknas i artikel 83.2 i dataskyddsförordningen. Efter överträdelsen har Apoteket bland annat fört en dialog med Meta om radering, gett information till de registrerade samt vidtagit åtgärder för att långsiktigt minska risken för liknande incidenter. IMY konstaterar dock att åtgärderna har vidtagits först efter att Apoteket uppmärksammats på föreliggande brister av en utomstående och att de inte kan anses gå utöver vad som förväntas av Apoteket i det aktuella fallet. De vidtagna åtgärderna är därmed inte sådana faktorer som påverkar IMY:s bedömning av sanktionsavgiftens storlek i förmildrande riktning. Detsamma gäller det faktum att Apoteket lämnade in en anmälan om personuppgiftsincident och samarbetat med IMY vid utredningen av den aktuella överträdelsen eftersom det utgör omständigheter som ska anses neutrala vid bestämmandet av sanktionsavgiften. IMY konstaterar att det inte heller i övrigt framkommit några omständigheter som påverkar IMY:s bedömning av sanktionsavgiftens storlek i försvårande eller förmildrande riktning.

text: Sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande

text: Den administrativa sanktionsavgiften ska vara effektiv, proportionerlig och avskräckande. Det innebär att beloppet ska bestämmas så att den administrativa sanktionsavgiften leder till rättelse, att den ger en preventiv effekt och att den dessutom är proportionerlig i förhållande till såväl aktuell överträdelse som till tillsynsobjektets betalningsförmåga.

text: IMY bestämmer utifrån en samlad bedömning att Apoteket ska betala en administrativ sanktionsavgift på 37 000 000 kr. IMY bedömer att detta belopp är effektivt, proportionerligt och avskräckande.

text: Detta beslut har fattats av den vikarierande generaldirektören David Törngren efter föredragning av juristen Maja Welander. Vid den slutliga handläggningen har även tillförordnade rättschefen Cecilia Agnehall, enhetschefen Nidia Nordenström, juristen Shirin Daneshgari Nejad samt it- och informationssäkerhetsspecialisten Petter Flink medverkat.

text: David Törngren, 2024-08-29 (Det här är en elektronisk signatur)

text: Bilaga

text: Information om betalning av sanktionsavgift

text: Kopia till

text: Dataskyddsombud för Apoteket

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om ni är en part som företräder det allmänna ska överklagandet dock ha kommit in inom tre veckor från den dag då beslutet meddelades. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

text: Ni kan e-posta överklagandet till IMY om det inte innehåller några integritetskänsliga personuppgifter eller uppgifter som kan omfattas av sekretess. Myndighetens kontaktuppgifter framgår av beslutets första sida.


text: Apotea AB

text: Apotea har i huvudsak uppgett följande gällande den fråga som IMY granskar.

text: Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016

text: om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av 08-657 61 00 direktiv

text: (allmän dataskyddsförordning).

text: Hashning är en kryptografisk envägsfunktion som kan användas för att åstadkomma pseudonymisering, som är en möjlig säkerhetsåtgärd enligt artikel 32 i dataskyddsförordningen, genom att personuppgifter ersätts med en så kallad hashsumma. Det innebär att de ersatta personuppgifterna inte är tillgängliga i klartext och att det behövs kompletterande uppgifter för att det ska gå att identifiera den registrerade.

text: Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002

text: om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (direktiv om integritet och elektronisk kommunikation).

text: Yttrande 5/2019 om samspelet mellan direktivet om integritet och elektronisk kommunikation och den allmänna dataskyddsförordningen, särskilt när det gäller dataskyddsmyndigheternas behörighet, uppgifter och befogenheter, antaget den 12 mars 2019, punkt 68 och 69. 5 EDPB:s riktlinjer Guidelines 2/2023 on Technical Scope of Art. 5(3) of ePrivacy Directive, punkt 61–63. 6 Ibid, punkt 34.

text: EU-domstolens dom Lindenapotheke,

text: , EU:C:2024:846, punkt 84, 89–91 och 94. 8

text: Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995

text: om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter. 9 EU-domstolens dom den 6 november 2003, Lindqvist,

text: , EU:C:2003:596, punkt 50–51.

text: EU-domstolens dom den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija,

text: , EU:C:2022:601, p. 123– 127.

nyckelord:
Dataskydd
Informationssäkerhet
Dina rättigheter
Internet och appar

slug: apotea-facebook

title: Apotea, gällande Meta-pixel

sammanfattning: Integritetsskyddsmyndigheten konstaterar att Apotea AB, med organisationsnummer 556651-6489, behandlat personuppgifter i strid med 32.1 dataskyddsförordningen1 genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifter vid användning av analysverktyget Meta-pixeln under perioden 22 juni 2020–9 maj 2022. Integritetsskyddsmyndigheten ger Apotea AB en reprimand enligt artikel 58.2 b dataskyddsförordningen för överträdelsen.

text: IMY-2022-3271 Beslut efter tillsyn enligt

text: dataskyddsförordningen – Apotea AB

text: Integritetsskyddsmyndighetens beslut

text: Integritetsskyddsmyndigheten konstaterar att Apotea AB, med organisationsnummer 556651-6489, behandlat personuppgifter i strid med 32.1 dataskyddsförordningen genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifter vid användning av analysverktyget Meta-pixeln under perioden 22 juni 2020–9 maj 2022.

text: Redogörelse för tillsynsärendet

text: Bakgrund

text: Den 11 maj 2022 lämnade Apotea AB (Apotea) in en anmälan om personuppgiftsincident till Integritetsskyddsmyndigheten (IMY). Av anmälan framgick bland annat att Apotea använt Meta Platforms Ireland Limiteds (Metas) analysverktyg Meta-pixeln på sin webbplats www.apotea.se (webbplatsen) för att förbättra sin annonsering mot kunder och mäta trafik på webbplatsen. Apotea uppgav att en potentiell personuppgiftsincident inträffat eftersom mer information än bolaget haft kännedom om förts över till Meta. Apotea upptäckte incidenten genom information från en utomstående.

text: IMY inledde tillsyn i maj 2022 mot bakgrund av de uppgifter som förekom i incidentanmälan. Tillsynen har avgränsats till frågan om Apotea har vidtagit lämpliga tekniska och organisatoriska åtgärder i enlighet med artikel 32 i dataskyddsförordningen.

text: Handläggningen vid IMY har skett genom skriftväxling.

text: Vad Apotea har uppgett

text: Personuppgiftsansvar

text: Apotea är personuppgiftsansvarig för den behandling av personuppgifter som förekommit i samband med användandet av Meta-pixeln (tidigare Facebook-pixeln) och den efterföljande delningen av personuppgifter till Meta (tidigare Facebook).

text: Ändamålet med behandlingen

text: Personuppgiftsbehandlingen vid användandet av Meta-pixeln har skett för ändamålen intressebaserad annonsering och analys. Marknadsföringen avsåg Apoteas sortiment av icke läkemedelsprodukter genom kampanjerbjudanden och handlade således om ett begränsat urval av produkter från Apoteas produktkatalog. Marknadsföringen har uteslutande skett genom annonser på Metas sociala plattformar Facebook och Instagram och endast skett på gruppnivå. Apoteas syfte har varit att använda en begränsad version av Meta-pixeln på webbsidan men den 22 juni 2020 utökades behandlingen, genom aktivering av Meta-pixelns funktion för automatisk avancerad matchning (AAM-funktionen), på grund av ett handhavandefel. Den 9 maj 2022 tog Apotea omedelbart bort analysverktyget från webbsidan efter att bolaget fått information om den oavsiktliga delningen.

text: Vilka uppgifter som förts över till Meta

text: Den utökade personuppgiftsbehandlingen har inneburit ett potentiellt röjande av fler personuppgifter än som var avsett. Apoteas avsikt var att samla in uppgifter om kunders och webbplatsbesökares IP-adresser samt interna produkt-id för produkter som placerades i kundkorgen. Den utökade användningen av Meta-pixeln har lett till att behandlingen även omfattat uppgifter om namn, adress, mejladress, telefonnummer och IP-adress om ett begränsat antal kunder. Apotea har inte delat känsliga personuppgifter, uppgifter om ekonomi, personnummer eller andra integritetskänsliga personuppgifter. Apotea har inte heller fört över uppgifter om kunder som nekat användning av kakor eller använt sig av annonsblockerare. Samtliga uppgifter, utom produkt-id, har krypterats genom hashning innan de fördes över till Meta. Meta har försökt matcha informationen med sin egen hashade information, vilket enbart kunnat ske om individen haft ett konto på Facebook. Efter matchningsprocessen har uppgifterna raderats.

text: Samtliga produkter hos Apotea är klassificerade baserat på typ av produkt. Dessa klassificeringar består av exempelvis handelsvaror, medicintekniska produkter (inklusive självtester), receptfria läkemedel och receptbelagda läkemedel. Utöver klassificeringen kategoriseras produkterna i samband med att en ny produkt läggs till i produktkatalogen genom val av en av de kategorier som finns inlagda i systemet. Det är något som sker oaktat användningen av Meta-pixeln och utgör en del av Apoteas interna rutiner för att underlätta regelefterlevnad. Kategoriseringen sköts direkt i det digitala systemet av en särskild grupp inom Apotea.

text: Apotea har gett Meta tillgång till ett varuregister med utvalda interna artikel-ID för varor som Apotea säljer. Det har på så sätt varit möjligt för Meta att i begränsad utsträckning koppla kundernas personuppgifter till köp av produkter med dessa artikel-id. Varuregistret innehöll dock enbart uppgifter om handelsvaror och hade rensats från produktkategorier som bedömdes känsliga. Registret innehöll inga uppgifter om varor som klassificerats som medicintekniska produkter såsom självtester och kondomer,

text: receptbelagda läkemedel och icke receptbelagda läkemedel. Meta har därmed endast kunnat koppla personuppgifterna till köp av varor som inte ingår i dessa kategorier.

text: Det går inte att utesluta en mindre felmarginal i den begränsade produktkatalogen där exempelvis enstaka felkategoriserade produkter skulle kunna förekomma. Det är dock osannolikt att en sådana felkategoriserade produkter skulle matchas mot en kund eftersom Meta har ett automatiserat system som tar bort sådana produkter och de utesluts därför innan matchningsprocessen vilket innebär att de inte kan kopplas till en kunds köp.

text: Incidentens omfattning

text: Det är inte möjligt att uppge ett exakt antal registrerade som berörts av händelsen då en stor del av underlaget som skulle behövas för en sådan uträkning har gallrats eller endast lagras av Meta. Uppskattningsvis har maximalt 238 234–379 959 kunder påverkats av händelsen. Beräkningen utgår från antalet kunder under den aktuella perioden, uppgifter från Meta om urvalet vid användning av AAM-funktionen och en uppskattning av hur många kunder som använder sig av annonsblockerare. I praktiken kan antalet påverkade vara lägre eftersom ett visst antal kunder nekat till användningen av cookies och andra har saknat konto på Facebook och Instagram vilkets krävts för att en matchning skulle vara möjlig.

text: Det är inte självklart att händelsen utgör en personuppgiftsincident eftersom det inte är klarlagt att det skett en obehörig åtkomst till personuppgifter. Apotea har haft ett avtal med Meta om överföringen och Meta är därmed behörigt att ta emot uppgifterna. Såväl den begränsade som utökade överföringen till Meta är tillåten enligt dataskyddsförordningen. Eftersom beslutet om att utvidga behandlingen inte skett i enlighet med Apoteas interna rutiner har bolaget valt att anmäla händelsen som en personuppgiftsincident.

text: Teknisk och organisatorisk säkerhet

text: Apotea har både före och efter incidenten haft tekniska och organisatoriska åtgärder på plats för att förebygga obehörig och otillåten behandling av personuppgifterna. Åtgärderna har bestått av tekniska säkerhetsåtgärder, åtkomstbegränsningar, interna riskbedömningar och rutiner för beslutsfattande. Endast tre personer, som behövt sådan åtkomst för att utföra för sina arbetsuppgifter, har haft behörighet och åtkomst till inställningarna för Meta-pixeln.

text: Beslut om att inleda en ny eller förändrad personuppgiftsbehandling måste förankras med Apoteas dataskyddsombud. Apotea har även rutiner för riskanalyser och konsekvensbedömningar samt anlitar regelbundet externa jurister för rådgivning i dataskyddsfrågor. Det initiala beslutet om att använda Meta-pixeln fattades innan dataskyddsförordningen trädde ikraft. Apotea har tidigare tagit ställning till att AAMfunktionen inte skulle användas.

text: Apotea har genomfört en intern utredning av händelsen och haft kontakt med ett externt rättsligt ombud för juridisk analys. Personuppgiftsincidenten har uppkommit till följd av ett handhavandefel i strid med Apoteas interna rutiner. Apotea har säkerhetssystem och rutiner implementerade som kan identifiera en förändring av informationsinsamling via webbplatsen. Däremot har inte Apotea haft motsvarande möjlighet att identifiera förändringar i det aktuella fallet eftersom de berott på ändrade inställningar på Apoteas Facebooksida.

text: Efter incidenten har Apotea inlett arbete med att förbättra och förtydliga befintliga rutiner för att undvika framtida incidenter. Apotea har bland annat vidtagit följande åtgärder:

text: • Implementerat nya tekniska säkerhetsåtgärder, åtkomstbegränsningar, interna riskbedömningar och rutiner för beslutsfattande. • Infört ytterligare åtgärder och rutiner för förändringar, som nu även omfattar förändringar som görs via tredjepartsinställningar på webbsidan. • Utvärdering av behovet av att upphandla en tjänst som bl.a. kan identifiera oavsiktlig delning av information från webbsidan. • Utbildat samtlig personal som behandlar personuppgifter om dataskyddsförordningen. • Upphört med all överföring av personuppgifter till Meta. Meta har bekräftat att all tidigare överförd data har raderats. • Uppdaterat all information till kunder och webbplatsbesökare. • Informerat samtliga kunder om den utökade överföringen av personuppgifter via Meta-pixeln.

text: Motivering av beslutet

text: IMY ska inledningsvis ta ställning till om dataskyddsförordningen är tillämplig och om IMY är behörig tillsynsmyndighet. Om så är fallet ska IMY pröva frågan om Apotea är personuppgiftsansvarig och om bolaget har vidtagit lämpliga säkerhetsåtgärder enligt artikel 32 i dataskyddsförordningen för att skydda de personuppgifter som behandlats genom Meta-pixeln, med AAM-funktionen aktiverad, under perioden 22 juni 2020– 9 maj 2022.

text: IMY:s behörighet

text: Tillämpliga bestämmelser

text: Av artikel 95 i dataskyddsförordningen följer att dataskyddsförordningen inte ska innebära några ytterligare förpliktelser för fysiska eller juridiska personer som behandlar personuppgifter, för sådana områden som redan omfattas av skyldigheter enligt det så kallade eDataskyddsdirektivet . eDataskyddsdirektivet har genomförts i svensk rätt genom lagen (

text: ) om elektronisk kommunikation (LEK), där bland annat insamling av uppgifter genom webbkakor regleras.

text: Enligt

text: 9 kap. 28 §

text: LEK, som genomför artikel 5.3 i eDataskyddsdirektivet, får uppgifter lagras i eller hämtas från en abonnents eller användares terminalutrustning endast om abonnenten eller användaren får tillgång till information om ändamålet med behandlingen och samtycker till den. Vidare framgår att detta inte hindrar sådan lagring eller åtkomst som behövs för att överföra ett elektroniskt meddelande via ett elektroniskt kommunikationsnät eller som är nödvändig för att tillhandahålla en tjänst som användaren eller abonnenten uttryckligen har begärt. LEK trädde i kraft den 22 augusti 2022. Under den i ärendet aktuella tiden gällde dock samma krav enligt 6 kap. 18 § lagen om (

text: ) om elektronisk kommunikation. Det är Post- och telestyrelsen (PTS) som är tillsynsmyndighet enligt LEK (

text: 1 kap 5 §

text: förordningen [2022:511] om elektronisk kommunikation).

text: Europeiska dataskyddsstyrelsen (EDPB) har yttrat sig över samspelet mellan eDataskyddsdirektivet och dataskyddsförordningen. Av yttrandet följer bland annat att den nationella tillsynsmyndighet som utsetts enligt eDataskyddsdirektivet är ensamt behörig att övervaka efterlevnaden av direktivet. Däremot är IMY enligt dataskyddsförordningen behörig tillsynsmyndighet för den behandling som inte regleras särskilt i eDataskyddsdirektivet.

text: EDPB har den 7 oktober 2024 antagit riktlinjer gällande den tekniska omfattningen av artikel 5.3 eDataskyddsdirektivet. I riktlinjerna anges bland annat att ett vanligt tillvägagångssätt för företag är användningen av unika identifierare eller beständiga identifierare. Sådana identifierare kan härledas från beständiga personuppgifter (namn, efternamn, mejladress, telefonnummer etc.), som hashas på användarens enhet, insamlad och delad mellan flera personuppgiftsansvariga för att unikt identifiera en person genom olika datamängder (användardata som samlats in genom användandet av en webbsida eller applikation, kundrelationshantering som avser online- eller offlineköp eller prenumerationer etc.). I riktlinjerna klargörs att omständigheten att informationen matas in av användaren inte utesluter tillämpligheten av artikel 5.3 i eDataskyddsdirektivet eftersom informationen tillfälligt lagras på terminalen innan den samlas in. När det gäller insamling genom unika identifierare på webbsidor eller mobilapplikationer ger den insamlande parten instruktioner till webbläsaren (genom kod som distribueras till terminalen/klienten) som skickar informationen. Därmed sker en hämtning av uppgifter och artikel 5.3 är tillämplig. Den omständigheten att den insamlande parten som instruerar terminalen att skicka tillbaka informationen inte är densamma som den som tar emot informationen utesluter inte tillämpligheten av artikel 5.3 i eDataskyddsdirektivet.

text: IMY:s bedömning

text: IMY:s granskning tar sikte på Apoteas användning av Meta-pixeln, ett scriptbaserat verktyg i form av ett kodstycke, på sin webbplats, där den så kallade AAM-funktionen senare kom att aktiveras. Aktiveringen av AAM-funktionen har medfört att pixeln instruerat kundernas webbläsare att samla in och hasha information i form av de personuppgifter som de angett på sidan. Utifrån dessa uppgifter har en unik identifierare skapats som tillfälligt lagrats i användarens terminal och sedan förts över till, och därmed hämtats av, Meta för matchning. Den aktuella behandlingen har därmed omfattat både lagring i och hämtning från användares terminalutrustning som avses i 9 kap. 28 § i LEK, och motsvarande bestämmelse i 6 kap. 18 § lagen om (

text: ) om elektronisk kommunikation.

text: PTS är ensamt behörig att utöva tillsyn över tillämpningen av LEK. IMY:s granskning avser dock om Apotea vidtagit tillräckliga säkerhetsåtgärder, vilket inte är något som regleras särskilt i LEK. IMY är därmed behörig att utreda den fråga som tillsynsärendet gäller.

text: Personuppgiftsansvar

text: Tillämpliga bestämmelser

text: Personuppgiftsansvarig är enligt artikel 4.7 i dataskyddsförordningen den som ensamt eller tillsammans med andra bestämmer ändamål och medel för behandlingen av

text: personuppgifter. Att ändamål och medel kan bestämmas av mer än en aktör innebär att flera aktörer kan vara personuppgiftsansvariga för samma behandling.

text: Den personuppgiftsansvarige ska enligt artikel 5.2 i dataskyddsförordningen ansvara för och kunna visa att principerna i artikel 5.1 efterlevs (principen om ansvarsskyldighet).

text: IMY:s bedömning

text: Apotea har uppgett att bolaget är personuppgiftsansvarigt för den behandling av personuppgifter som förekommit vid användningen av Meta-pixeln och för överföringen av personuppgifter till Meta.

text: Av utredningen framgår att Apotea har beslutat att införa Meta-pixeln, ett scriptbaserat verktyg i form av ett kodstycke som registrerar besökares agerande och överför informationen till Meta, på sin webbsida och därefter aktiverat AAM-funktionen. Syftet med användningen av Meta-pixeln har varit att möjliggöra intressebaserad annonsering och analys. Apotea har därmed bestämt hur behandlingen ska gå till och för vilket ändamål personuppgifterna ska behandlas. IMY bedömer därför att Apotea är personuppgiftsansvarig för den behandling av personuppgifter som har skett genom användandet av Meta-pixeln med AAM-funktionen aktiverad.

text: Har Apotea säkerställt en lämplig säkerhetsnivå för personuppgifterna?

text: Tillämpliga bestämmelser

text: Kravet på att vidta lämpliga skyddsåtgärder

text: Av artikel 32.1 i dataskyddsförordningen följer att den personuppgiftsansvarige ska vidta lämpliga tekniska och organisatoriska åtgärder för att säkerställa en säkerhetsnivå som är lämplig i förhållande till risken med behandlingen. Det ska, enligt samma bestämmelse, ske med beaktande av den senaste utvecklingen, genomförandekostnaderna och behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter. Enligt artikel 32.1 omfattar lämpliga skyddsåtgärder, när det är lämpligt,

text: a) pseudonymisering och kryptering av personuppgifter, b) förmågan att fortlöpande säkerställa konfidentialitet, integritet, tillgänglighet och motståndskraft hos behandlingssystemen och tjänsterna, c) förmågan att återställa tillgängligheten och tillgången till personuppgifter i rimlig tid vid en fysisk eller teknisk incident och d) ett förfarande för att regelbundet testa, undersöka och utvärdera effektiviteten hos de tekniska och organisatoriska åtgärder som ska säkerställa behandlingens säkerhet.

text: I skäl 75 till dataskyddsförordningen anges faktorer som ska beaktas vid bedömningen av risken för fysiska personers rättigheter och friheter. Bland annat nämns förlust av konfidentialitet när det gäller personuppgifter som omfattas av tystnadsplikt samt om behandlingen avser uppgifter om hälsa eller sexualliv. Vidare ska beaktas om behandlingen gäller personuppgifter om sårbara fysiska personer, framförallt barn, eller om behandlingen inbegriper ett stort antal personuppgifter och gäller ett stort antal registrerade.

text: I skäl 76 till dataskyddsförordningen anges att hur sannolik och allvarlig risken för den registrerades rättigheter och friheter är bör fastställas utifrån behandlingens art, omfattning, sammanhang och ändamål. Risken bör utvärderas på grundval av en objektiv bedömning, genom vilken det fastställs huruvida uppgiftsbehandlingen inbegriper en risk eller hög risk.

text: Känsliga personuppgifter

text: Uppgifter om hälsa och sexualliv utgör sådana särskilda kategorier av personuppgifter, så kallade känsliga personuppgifter, som ges ett särskilt starkt skydd enligt dataskyddsförordningen. Det är som huvudregel förbjudet att behandla sådana personuppgifter enligt artikel 9.1 i dataskyddsförordningen, om inte behandlingen omfattas av något av undantagen i artikel 9.2 i förordningen.

text: Uppgifter om hälsa definieras i artikel 4.15 i dataskyddsförordningen som personuppgifter som rör en fysisk persons fysiska eller psykiska hälsa vilka ger information om dennes hälsostatus. I skäl 35 till dataskyddsförordningen anges att personuppgifter om hälsa bör innefatta alla de uppgifter som hänför sig till en registrerad persons hälsotillstånd som ger information om den registrerades tidigare, nuvarande eller framtida fysiska eller psykiska hälsotillstånd.

text: EU-domstolen nyligen slagit fast att i situationen då en aktör som ägnar sig åt onlineförsäljning av läkemedel som endast får säljas av apotek utgör information som kunder anger när de köper läkemedel (såsom namn, adress och detaljer som individualiserar läkemedlet) uppgifter om hälsa, även när det gäller icke-receptbelagd medicin. Enligt EU-domstolen skulle uppgifterna i fråga kunna avslöja information om den registrerades hälsostatus i den mån det går att fastställa ett samband mellan läkemedlet, och dess terapeutiska indikationer eller användningsområden, och en identifierbar person. Att göra olika tolkningar beroende på om läkemedlet är receptbelagt eller inte anses inte vara förenligt med dataskyddsförordningens mål att säkerställa ett starkt skydd för de registrerades grundläggande fri- och rättigheter och skulle stå i strid med bland annat artikel 9.1 i dataskyddsförordningen. Således måste informationen som apotekskunder anger när de köper receptfria läkemedel som endast tillhandahålls av apotek anses utgöra uppgifter om hälsa, även när det bara med viss sannolikhet och inte absolut säkerhet går att konstatera att produkterna är avsedda för dessa kunder. Det är inte heller uteslutet att det, när produkterna är avsedda för andra, går att identifiera och dra slutsatser om dessa personers hälsostatus.

text: EU-domstolen har i målet Lindqvist slagit fast att en uppgift om att en person skadat sin fot och är deltidssjukskriven utgör en personuppgift som rör hälsa enligt dataskyddsdirektivet (direktivet upphävdes genom dataskyddsförordningen). EUdomstolen uttalade i målet att med hänsyn till syftet med dataskyddsdirektivet ska uttrycket "uppgifter som rör hälsa" ges en vid tolkning och anses omfatta uppgifter som rör alla aspekter av en persons hälsa, såväl fysiska som psykiska sådana. EUdomstolen har i det senare avgörandet Vyriausioji tarnybinės etikos komisija konstaterat att begreppet känsliga personuppgifter enligt artikel 9.1 i dataskyddsförordningen ska tolkas brett och bedömt att även personuppgifter som indirekt, efter

text: en intellektuell slutledning eller avstämning, avslöjar en fysisk persons sexuella läggning utgör känsliga personuppgifter enligt den aktuella bestämmelsen.

text: IMY:s bedömning

text: Behandlingen har inneburit en hög risk och krävt en hög skyddsnivå

text: Den personuppgiftsansvarige ska vidta åtgärder för att säkerhetsställa en skyddsnivå som är lämplig utifrån riskerna med behandlingen. Bedömningen av lämplig skyddsnivå ska göras med beaktande av bland annat behandlingens art, omfattning, sammanhang och ändamål samt riskerna, av varierande sannolikhetsgrad och allvar, för fysiska personers rättigheter och friheter.

text: IMY gör följande bedömning av riskerna med den aktuella personuppgiftsbehandlingen.

text: Apotea bedriver försäljning av en stor mängd varor av integritetskänslig natur, bland annat i form av receptbelagda och receptfria läkemedel samt medicintekniska produkter och självtester. Information om enskilda personers köp av sådana varor omfattar i många fall integritetskänsliga personuppgifter och skulle även, i de fall den aktuella informationen säger något om enskilda kunders hälsa, kunna omfattas av den breda definitionen av begreppet känsliga personuppgifter. IMY konstaterar därmed att den aktuella behandlingen omfattar personuppgifter som kräver ett starkt skydd enligt dataskyddsförordningen.

text: Behandlingen har vidare utförts i en apoteksverksamhet där kunden får antas ha särskilda förväntningar på att deras personuppgifter hanteras med en hög grad av konfidentialitet. IMY konstaterar därför att såväl personuppgifternas karaktär som det sammanhang som de behandlats i har medfört ökade risker för de registrerades fri-och rättigheter.

text: IMY konstaterar vidare att den aktuella behandlingen har varit omfattande, Apotea har haft ett stort antal kunder under den period Meta-pixelns AAM-funktion varit aktiverad och bolaget uppskattar att maximalt 238 234–379 959 kunder påverkats av incidenten.

text: Sammanfattningsvis bedömer IMY att behandlingen med hänsyn till sin art, omfattning och sammanhang har inneburit höga risker som medfört ett krav på hög skyddsnivå för personuppgifterna. Åtgärderna skulle bland annat säkerställa att personuppgifterna skyddades mot förlust av kontroll.

text: Apotea har inte vidtagit tillräckliga säkerhetsåtgärder

text: IMY ska därefter bedöma om Apotea har säkerställt den höga skyddsnivå som krävts för personuppgifterna.

text: Av utredningen i ärendet framgår att Apotea tagit ställning till frågan om Meta-pixelns AAM-funktion och beslutat att inte använda sig av den, men att så ändå skett till följd av ett handhavandefel i strid med Apoteas rutiner. Aktiveringen av AAM-funktionen har inneburit att Apotea har fört över fler uppgifter till Meta om kunders köp än som var avsett. Uppgifterna som förts över har omfattat kundernas namn, adress, mejladress och telefonnummer samt Apoteas interna produkt-id för produkter som kunderna köpt.

text: Apotea har dock gjort ett urval och kategorisering av vilka uppgifter som skulle behandlas av Meta-pixeln och försett Meta med ett varuregister som endast innehållit produkt-id för så kallade handelsvaror. Varuregistret har inte innehållit uppgifter om exempelvis medicintekniska produkter såsom självtester och kondomer, receptbelagda läkemedel eller icke receptbelagda läkemedel. Eftersom Apotea endast fört över uppgifter om produkternas interna produkt-id, och inga uppgifter om exempelvis namnet på produkten, har det bara gått att utläsa vilken produkt kunden köpt om den funnits med i varuregistret. Om en kund köpt en integritetskänslig produkt har det därmed, till följd av de säkerhetsåtgärder Apotea vidtagit inför behandlingen, inte framgått av de uppgifter som förts över till Meta vilken produkt som kunden köpt. Det finns inte stöd i utredningen för att det skett en felkategorisering av produkter som medfört att sådana integritetskänsliga uppgifter ändå har gått att utläsa.

text: IMY konstaterar dock att en grundläggande förutsättning för att Apotea ska kunna uppfylla sina skyldigheter enligt dataskyddsförordningen är att bolaget är medvetet om vilken behandling som sker under dess ansvar. Apotea har under en lång period från den 22 juni 2020, då AAM-funktionen aktiverades, till och med den 9 maj 2022, då Meta-pixeln togs bort, fört över fler uppgifter än som var avsett till Meta utan att själva upptäcka det. Vid tidpunkten för överträdelsen har Apotea haft säkerhetssystem och rutiner för identifiering av förändrad informationsinsamling på webbplatsen. Den förändring av behandling av personuppgifter som aktiveringen av Meta-pixeln innebar har inte kunnat identifieras eftersom den berodde på ändrade inställningar på Apoteas Facebooksida. IMY konstaterar att avsaknaden av åtgärder för att upptäcka förändringar på webbsidan som berott på tredjepartsinställningar har medfört att Apotea vare sig har haft kontroll över personuppgiftsbehandlingen eller förmåga att upptäcka den oavsedda överföringen. IMY bedömer att Apotea därmed, även med beaktande av de säkerhetsåtgärder som vidtagits vid tidpunkten för överträdelsen, inte kan anses ha vidtagit lämpliga tekniska och organisatoriska åtgärder i förhållande till de höga risker som behandlingen har inneburit. Apotea har därför behandlat personuppgifter i strid med artikel 32.1 i dataskyddsförordningen.

text: Val av ingripande

text: IMY har möjlighet att rikta ett antal åtgärder, så kallade korrigerande befogenheter, mot den som brutit mot dataskyddsförordningen. Av artikel 58.2 i och artikel 83.2 i dataskyddsförordningen framgår att IMY bland annat har befogenhet att påföra administrativa sanktionsavgifter i enlighet med artikel 83 i samma förordning. Om det är fråga om en mindre överträdelse får IMY enligt vad som anges i skäl 148 till dataskyddsförordningen i stället för att påföra en sanktionsavgift utfärda en reprimand enligt artikel 58.2 b. Hänsyn ska tas till försvårande och förmildrande omständigheter i fallet, såsom överträdelsens karaktär, svårighetsgrad och varaktighet samt tidigare överträdelser av relevans.

text: Den konstaterade överträdelsen har skett genom att Apotea behandlat personuppgifter med en otillräcklig säkerhetsnivå vilket har lett till att bolaget fört över fler personuppgifter än som varit avsett om ett stort antal registrerade till Meta. Överföringen har pågått under en lång tid och har inte upptäckts och åtgärdats förrän en utomstående informerat Apotea om bristen. Överträdelsen har vidare skett i en apoteksverksamhet där de registrerade måste anses haft en berättigad förväntan på hög grad av konfidentialitet. Apotea har dock vidtagit flera åtgärder som begränsat intrånget i kundernas personliga integritet. Bolaget har bland annat vidtagit förebyggande säkerhetsåtgärder innan behandlingen påbörjades som medfört att den oavsiktliga överföringen inte omfattat uppgifter av integritetskänslig karaktär. Vidare

text: har personuppgifterna förts över i hashat, det vill säga oläsligt, format till en enda mottagare och det rör sig därmed inte om ett okontrollerat röjande där uppgifterna exempelvis delats till många obehöriga eller funnits publikt tillgängliga på webben. Vid en sammantagen bedömning finner IMY att det är fråga om en sådan mindre överträdelse som avses i skäl 148 till dataskyddsförordningen och att Apotea därför ska ges en reprimand.

text: Detta beslut har fattats av enhetschefen Nidia Nordenström efter föredragning av juristen Maja Welander.Vid den slutliga handläggningen av ärendet har även it- och informationssäkerhetsspecialisten Petter Flink medverkat.

text: Nidia Nordenström

text: Kopia till

text: Apoteas dataskyddsombud

text: Hur man överklagar

text: Om ni vill överklaga beslutet ska ni skriva till IMY. Ange i skrivelsen vilket beslut ni överklagar och den ändring som ni begär. Överklagandet ska ha kommit in till IMY senast tre veckor från den dag ni fick del av beslutet. Om överklagandet har kommit in i tid sänder IMY det vidare till Förvaltningsrätten i Stockholm för prövning.

type: avgorande