27.5.2025

Huomautus

79. Rekisterinpitäjälle annetaan edellä kohdassa 77 ja 78 todetun menettelyn osalta yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan b alakohdan mukainen huomautus yleisen tietosuoja-asetuksen säännösten vastaisista henkilötietojen käsittelytoimista.  

Ohjaus

80. Apulaistietosuojavaltuutettu antaa rekisterinpitäjälle ohjausta, joka koskee seurantapalveluita, jotka rekisterinpitäjä on asentanut verkkosivustolleen Google, Metan ja New Relicin palveluiden poistamisen jälkeen (ks. tämän päätöksen kohdat 138–144).

Hallinnollinen seuraamusmaksu

81. Tietosuojalain 24 §:n mukaan yleisen tietosuoja-asetuksen 83 artiklassa säädetyn hallinnollisen seuraamusmaksun määrää tietosuojavaltuutetun ja apulaistietosuojavaltuutettujen yhdessä muodostama seuraamuskollegio. Seuraamusmaksua koskeva asia annetaan seuraamuskollegion ratkaistavaksi. Seuraamuskollegion on näin ollen arvioitava, onko rekisterinpitäjälle määrättävä yleisen tietosuoja-asetuksen 58 artiklan 2 kohdan i alakohdan mukainen hallinnollinen seuraamusmaksu apulaistietosuojavaltuutetun antaman huomautuksen lisäksi.

82. Asia saatetaan seuraamuskollegion arvioitavaksi siltä osin kuin kyse on Googlen ja Metan palveluiden käytöstä aikavälillä 25.5.2018 – 8.9.2022.

Verkkoapteekkiasiointia koskevien tietojen välittyminen seurantapalveluntarjoajille

83. Asiassa tarkastellaan aluksi, miten ja mitä tietoja rekisterinpitäjä on välittänyt seurantapalveluntarjoajille. Rekisterinpitäjä on käyttänyt verkkoapteekkisivustollaan Googlen, Metan ja New Relicin seurantapalveluita, kuten Google Analytics -analytiikkatyökalua ja Facebook-seurantapikseliä.

84. Seurantapalveluita verkkosivuilla (tässä tapauksessa: verkkoapteekkisivustolla) käytettäessä seurantapalveluntarjoajille välitetään tietoa verkkosivuvierailijasta. Kun verkkosivuvierailija selaa sivustoa, hänen verkkoselaimensa tekee seurantapalveluntarjoajille välittyviä, HTTP-protokollan mukaisia kutsuja tietojen saamiseksi ja välittämiseksi (tyypillisesti GET- ja POST-kutsuja). Kutsut voivat sisältää tietoa esimerkiksi siitä, millä verkkosivulla henkilö on, ja mitä hän verkkosivulla tekee. Verkkoapteekkisivuston kohdalla kutsuissa voi siten välittyä tietoa esimerkiksi siitä, minkä lääkkeiden tuotesivuilla verkkosivuvierailija on käynyt, tai mitä lääkkeitä hän on lisännyt ostoskoriin.

85. Rekisterinpitäjä on esittänyt tietosuojavaltuutetun toimistolle antamissaan selvityksissä, että se ei ole välittänyt lääkkeitä koskevia ostotietoja seurantapalveluntarjoajille. Rekisterinpitäjän mukaan kaikki lääkkeitä koskevat ostostiedot (mukaan lukien esimerkiksi ostettujen tuotteiden nimet ja kappalemäärät) on maskattu (peitetty) kutsuista ja tehty tällä tavoin täysin tunnistamattomiksi ennen kuin ne on välitetty Googlelle tai Metalle. Rekisterinpitäjä täsmentää 20.9.2024 antamassaan selvityksessä, että New Relicille välitettyjä tietoja ei ole sen näkemyksen mukaan ollut tarpeen maskata, koska New Relicille on välitetty ainoastaan tieto URL-osoitteesta (eli verkkosivun osoitteesta), jossa käyttäjä on vieraillut. Rekisterinpitäjä esittää toteuttaneensa maskauksen muiden seurantapalveluntarjoajien kohdalla siten, että esimerkiksi lääkkeen nimi on korvattu geneerisellä termillä RESEPTILÄÄKE tai ITSEHOITOLÄÄKE, ja tuotenumero on korvattu geneerisellä numerosarjalla 99999 tai 88888.

86. Ilmoittajan tietosuojavaltuutetun toimistolle toimittamassa HAR-tiedostossa, joka on internet-selaimella tehdyn selailun loki, on nähtävissä, että seurantapalveluntarjoajille on välitetty tietoja, joista käy ilmi esimerkiksi verkkosivuvierailijan tarkasteleman lääkkeen nimi ja vahvuus. HAR-tiedostossa on esimerkiksi seuraava, Googlelle välitetty kutsu (HAR-tiedostossa esimerkkilääkkeenä on käytetty Risperdal-nimistä reseptilääkettä):[12]

:method: POST :authority: www.google-analytics.com :scheme: https :path: /j/colect?v=1&_v=j96&aip=1&a=263178262&t=pageview&_s=1&dl=https%3A%2F%2Fwww.yliopistonapteekki.fi%2F risperdal-1-mg-kalvopaallysteinen-tabletti-60-fol-9462 &ul=en-us&de=UTF-8&dt= RISPERDAL%201%20MG%20KALVOP%C3%84%C3%84LLYSTEINEN%20TABLETTI%2060%20fol %20%7C%20Yliopiston%20Apteekki&sd=24-bit&sr=1280x720&vp=521x599&je=0&_u=YEBAAEALAAAAAC~&jid=1141816043&gjid=646866906&cid=838638077.1647008177&tid=UA-58874116-1&_gid=883435436.1647008177&_r=1&gtm=2wg370N43MBT9&cd1=Logged%20out&z=1538257863

content-length: 0 pragma: no-cache cache-control: no-cache sec-ch-ua:  Not A;Brand;v=99, Chromium;v=96, Google Chrome;v=96 sec-ch-ua-mobile: ?0 user-agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/96.0.4664.110 Safari/537.36 sec-ch-ua-platform: Windows content-type: text/plain accept: */* origin: https://www.yliopistonapteekki.fi sec-fetch-site: cross-site sec-fetch-mode: cors

sec-fetch-dest: empty referer: https://www.yliopistonapteekki.fi/ accept-encoding: gzip, deflate, br accept-language: en-US,en;q=0.9,fi;q=0.8

Lisäksi HAR-tiedostosta on nähtävissä, että New Relicille on välitetty esimerkiksi seuraava kutsu:

https://bam.eu01.nr-data.net/events/1/762bdefecf?a=43318820&v=1215.1253ab8&to=MhBSZQoZCENTBxBdVwtacVIMEQleHQcFQFkJGlceCAoJVEcHEBtODBBH&rst=18273&ck=1&ref=https://www.yliopistonapteekki.fi/ risperdal-1-mg-kalvopaallysteinen-tabletti-60-fol-9462

HAR-tiedostossa on nähtävissä myös esimerkiksi seuraava Metalle välitetty kutsu:

:method: GET :authority: www.facebook.com :scheme: https :path: /tr/?id=338447274049098&ev=PageView&dl=https%3A%2F%2Fwww.yliopistonapteekki.fi%2Freseptiasiointi%3Freferer%3D aHR0cHM6Ly93d3cueWxpb3Bpc3RvbmFwdGVla2tpLmZpL3Jlc2VwdGlsYWFra2Vlbi10aWxhdXM_aWRzPTQ0MDU0 &rl=https%3A%2F%2Fwww.yliopistonapteekki.fi%2F risperdal-1-mg-kalvopaallysteinen-tabletti-60-fol-9462 &if=false&ts=1647008231515&sw=1280&sh=720&v=2.9.55&r=stable&ec=0&o=29&fbp=fb.1.1647008231512.1185831514&it=1647008231147&coo=false&exp=p0&rqm=GET

pragma: no-cach cache-control: no-cach sec-ch-ua:  Not A;Brand;v=99, Chromium;v=96, Google Chrome;v=96

sec-ch-ua-mobile: ?0 user-agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/96.0.4664.110 Safari/537.36 sec-ch-ua-platform: Windows accept: image/avif,image/webp,image/apng,image/svg+xml,image/*,*/*;q=0.8 sec-fetch-site: cross-site sec-fetch-mode: no-cors

sec-fetch-dest: image referer: https://www.yliopistonapteekki.fi/ accept-encoding: gzip, deflate, br accept-language: en-US,en;q=0.9,fi;q=0.8

87. Yllä esitetyssä, Metalle välitetyssä kutsussa on erikseen lihavoituna base64-koodattu[13] teksti, joka kuuluu ihmisluettavassa muodossa seuraavasti: https://www.yliopistonapteekki.fi/reseptilaakkeen-tilaus?ids=44054, eli se sisältää tiedon siitä, että verkkosivuvierailija on rekisterinpitäjän verkkoapteekissa valinnut kutsussa muussa kohtaa nimetyn reseptilääkkeen ja painanut valintapainiketta tilaa reseptilääke . Googlelle on välitetty vastaavat tiedot lääkkeestä ja reseptilääkkeen tilausvaiheeseen siirtymisestä (base64-koodattu teksti) erillisissä kutsuissa.[14]

88. Tietosuojavaltuutetun toimiston IT-erityisasiantuntijat ovat arvioineet HAR-tiedoston sisältämiä kutsuja. Edellä esitetyissä GET- ja POST-kutsuissa ei ole nähtävissä rekisterinpitäjän kuvailemaa maskausta, jolla lääkkeestä kertovia tietoja olisi peitetty. Nähtävissä on sen sijaan, että kutsut ovat lähteneet suoraan käyttäjän internet-selaimesta ja että ne ovat sisältäneet verkkovierailuun liittyviä tietoja, kuten lääkkeen nimen (Risperdal), vahvuuden (milligrammamäärä), muodon (kalvopäällysteinen tabletti) ja määrän (tablettien määrä). Rekisterinpitäjä ei ole voinut peittää tietoja sen jälkeen, kun ilmoittaja on ne ladannut, koska kutsut eivät enää kulje rekisterinpitäjän kautta siinä vaiheessa, kun ne on yllä esitetysti ilmoittajan toimesta ladattu. Jos rekisterinpitäjä olisi peittänyt kaikki lääkkeestä kertovat tiedot, ulkopuolisen toimijan (eli tässä tapauksessa yliopiston tutkijaryhmän) ei olisi ollut mahdollista ladata kutsuja, joissa sanotut tiedot ovat näkyvissä. Selvitys siis osoittaa, että rekisterinpitäjä on välittänyt lääkkeestä kertovia tietoja seurantapalveluntarjoajille, eli Googlelle, New Relicille ja Metalle. Rekisterinpitäjän esittämä tietojen peittämisestä lääketilauksen maksuvaiheessa voi kuitenkin pitää paikkansa, eikä ilmoittajan toimittama HAR-tiedosto sisällä maksuvaihetta koskevia kutsuja. Rekisterinpitäjän tietosuojavaltuutetun toimistolle toimittaman selvityksen mukaan lääkkeen maksuvaiheesta on välitetty Googlelle muun muassa seuraavat tiedot sisältäviä kutsuja: Purchase , RESEPTILÄÄKE , price 3,95 [15], 99999 , joissa siis lääkkeen nimi on korvattu sanalla RESEPTILÄÄKE tai ITSEHOITOLÄÄKE, ja tuotenumero on korvattu numerosarjalla. Myös Metalle on välitetty tieto ostamisesta ( Purchase , ecommerce purchase ) sekä päätöskohdissa 20–22 tarkemmin esitetysti muita tietoja.

89. Ilmoittajan toimittama HAR-tiedosto sisältää myös esimerkiksi alla olevan, Googlelle välitetyn kutsun, jossa on nähtävissä rekisterinpitäjän maskaustoimenpiteessään käyttämäksi esittämä numerosarja 99999 ja sana RESEPTILÄÄKE (korostettu kutsuun keltaisella värillä ja lihavoinnilla). Kutsussa lukee kuitenkin myös esimerkiksi RISPERDAL1 MG KALVOPÄÄLLYSTEINEN TABLETTI 60 (korostettu kutsuun turkoosilla värillä ja lihavoinnilla). Sanottu kutsu ei koske maksuvaihetta. Rekisterinpitäjältä on pyydetty selvitystä siitä, onko kyse sen maskaustoimenpiteistä. Rekisterinpitäjä on tietosuojavaltuutetun toimistolle 23.1.2025 antamassaan kuulemisvastauksessa esittänyt, että kutsussa näkyvässä numerosarjassa 99999 ja sanassa RESEPTILÄÄKE ei ole kyse sen maskaustoimenpiteestä ja että lääkkeiden ostotiedot (maksuvaiheen tiedot) on maskattu ennen niiden siirtämistä palveluntarjoajalle.

GET https://www.google-analytics.com/collect?v=1&_v=j96&aip=1&a=263178262&t=event&ni=1&_s=1&dl=https://www.yliopistonapteekki.fi/risperdal-1-mg-kalvopaallysteinen-tabletti-60-fol-9462&ul=en-us&de=UTF-8&dt= RISPERDAL 1 MG KALVOPÄÄLLYSTEINEN TABLETTI 60 fol | Yliopiston Apteekki&sd=24-bit&sr=1280x720&vp=521x599&je=0&ec=Ecommerce&ea=Product Detail View&el=RESEPTILÄÄKE&_u=aGDAAEALAAAAAC~&jid=&gjid=&cid=838638077.1647008177&tid=UA-58874116-1&_gid=883435436.1647008177&gtm=2wg370N43MBT9&cd1=Logged out&pal=Product-card&pa=detail&pr1pr=35.18&pr1id= 99999 &pr1nm= RESEPTILÄÄKE &pr1ca=Reseptilääkkeet&z=1185129767

90. Edellä esitetyt GET- ja POST-kutsut koskevat tilanteita, joissa rekisterinpitäjän verkkoapteekissa vieraileva käyttäjä on selaillut lääkkeitä tai esimerkiksi painanut tietyn lääkkeen kohdalla tilaa reseptilääke -painiketta. Yliopiston tutkijaryhmä, jonka edustaja on toimittanut tietosuojavaltuutetun toimistolle selvityksen rekisterinpitäjän verkkoapteekkisivuilla tehdyistä havainnoista, on vienyt lääkkeen ostoprosessin verkkoapteekissa niin sanottuun checkout-vaiheeseen saakka (eli vaiheeseen, jossa asiakas on painanut verkkoapteekissa valintapainiketta ostoksen viemiseksi maksuvaiheeseen). Ilmoittajan toimittama selvitys ei siten sisällä esimerkiksi tietoja seurannasta maksuvaiheessa tai tilausvahvistussivulla.

91. Rekisterinpitäjä on kuitenkin kertonut tietosuojavaltuutetun toimistolle antamassaan selvityksessä, että seurantapalvelut ovat olleet käytössä myös tilausvahvistussivulla. Rekisterinpitäjän verkkoapteekin tilausvahvistussivulla (eli verkkosivulla, joka latautuu maksuvaiheen jälkeen, kun asiakas on vienyt verkkoapteekkiostoksensa loppuun) on rekisterinpitäjän mukaan ollut yleisen tietosuoja-asetuksen soveltamisaikana käytössä Googlen ja Metan palveluista Google Tag Manager -palvelu, Google Analytics -palvelu  ja Meta-pikseli.[16] Lisäksi rekisterinpitäjän 20.9.2024 toimittaman selvityksen sisältämissä kutsuesimerkeissä on edellä todetusti nähtävissä, että Metalle välitetyissä maksuvaihetta koskevissa kutsuissa[17] on lukenut esimerkiksi sana Purchase (suomeksi: osto, ostos). Google on saanut sanotun tiedon lisäksi muun muassa tiedon siitä, onko asiakas ostanut reseptilääkkeen tai itsehoitolääkkeen (ks. tarkemmin päätöskohdat 20–22). Nämä ostamisesta kertovat kutsut ovat olleet Googlen ja Metan yhdistettävissä esimerkiksi tietyn lääkkeen selailua ja ostoaietta (ostoskoriin lisääminen/tilaa reseptilääke -painikkeen painaminen) koskeviin kutsuihin, ja tiedoista on näin ollen voinut olla pääteltävissä tietyn lääkkeen ostaminen. Käytettäessä saman palveluntarjoajan seurantateknologioita eri verkkosivuilla, kuten tuotesivuilla ja maksuvaiheen sivuilla, seurantapalveluntarjoaja voi saada tietoja, jotka muodostavat kokonaisuuden käyttäjän toimista sivustolla, ja joista voi olla helposti pääteltävissä,[18] mitä tuotteita verkkosivuvierailija on verkkokaupasta tilannut. Lisäksi voidaan todeta ostamisvaihetta koskevien tietojen välittämisen osalta, että 12.9.2022 antamansa selvityksen mukaan rekisterinpitäjä on kerännyt tietoa Facebookin kautta tulleista ostoista, ja se on inhimillisen virheen vuoksi käyttänyt Facebookin markkinointipalvelua (Meta for Business) verkkosivuillaan myös reseptilääkkeiden kohdalla. Metalle on näin ollen suurella varmuudella mennyt tätä kautta tietoa myös lääkkeiden ostamisesta.

92. Lisäksi otetaan huomioon se, että rekisterinpitäjä on sisällyttänyt lääkkeestä kertovia tietoja kolmansille välittämiinsä apteekkiverkkosivujensa URL-osoitteisiin (esim. https://www.yliopistonapteekki.fi/risperdal-1-mg-kalvopaallysteinen-tabletti-60-fol-9462), mikä on mahdollistanut näiden tietojen tallentumisen tarpeettomasti verkkoviestien välittämiseen osallistuvien tietojärjestelmien tietoliikennelokeihin, sekä tätä kautta asiattomien pääsyn[19] näihin tietoihin.

93. Rekisterinpitäjä on esimerkiksi 20.9.2024 päivätyssä kuulemisvastauksessaan todennut, että Googlelle, Metalle ja New Relicille on välittynyt tieto siitä että henkilö on vieraillut tietyillä rekisterinpitäjän verkkoapteekin tuotesivuilla. Koska rekisterinpitäjä on päätöskohdassa 92 esitetysti sisällyttänyt tuotteiden URL-osoitteisiin (verkko-osoitteisiin) lääkkeestä kertovia tietoja, tieto siitä, millä tuotesivulla käyttäjä on vieraillut, on sisältänyt tarkkoja tietoja lääkkeestä. Näin ollen rekisterinpitäjän selvityksestäkin käy ilmi, että se on välittänyt verkkosivuvierailijaan yhdistettävissä olevia, lääkkeestä kertovia tietoja Googlelle, Metalle ja New Relicille.

94. Lääkkeestä kertovien tietojen verkko-osoitteisiin sisällyttämistä koskevan menettelyn osalta voidaan huomioida edelleen, että rekisterinpitäjä on Googlen, Metan ja New Relicin seurantapalveluita käyttäessään itse lisännyt verkkoselaimen HTTP-kutsuihin muuttujia, joita kutsuissa ei muuten tyypillisesti olisi, kun se on välittänyt tietoja seurantapalveluntarjoajille. Käytössä olleiden muuttujien tiedoissa seurantapalveluntarjoajille on kulkenut esimerkiksi lääkkeen nimi, vahvuus ja määrä sekä tieto reseptilääkeasioinnista (esimerkit kutsuista löytyvät tämän päätöksen liitteestä). Muuttujat sisältävät rekisterinpitäjän menettelytavan takia muun muassa tietoa siitä, millä verkkosivulla verkkosivuvierailija on rekisterinpitäjän verkkoapteekkisivustolla. Koska rekisterinpitäjä on sisällyttänyt lääkkeiden tuoteverkkosivujen URL-osoitteisiin lääkkeestä kertovia tietoja, sanotut tiedot ovat tulleet automaattisesti URL-osoitteesta näihin rekisterinpitäjän lisäämiin muuttujiin.

95. Rekisterinpitäjä on tietosuojavaltuutetun toimistolle antamassaan selvityksessä esittänyt, että yliopiston tutkijaryhmän tallentama HAR-tiedosto, joka sisältää esimerkiksi päätöskohdassa 86 esitetyt kutsut, on sen näkemyksen mukaan monilta osin puutteellinen, ja HAR-tiedoston tiedot koskevat ainoastaan yksittäistä käyttäjää ja yksittäistä selauskertaa. Rekisterinpitäjän mukaan tiedot lisäksi muuttuvat käyttäjän tekemien valintojen perusteella. Tietosuojavaltuutetun IT-erityisasiantuntijat ovat arvioineet rekisterinpitäjän esittämää, ja tämän pohjalta voidaan todeta, että yksittäisen käyttäjän Yliopiston Apteekin verkkosivujen selailu ei ole sillä tavoin vain yksittäistä käyttäjää koskevaa, ettei samanlainen sivustojen toiminta toistuisi muillakin käyttäjillä. Lisäksi on selvää, että lääkkeestä kertovien tietojen näkyminen URL-osoitteissa on verkkosivun staattinen rakenneasia, eikä se voi näyttäytyä erilaisena eri käyttäjille.

96. Selvyyden vuoksi todettakoon myös, että seurantapalveluita (kuten Google Analytics) verkkosivuilla käytettäessä on mahdollista, että rekisterinpitäjät saavat seurantapalveluntarjoajalta (kuten Googlelta) jopa yksinomaan anonymisoitua dataa verkkosivuvierailuista. Seurantapalveluntarjoaja saa kuitenkin tiedot verkkosivuvierailijan selaimen lähettämissä HTTP-kutsuissa tunnistettavassa muodossa, ellei rekisterinpitäjä ole itse anonymisoinut tai pseudonymisoinut tietoja ennen kuin se välittää ne seurantapalveluntarjoajalle.[20] Käsillä olevassa asiassa rekisterinpitäjä ei edellä tarkemmin esitetysti ole peittänyt tai muulla tavoin muuttanut kutsuihin sisältyviä tietoja tunnistamattomaan muotoon ennen kuin se on välittänyt ne seurantapalveluntarjoajille.

Rekisteröidyn tunnistaminen

97. Edellä on todettu, että rekisterinpitäjä on välittänyt seurantapalveluntarjoajille verkkovierailuja koskevia tietoja, kuten tietoja tietyn lääkkeen selailusta sekä lääkkeeseen kohdistuvasta ostoaikeesta. Seuraavaksi asiassa on arvioitava, onko kyse ollut henkilötietojen, eli tunnistettavissa olevaa luonnollista henkilöä koskevien tietojen käsittelystä.

98. Rekisterinpitäjän käyttämissä, Googlen, Metan ja New Relicin seurantapalveluissa on kyse niin sanotuista ulkoisista palveluista. Ulkoisia palveluita käytettäessä verkkosivuvierailijasta välittyviä tietoja käsitellään ulkoisen palveluntarjoajan palvelussa, kyseisen palveluntarjoajan (eli tässä tapauksessa Googlen, Metan ja New Relicin) toimesta. Tässä yhteydessä palveluntarjoajille välittyy verkkosivuilla vierailijoista esimerkiksi IP-osoitteita ja muita tietoja, joita voidaan käyttää rekisteröidyn tunnistamisessa.

99. Rekisterinpitäjän seurantapalveluntarjoajille välittämät tiedot ovat tässä tapauksessa sisältäneet esimerkiksi tietoja käyttäjän selaimesta ja päätelaitteesta (ks. tarkemmin päätöskohdat 7–8). Näistä tiedoista muodostettujen yhdistelmien vertailu voi mahdollistaa rekisteröityjen laajamittaisen, automatisoidun tunnistamisen ja profiloinnin, ja samanlaisena toistuva yhdistelmä eri verkkosivuvierailujen yhteydessä kertoo siitä, että kyseessä on todennäköisesti aina sama käyttäjä.[21] Tietoja voidaan näin käyttää rekisteröidyn tunnistamisessa, ja niitä on mahdollista tunnistamis- ja profilointitarkoituksessa yhdistää myös muihin samasta käyttäjästä kerättyihin tietoihin. Lisäksi rekisterinpitäjä on välittänyt seurantapalveluntarjoajille tiedon käyttäjän päätelaitteen IP-osoitteesta, jota niin ikään voidaan käyttää rekisteröidyn tunnistamisessa.[22]

100. Nyt arvioitavassa asiassa rekisteröidyn tunnistamisen mahdollistavat tiedot ovat olleet ulkoisten seurantapalveluntarjoajien yhdistettävissä esimerkiksi lääkkeiden selailusta ja ostoaikeesta kertoviin tietoihin, joita rekisterinpitäjä on edellä tarkemmin esitetysti välittänyt seurantapalveluntarjoajille.  

101. Rekisterinpitäjä on tietosuojavaltuutetun toimistolle antamassaan selvityksessä esittänyt, että verkkosivuvierailijan käyttämän päätelaitteen IP-osoite on sen näkemyksen mukaan käytännössä ainoa tieto, jonka perusteella ulkopuolisen palveluntarjoajan on mahdollista kohtuullisella varmuudella yksilöidä ja jopa tunnistaa yksittäinen käyttäjä (ks. päätöskohta 29). Tämän osalta todettakoon seuraavaa: Verkkosivuvierailijan päätelaitteen IP-osoite näkyy internetissä eri verkkosivuille ja esimerkiksi niihin kytketyille seurantapalveluille. IP-osoite on edellä esitetysti vain yksi käyttäjän yksilöimisessä käytetty arvo. Käyttäjän yksilöiminen verkossa perustuu käytännössä moneen eri arvoon ja käyttäjän toiminnan seuraamiseen, eikä tieto käyttäjän päätelaitteen IP-osoitteesta ole käyttäjän tunnistamiseksi välttämätön. Lisäksi käyttäjän päätelaite (kuten tietokone tai mobiililaite) on mahdollista yhdistää tiettyyn käyttäjään esimerkiksi laitteiden digitaalisten sormenjälkien avulla.[23]

102. Verkkosivuvierailijan tunnistaminen voi tapahtua Googlen ja Metan toimesta myös esimerkiksi seuraavilla tavoin:

Silloin, kun verkkosivuvierailija käyttää verkossa Android-laitetta (kuten matkapuhelinta tai tablettia, jossa on Android-käyttöjärjestelmä), hänen tunnistamisekseen tarvittavat henkilötiedot, mukaan lukien hänen päätelaitteensa IP-osoite, ovat jo Googlen hallussa, koska Android-alusta perustuu Googlen järjestelmiin. Jos käyttäjä samaan aikaan käyttää Yliopiston Apteekin verkkoapteekkipalvelua, joka asettaa Googlen evästeen, ja esimerkiksi kutsun yhteydessä tai muulla tavoin kommunikoi Googlen kanssa, Googlen on mahdollista yhdistää käyttäjä evästeen tai kutsun avulla tiettyyn IP-osoitteeseen. Jos käyttäjä ei erikseen poista Googlen evästeitä, evästeet voivat säilyä ja toimia käyttäjän päätelaitteella jopa vuosia.

Kolmannen osapuolen seurantateknologioiden käyttö mahdollistaa lisäksi sen, että jos käyttäjä käyttää internetiä ja on ollut kirjautuneena Google- tai Facebook-tililleen ennen kuin hän siirtyy Yliopiston Apteekin verkkoapteekkisivustolle, tai hän on kirjautuneena Google- tai Facebook-tililleen samaan aikaan kuin hän selailee Yliopiston Apteekin verkkoapteekkisivustoa, tai hän vierailee Yliopiston Apteekin verkkoapteekkisivustolla ja joskus myöhemmin kirjautuu Google- tai Facebook-tililleen, hänen henkilötietonsa (mukaan lukien hänen päätelaitteensa IP-osoite) ovat jo Googlen ja/tai Metan hallussa, koska hänellä on Google- ja/tai Facebook-tili, ja näitä tietoja voidaan verrata Yliopiston Apteekin verkkoapteekkivierailusta saatuihin tietoihin, ja apteekkisivustolla vierailija voidaan todeta samaksi henkilöksi kuin Google- tai Facebook-tilin haltija. Eli tiedot, jotka on kerätty Yliopiston Apteekin verkkosivuvierailijasta täsmäävät tietoihin, jotka koskevat yksittäistä Google- tai Facebook-tilin haltijaa.

Jos käyttäjä käyttää Googlen tai Metan palvelua, kuten Instagram-, Facebook-, Gmail-, Youtube- tai Google-hakukonepalvelua, sekä samanaikaisesti Yliopiston Apteekin palvelua, joka asettaa Metan tai Googlen evästeen tai muulla tavoin kommunikoi Googlen tai Metan kanssa, sanotut palveluntarjoajat pystyvät yhdistämään evästeen tai kutsun avulla käyttäjän ja IP-osoitteen.[24]

Jos käyttäjä on internetissä, mutta ei ole kirjautuneena Google- tai Facebook-tililleen, ja hän vierailee Yliopiston Apteekin verkkosivulla, joka asettaa Metan tai Googlen evästeen tai muulla tavoin kommunikoi Metan tai Googlen kanssa, sanotut palveluntarjoajat pystyvät yksilöimään käyttäjän esimerkiksi kolmannen osapuolen evästetekniikoilla tai muilla niin sanotuilla tracking-menetelmillä.

Rekisterinpitäjä on kertonut selvityksessään, että Facebookin markkinointipalvelu (Meta for Business) on ollut sillä epähuomiossa käytössä reseptilääkesivuilla. Rekisterinpitäjä on kertomansa mukaan kerännyt tietoa Facebookin kautta tulleista ostoista sekä optimoinut ja kohdentanut mainontaa, joka ei ole kohdistunut reseptilääkkeisiin. Tällöin vähintään ne käyttäjät, joilla on Facebook-tili, ovat olleet suoraan Metan tunnistettavissa.

103. Seurantapalveluntarjoajalla on näin ollen voinut olla kohtuudella käytettävissään keinot, joiden avulla se voi yhdistää esimerkiksi verkkoapteekissa selailtuja lääkkeitä koskevat tai ostoaietta osoittavat tiedot tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön. Selvyyden vuoksi todettakoon, että vaikka verkkoapteekissa vierailija olisi samalla kirjautuneena esimerkiksi Facebook-tililleen, tämä ei vapauta apteekkia vastuusta siitä, mitä tietoja se voi saattaa näiden ulkopuolisten toimijoiden saataville. Metan seurantateknologioita apteekkisivustollaan käyttämällä rekisterinpitäjä mahdollistaa verkkoapteekkivierailua koskevien tietojen yhdistämisen Metan käyttäjätietoihin.

104. Rekisterinpitäjän seurantapalveluntarjoajille välittämien tietojen luonteesta henkilötietoina todettakoon edelleen seuraavaa. Yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdan mukaan henkilötiedoilla tarkoitetaan kaikkia tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön liittyviä tietoja. Samaisen artiklankohdan mukaan tunnistettavissa olevana pidetään luonnollista henkilöä, joka voidaan suoraan tai epäsuorasti tunnistaa esimerkiksi verkkotunnistetietojen perusteella. Kuten Euroopan unionin tuomioistuin on asiassa C-604/22 antamassaan ratkaisussa todennut, tiedon luokitteleminen henkilötiedoksi ei edellytä, että rekisteröity olisi mahdollista tunnistaa suoraan ja ilman lisätietoja.[25] Henkilötiedon käsite kattaa niin ikään tiedot, jotka saadaan henkilötietojen käsittelystä.[26]

105. Verkkoapteekkivierailijat ovat edellisissä kappaleissa esitetysti olleet vähintäänkin epäsuorasti seurantapalveluntarjoajien tunnistettavissa. Rekisterinpitäjän seurantapalveluntarjoajalle välittämät, lääkkeiden selailusta, ostoaikeesta ja ostamisesta kertovat tiedot ovat siten palveluntarjoajaan nähden yleisen tietosuoja-asetuksen 4 artiklan 1 alakohdassa tarkoitettuja, tunnistettavissa olevaa henkilöä koskevia henkilötietoja. 

106. Edellä päätöskohdassa 104 mainitun lisätietojen käytön osalta voidaan lisäksi huomioida, että seurantapalveluntarjoajien käytössä voi olla rekisteröidystä muista lähteistä, kuten erilaisista seurantapalveluista, hakukonehauista, sähköpostipalveluista tai sosiaalisen median päivityksistä saatavia tietoja, joiden avulla rekisteröity voi olla tunnistettavissa. Seurantapalveluita tarjoavilla yrityksillä voi olla käytössään niin ikään rekisteröidyn lähipiiriin kuuluvia henkilöitä koskevia tietoja, joiden avulla voi olla mahdollista saada tarkempi kuva esimerkiksi siitä, kenen käyttöön jokin lääke on tarkoitettu. Euroopan unionin tuomioistuin on esimerkiksi asiassa C-446/21 antamassaan ratkaisussa kommentoinut tapaa, jolla Meta käsittelee henkilötietoja: Nyt käsiteltävässä asiassa ennakkoratkaisupyynnöstä ilmenee, että Meta Platforms Ireland kerää Facebookin käyttäjien […] henkilötietoja, jotka koskevat näiden käyttäjien toimintaa sekä tässä verkkoyhteisöpalvelussa että sen ulkopuolella ja joihin kuuluvat muun muassa tiedot, jotka koskevat verkkoalustalla sekä kolmansien osapuolten verkkosivuilla ja sovelluksissa käymistä, ja seuraa myös käyttäjien selailukäyttäytymistä kyseisillä sivuilla asianomaisille verkkosivuille sisällytettyjen yhteisöliitännäisten ja jäljitteiden avulla. Kuten unionin tuomioistuin on jo todennut, tällainen käsittely on erityisen laaja-alaista, koska se koskee mahdollisesti rajoittamattomia tietoja ja sillä on huomattava vaikutus käyttäjään, jonka verkossa tapahtuvan toiminnan suurta osaa tai jopa miltei koko toimintaa Meta Platforms Ireland tarkkailee, mistä hänelle voi syntyä tunne, että hänen yksityiselämäänsä valvotaan jatkuvasti .[27]

107. Asiassa ei päätöskohdissa 104 ja 117 esitetty lisätietojen käyttömahdollisuus huomioon ottaenkaan ole perusteita katsoa, että rekisterinpitäjän seurantapalveluntarjoajille, kuten Metalle, välittämät tiedot eivät käsittäisi henkilötietoja.

108. Rekisterinpitäjä on esittänyt tietosuojavaltuutetun toimistolle antamassaan selvityksessä, että seurantapalveluntarjoajat eivät sen näkemyksen mukaan voi tunnistaa käyttäjää, koska ne eivät saa teleoperaattorilta tai viranomaisilta tietoa siitä, kenelle mikäkin IP-osoite kuuluu. Todettakoon, että seurantapalveluntarjoaja voi edellä esitetysti yhdistää IP-osoitteen luonnolliseen henkilöön sellaisten tietojen avulla, joihin seurantapalveluntarjoajalla on pääsy, eikä sillä siten ole tarvetta saada teleoperaattorilta tai viranomaisilta tietoja IP-osoitteen haltijasta. Seurantapalveluntarjoaja voi lisäksi tunnistaa käyttäjän muiden tietojen kuin IP-osoitteen avulla, kuten edellä on tarkemmin esitetty.

109. Rekisterinpitäjä on tehnyt seurantapalveluntarjoajien (Google, Meta, New Relic) kanssa henkilötietojen käsittelyä koskevat sopimukset, joissa se on sopinut siitä, miten seurantapalveluntarjoajat käsittelevät seurantapalveluiden avulla kerättyjä verkkosivuvierailijoiden henkilötietoja. Sopimukset osoittavat osaltaan, että rekisterinpitäjä on ollut tietoinen siitä että sanottujen seurantapalveluiden käytössä on kyse henkilötietojen käsittelystä.

110. Rekisterinpitäjä on vedonnut selvityksessään myös siihen, että verkkosivuvierailija on voinut vaikuttaa seurantapalveluiden käyttöön evästevalinnoillaan. Ottamatta kantaa käsittelyperusteeseen, rekisteröity ei saadun selvityksen perusteella ole evästevalintoja tehdessään edes saanut rekisterinpitäjältä asianmukaisesti informaatiota siitä, että evästeiden hyväksyminen voi johtaa lääkkeisiin liittyvien tietojen välittymiseen tietyille seurantapalveluntarjoajille. Rekisterinpitäjän evästebannerissa on esimerkiksi 26.3.2022 lukenut, että ” YA ei kerää evästeillä tietoa käyttäjien resepteistä tai lääkityksestä ”[28]. Selvyyden vuoksi todettakoon, että rekisterinpitäjälle nyt annettava päätös ei koske rekisteröityjen informointia. Evästesuostumuksen osalta tuotakoon huomionomaisesti esille, että rekisteröity ei voi suostua siihen että hänen henkilötietojaan käsitellään tietosuojasääntelyn vastaisesti.

Googlelle ja Metalle välitettyjen tietojen luonteesta

111. Edellä on todettu, että rekisterinpitäjän seurantapalveluntarjoajille välittämät, lääkkeistä sekä lääkkeiden ostoaikeesta ja ostamisesta kertovat tiedot ovat henkilötietoja. Asiassa on seuraavaksi arvioitava seurantapalveluntarjoajille välitettyjen tietojen luonnetta. Näiltä osin tässä päätöksessä arvioidaan yksinomaan seurantapalveluntarjoajille välitettyjen kutsujen sisältämien selailutietojen ja muiden tietojen yhdistelmän muodostamia tietoja, eikä kantaa oteta pelkkien selailutietojen luonteeseen. Arviointi rajoittuu näin ollen tämän kysymyksen osalta niiden seurantapalveluiden käyttöön, joihin on välitetty selailutietojen lisäksi tietoa esimerkiksi lääkkeen ostoaikeesta (Googlen ja Metan palvelut).

112. Rekisterinpitäjä on tietosuojavaltuutetun toimistolle antamassaan selvityksessä esittänyt, että verkkosivuvierailijan verkkoapteekissa selailemia tai esimerkiksi ostoskoriin lisäämiä lääkkeitä koskevat tiedot eivät sen näkemyksen mukaan ole yleisen tietosuoja-asetuksen 9 artiklassa tarkoitettuja terveystietoja ja sitä kautta erityisiin henkilötietoryhmiin kuuluvia tietoja.[29]

113. Terveystiedoilla tarkoitetaan yleisen tietosuoja-asetuksen 4 artiklan 15 alakohdan, luettuna yhdessä yleisen tietosuoja-asetuksen perustelukappaleen 35 kanssa, mukaan kaikkia henkilötietoja, jotka paljastavat tietoja luonnollisen henkilön entisestä, nykyisestä tai tulevasta fyysisen terveyden tai mielenterveyden tilasta. Terveystiedon käsitettä on tulkittava laajasti,[30] ja se käsittää esimerkiksi tiedot, joista selviää tietojen yhdistämisen tai älyllisen päättelyn tai vertailun avulla rekisteröidyn terveydentilaa koskevia tietoja.[31]

114. Kuten tässä päätöksessä on aiemmin esitetty, tiedoista, joita rekisterinpitäjä on välittänyt verkkosivuvierailijasta seurantapalveluntarjoajille, voi olla mahdollista tunnistaa käyttäjä. Päätöskohdassa 102 tarkemmin esitetysti Metan ja Googlen on ollut erityisen vaivatonta tunnistaa ne käyttäjät, joilla on esimerkiksi Facebook- tai Google-tili. Rekisteröidyn tunnistamisen mahdollistavat tiedot ovat olleet yhdistettävissä esimerkiksi tietyn lääkkeen selailusta ja siihen kohdistuvasta ostoaikeesta kertoviin tietoihin, mukaan lukien lääkkeen nimeen ja vahvuuteen. Lääkkeestä on puolestaan mahdollista tehdä päätelmiä henkilön mahdollisesta terveydentilasta. Esimerkiksi Risperdal-lääkettä, jota koskevia tietoja on näkyvissä edellä esitetyissä GET- ja POST-kutsuesimerkeissä, käytetään seuraaviin käyttötarkoituksiin: skitsofrenia, mania, aggressioiden ja psykoottisten oireiden lievittäminen sekä vaikeiden käytöshäiriöiden hoito.[32] Lääkkeen käyttötarkoituksista voi siten olla jopa varsin yksiselitteisesti nähtävissä, millaista vaivaa tai sairautta lääkkeellä hoidetaan. Sama voidaan todeta myös itsehoitolääkkeistä. Esimerkiksi rekisterinpitäjän myymien Laxoberon-kapseleiden ainoa käyttötarkoitus on ummetuksen hoito[33]. Lääkkeiden käyttötarkoitukset ovat helposti löydettävissä esimerkiksi internetistä. Euroopan unionin tuomioistuin on ratkaisussaan asiassa C-21/23 todennut nimenomaisesti, että reseptilääkkeiden ohella myös itsehoitolääkkeitä koskevat tiedot voivat olla yleisen tietosuoja-asetuksen 9(1) artiklassa tarkoitettuja terveystietoja.[34]

115. Rekisterinpitäjä on esittänyt selvityksessään, että verkkoapteekkivierailua koskevista tiedoista ei käy varmuudella ilmi, kenelle lääke on tarkoitettu. Yleisen tietosuoja-asetuksen 9(1) artiklassa säädettyyn lähtökohtaiseen kieltoon ja tietojen luonnehtimiseen terveystiedoiksi ei kuitenkaan vaikuta se, onko kyseessä olevasta käsittelystä ilmenevä tieto paikkansapitävä. Euroopan tietosuojaneuvosto on lausuntokäytännössään tuonut esille, että henkilötiedon luokitteleminen yleisen tietosuoja-asetuksen 9 artiklan mukaiseksi tiedoksi ei ole sidoksissa siihen, kuvaako sanottu luokittelu todellisuutta.[35] Niin ikään on selvää, että tiedon ei tarvitse olla paikkansapitävä ollakseen henkilötieto. Tämä käy ilmi esimerkiksi rekisteröidyn oikeudesta oikaista henkilötietojaan tilanteessa, jossa rekisteröidyn tiedoiksi on erehdyksessä merkitty muun henkilön tietoja.[36] Käsillä olevassa asiassa on riittävää se, että esimerkiksi ostoskoriin lisätyt itsehoitolääkkeet tai reseptilääkkeet, joiden kohdalla verkkosivuvierailija on painanut painiketta ” tilaa reseptilääke ”, on tarkoitettu verkkosivuvierailijan omaan käyttöön vain tietyllä todennäköisyydellä, ei ehdottomalla varmuudella.[37]

116. Asiassa saadun selvityksen perusteella rekisterinpitäjä on välittänyt Googlelle ja Metalle esimerkiksi tietoa siitä, kuka on verkkoapteekissa valinnut tietyn reseptilääkkeen ja painanut kyseisen lääkkeen kohdalla ”tilaa reseptilääke” -painiketta ja lisäksi välittänyt tiedon ostamisesta (purchase-kutsut) ja siitä, että verkkoapteekkivierailija on päätynyt tilausvahvistussivulle.[38] Kaikki edellä mainitut kutsut ovat helposti seurantapalveluntarjoajan yhdisteltävissä yksittäistä verkkoapteekkivierailua koskeviksi kutsuketjuiksi.[39] Erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyä rajoittavan sääntelyn tarkoituksena on varmistaa parempi suoja näille tiedoille, eikä sanottua sääntelyä voida tulkita siten, että sellaisten henkilötietojen käsittely, joista voi ilmetä epäsuorasti luonnollista henkilöä koskevia arkaluonteisia tietoja, jää tehostetun suojajärjestelmän ulkopuolelle.[40]

117. Googlen ja Metan kaltaisilla toimijoilla on niin ikään laaja mahdollisuus tietojen yhdistämiseen, koska ne voivat pystyä keräämään helposti samaa verkkosivuvierailijaa koskevaa tietoa myös muista palveluistaan, kuten sosiaalisen median alustoilta. Verkkosivuvierailija on myös esimerkiksi voinut etsiä Googlen hakukoneella tietoa sairaudesta, ja nämä haut ovat Googlen yhdistettävissä verkkoapteekkivierailua koskeviin tietoihin, mikäli apteekki näitä tietoja Googlelle välittää.[41] Siten ei ole poissuljettua, että tietoja voitaisiin käyttää päätelmien tekemiseen kyseisen verkkosivuvierailijan tai muun henkilön terveydentilasta tai muusta erittäin henkilökohtaisesta henkilön yksityisyyden suojaan vahvasti kuuluvasta asiasta.

118. Lisäksi on huomioitava, että silloin, kun tietoja kerätään kokonaisuutena, joka sisältää terveystietoja, sanotun tietojoukon käsittely voi olla kokonaisuudessaan luokiteltavissa erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyksi. Euroopan unionin tuomioistuin on asiassa C-252/21 antamassa ratkaisussaan todennut tähän liittyen: On täsmennettävä, että tilanteessa, jossa sekä arkaluonteisia tietoja että muita kuin arkaluonteisia tietoja sisältävään tietojoukkoon kohdistetaan tällaisia toimenpiteitä [tietojen kerääminen, yhdistäminen ja käyttäminen] ja jossa se erityisesti kerätään kokonaisuutena eikä tietoja voida niitä kerättäessä erotella, on katsottava, että tämän tietojoukon käsittely on yleisen tietosuoja-asetuksen 9 artiklan 1 kohdan mukaisesti kiellettyä silloin, kun siihen sisältyy vähintäänkin yksi arkaluonteinen tieto eikä mitään yleisen tietosuoja-asetuksen 9 artiklan 2 kohdassa olevaa poikkeusta voida soveltaa .[42] Rekisterinpitäjän seurantapalveluntarjoajille välittämiin, tässä päätösosiossa arvioituihin kutsuihin liittyvä käsittely on siten tämänkin perusteella mahdollista luokitella erityisiin henkilötietoryhmiin kuuluvien tietojen käsittelyksi.

119. Rekisterinpitäjän olisi siten tullut kiinnittää asianmukaista huomiota siihen, että sen käsittelemät tiedot voivat vähintäänkin joiltain osin olla yleisen tietosuoja-asetuksen 9 artiklan mukaisia, erityisiin henkilötietoryhmiin kuuluvia tietoja. On kuitenkin todettava, että riippumatta siitä, onko käsillä olevassa asiassa kyse yleisen tietosuoja-asetuksen 9 artiklassa tarkoitetuista tiedoista, rekisterinpitäjän seurantapalveluntarjoajille välittämät tiedot ovat erittäin henkilökohtaisia tietoja apteekkiverkkosivustolla vierailleesta henkilöstä tai hänen lähipiiristään. Tässä asiassa ei siten ole ratkaisevaa merkitystä sillä, ovatko arvioidut tiedot yleisen tietosuoja-asetuksen 9 artiklan mukaisia tietoja. Tällaisten tietojen huolimaton käsittely voi johtaa merkittäviin kielteisiin seurauksiin rekisteröidyn kannalta, ja se voi helpottaa tällaisten tietojen hankkimista ja käyttämistä esimerkiksi syrjiviin tarkoituksiin ja henkilön profilointiin.

120. Asiassa voidaan kiinnittää lisäksi huomiota siihen seikkaan, että apteekkitoiminnassa käsiteltävät, henkilön terveydentilaa kuvaavat tiedot ovat salassa pidettäviä. Apteekkarin ja hänen apulaisensa salassapitovelvollisuudesta on säädetty lääkelain (395/1987) 90 §:ssä. Sanotun lainkohdan mukaan apteekkari ja hänen apulaisensa eivät saa luvattomasti ilmaista sellaista yksityisen tai perheen salaisuutta, josta he ovat tehtävässään saaneet tiedon. Proviisori ja farmaseutti ovat terveydenhuollon ammattihenkilöistä annetun lain (559/1994, ”ammattihenkilölaki”) mukaisia laillistettuja ammattihenkilöitä, joita koskee lisäksi sanotun lain 17 §:ssä säädetty salassapitovelvollisuus,[43] jonka mukaan terveydenhuollon ammattihenkilö ei saa sivulliselle luvatta ilmaista yksityisen tai perheen salaisuutta, josta hän asemansa tai tehtävänsä perusteella on saanut tiedon. Säännöksen tarkoituksena on turvata luottamuksellisten hoitosuhteiden syntyminen ja olemassaolo sekä yksityisyyden säilyminen. Salassapitovelvollisuus koskee myös sellaisia yksityisen tai perheen salaisuuksia, joita ei merkitä potilasasiakirjaan siihen merkittäviksi kuuluvina, salassa pidettävinä tietoina.[44]

121. Apulaistietosuojavaltuutettu ei ole toimivaltainen ottamaan kantaa siihen, onko rekisterinpitäjä tässä asiassa mahdollisesti rikkonut salassapitovelvoitteitaan. Arvioitaessa henkilötietojen luonnetta voidaan kuitenkin kiinnittää huomiota siihen, että henkilön lääkitystä koskevat tiedot ovat edellä todetusti tietoja, jotka proviisorin ja farmaseutin on pidettävä salassa kolmansilta. Tämä osoittaa tietojen erityislaatuisuutta, joka tulisi ottaa huomioon rekisterinpitäjän toimialalla käsiteltäessä henkilötietoja. Seurantapalveluntarjoajien pääsyn mahdollistaminen apteekkiasiointia koskeviin tietoihin tarkoittaa, että kyseisiä tietoja välitetään kolmansille, ja rekisterinpitäjän on siten tullut kiinnittää tietojen välittämiseen huomiota jo salassapitoa koskevista syistä.[45]

Henkilötietojen suojaamista koskevista velvoitteista (Googlen ja Metan palveluiden käyttö)

122. Rekisterinpitäjä on ladannut apteekkiverkkosivustolleen verkosta saatavia, maksuttomia kolmannen osapuolen seurantapalveluita, joiden avulla on mahdollista seurata, mitä verkkosivuvierailija tekee apteekkiverkkosivustolla. Seurantapalveluita käytettäessä seurantapalveluntarjoajille on välitetty tietoja verkkosivuvierailijasta siten, että verkkosivuvierailija on seurantapalveluntarjoajan tunnistettavissa. Rekisterinpitäjä on käyttänyt verkkoapteekkisivustollaan muun muassa Googlen Analytics -analytiikkatyökalua ja Facebook-seurantapikseliä, joiden kautta itsehoito- ja reseptilääkkeitä koskevia tietoja on välitetty Googlelle ja Metalle. Sanottujen ilmaispalvelujen käytön sijasta rekisterinpitäjän olisi ollut mahdollista esimerkiksi rakentaa seurantaratkaisu palveluunsa itse, [46] tai ottaa käyttöön palvelu, jossa rekisterinpitäjä tosiasiallisesti hallitsee henkilötietojen käsittelyä, tai anonymisoida tietoja ennen niiden välittämistä eteenpäin, jolloin verkkoapteekkiasiointia koskevat henkilötiedot olisivat pysyneet rekisterinpitäjän hallinnassa.

123. Yleisen tietosuoja-asetuksen 32(1) ja 32(2) artikla edellyttävät päätöskohdassa 68 tarkemmin esitetysti rekisterinpitäjältä henkilötietojen käsittelyn turvallisuudesta huolehtimista. Eheyden ja luottamuksellisuuden periaate (yleisen tietosuoja-asetuksen 5(1)(f) artikla) edellyttää niin ikään, että rekisterinpitäjä käsittelee henkilötietoja tavalla, jolla se pyrkii varmistamaan henkilötietojen asianmukaisen turvallisuuden.

124. Asiassa on arvioitava, onko rekisterinpitäjä Metan ja Googlen palveluita käyttäessään huolehtinut asianmukaisesti henkilötietojen, eli tässä tapauksessa verkkoapteekkiasiointia koskevien tietojen, käsittelyn turvallisuudesta apteekkitoiminnassa yleisen tietosuoja-asetuksen 5(1)(f) ja 32 artiklan edellyttämällä tavalla. Rekisterinpitäjä on välittänyt Googlelle ja Metalle myös muita kuin selailutietoja, eikä tämä arviointi siten koske pelkkiä selailutietoja (ks. vastaavasti päätöskohta 111).

125. Keskeistä henkilötietojen käsittelyn turvallisuudesta huolehtimisessa on käsittelyyn liittyvien riskien oikea-aikainen huomioiminen. Kuten Euroopan unionin tuomioistuin on ratkaisukäytännössään todennut, käsittelyn turvallisuutta koskevan yleisen tietosuoja-asetuksen 32 artiklan 1 ja 2 kohtaa noudattaakseen rekisterinpitäjän on suoritettava konkreettinen arviointi kyseessä olevasta käsittelystä aiheutuvista riskeistä ja niiden mahdollisista vaikutuksista luonnollisen henkilön oikeuksiin ja vapauksiin. Tässä arvioinnissa rekisterinpitäjän on otettava huomioon tunnistettujen riskien todennäköisyys ja vakavuus. Rekisterinpitäjän on lisäksi tarkistettava, ovatko sen toteuttamat toimenpiteet mukautettu näihin riskeihin, kun otetaan huomioon uusin teknologia, toteuttamiskustannukset sekä kyseisen käsittelyn luonne, laajuus, asiayhteys ja tarkoitukset.[47] Rekisterinpitäjän on siten arvioitava huolellisesti käsittelystä aiheutuvia riskejä ja toimittava riskiperusteista lähestymistapaa noudattaen esimerkiksi valitessaan verkkoseurannan toteutustapaa.

126. Jäljempänä esitetyin perustein rekisterinpitäjä ei ole ottanut käsittelyn turvallisuutta koskevassa arvioinnissaan tai käytännön tason toimenpiteissään asianmukaisella tavalla huomioon, että kyse on ollut verkkoapteekkiasiointia koskevien, tunnistettavissa oleviin henkilöihin yhdistettävissä olevien tietojen välittämisestä seurantapalveluntarjoajille.

127. Rekisterinpitäjä ei ole ennen käsittelytoimiin ryhtymistä huomioinut asianmukaisesti ensinnäkään sitä, että kyse on vähintäänkin osittain ollut yksityisyyden kannalta riskialttiiden tietojen käsittelystä. Apteekkitoiminnassa, jossa lääketietoja käsitellään merkittävissä määrin ja jossa lääketietojen huolellinen käsittely on korostetun tärkeää,[48] asiamukaisen riskiarvion tekeminen on ollut erityisen keskeistä. Rekisterinpitäjä on tietosuojavaltuutetun toimistolle antamansa selvityksen perusteella katsonut, että sen seurantapalveluille välittämät, verkkoapteekkiasiointia kuvaavat tiedot eivät ole riskialttiita tietoja, vaikka verkkoapteekkiasiakas olisi tunnistettavissa. Huomioitakoon, että rekisterinpitäjä on verkkokauppa-alustan tietosuojan vaikutustenarviointia koskevissa asiakirjoissaan todennut, että ” YA:n verkkokaupassa terveystietoja ovat selkeästi resepti- ja itsehoitolääkkeitä koskevat tiedot ”. Rekisterinpitäjä kuitenkin esittää tietosuojavaltuutetun toimistolle antamissaan selvityksissä, että asia on ollut sille epäselvä. Asiassa saadun selvityksen perusteella rekisterinpitäjä ei ole vaikutustenarviointia koskevissa asiakirjoissa esittämästään arviosta huolimatta luokitellut tässä asiassa tarkasteltuja, tietoja terveystiedoiksi tai noudattanut epäselväksi kokemassaan tilanteessa asianmukaista, riskiperusteista lähestymistapaa sanottujen henkilötietojen käsittelyssä. Jotta rekisterinpitäjä olisi voinut tehdä yleisen tietosuoja-asetuksen 32 artiklan edellyttämän asianmukaisen arvioinnin riskeistä ja niiden mahdollisista vaikutuksista luonnollisen henkilön oikeuksiin ja vapauksiin, sekä ryhtyä tarvittaviin toimenpiteisiin, rekisterinpitäjän olisi tullut kiinnittää jo ennen käsittelytoimien aloittamista huomiota siihen, että se on aikeissa käsitellä seurantapalveluiden kautta sellaisia henkilötietoja, jotka voivat olla luonteeltaan hyvin henkilökohtaisia, ja joita rekisterinpitäjän tulisi suojata erityisen hyvin[49]. 

128. Rekisterinpitäjä ei ole asiassa saadun selvityksen perusteella, edellä tarkemmin läpikäydysti, ottanut riskiarvioinnissa ja sen edellyttämien toimenpiteiden toteuttamisessa riittävällä tavoin huomioon myöskään siitä, miten henkilö voidaan tunnistaa verkossa. Rekisterinpitäjä on selvityksessään tämän osalta esimerkiksi esittänyt, että IP-osoite on käytännössä ainoa tieto, jonka perusteella seurantapalveluntarjoajan on mahdollista kohtuullisella varmuudella yksilöidä ja jopa tunnistaa yksittäinen käyttäjä. Rekisterinpitäjä on niin ikään esittänyt, että seurantapalveluntarjoajan toimesta tapahtuva käyttäjän yhdistäminen IP-osoitteeseen edellyttäisi internetoperaattorilta tai viranomaisilta saatua tietoa siitä, kuka tietyn IP-osoitteen takana oleva käyttäjä on, tai vaihtoehtoisesti sitä, että rekisterinpitäjän apteekkiverkkosivustoa selaileva henkilö on samanaikaisesti kirjautuneena Googlen tai Metan palveluun. Jälkimmäisestä huomiostaan huolimatta rekisterinpitäjä ei ole edes näiltä osin ryhtynyt tunnistettua riskiä vastaaviin toimenpiteisiin asianmukaisen turvallisuustason varmistamiseksi henkilötietojen käsittelyssä. Silloin, kun verkkosivuvierailija on kirjautuneena Googlen tai Metan palveluun (kuten Gmail- tai Facebook-palveluun), Google/Meta pystyy suoraan tunnistamaan kyseisen henkilön sekä seuraamaan rekisterinpitäjän asentamien seurantateknologioiden kautta, mitä hän tekee rekisterinpitäjän verkkoapteekissa, eli seuraamaan esimerkiksi sitä, mihin vaivaan tai sairauteen tarkoitettujen lääkkeiden kohdalla hän tekee toistuvasti vähintäänkin ostoaikeesta kertovia toimenpiteitä verkkoapteekissa.

129. Rekisterinpitäjä on tässä päätöksessä kohdissa 20–22 tarkemmin kuvatusti esittänyt maskanneensa (peittäneensä) lääkkeitä koskevia tietoja ennen niiden välittämistä Googlelle ja Metalle. Ilmoittajalta saadun teknisen selvityksen perusteella rekisterinpitäjä ei ole peittänyt yksityiskohtaisia lääketietoja sisältävistä GET- ja POST-kutsuista esimerkiksi kaikkia lääkkeistä kertovia tietoja ennen kuin se on välittänyt ne seurantapalveluntarjoajille. Sanotuista, verkkosivuvierailijan selaimen lähettämistä kutsuista on ollut siten nähtävissä esimerkiksi, millä verkkosivulla (kuten lääkesivulla) verkkosivuvierailija on, ja minkä lääkkeen kohdalla verkkosivuvierailija on painanut tilauspainiketta. Mikäli rekisterinpitäjän aikomuksena on ollut peittää lääkkeitä koskevat tiedot myös muista kuin maksuvaihetta koskevista kutsuista[50], se on vähintäänkin jättänyt yleisen tietosuoja-asetuksen 32(1)(d) artiklan mukaisesti tarkastamatta, mitä tietoja verkkoapteekkiasioinnista seurantapalveluntarjoajille välittyy.

130. Koska rekisterinpitäjä on selvityksessään esittänyt, että se on peittänyt seurantapalveluntarjoajille välittämistään kutsuista tietoja ensisijaisesti nimenomaan verkkoapteekkiostoksen maksuvaiheessa, todettakoon, että lääketietojen välittymisen kannalta tällainen toimenpide on ollut vähämerkityksinen, koska saadun selvityksen perusteella rekisterinpitäjä on välittänyt peittämättöminä esimerkiksi lääkkeen selailua koskevan tiedon, lääkkeen tilauspainikkeen painamista koskevan tiedon, sekä lisäksi tiedon ostamisesta (”purchase”). Seurantapalveluntarjoajan on ollut mahdollista helposti yhdistää eri toimenpiteitä koskevat tiedot toisiinsa yhdistämällä käyttäjän yksilöiviä tunnistetietoja ja selailutietoja ja saaden näin kokonaiskuvan verkkosivuvierailijan toimista apteekkiverkkosivustolla.[51] Lisäksi, kuten edellä on tarkemmin esitetty, seurantapalveluntarjoajan on ollut mahdollista tunnistaa verkkosivuvierailija. Rekisterinpitäjä ei näin ollen ole tehnyt asianmukaista arviota tai tarkistusta sen osalta, ovatko sen toteuttamat toimenpiteet mukautettu verkkoapteekkiasiointia koskevien henkilötietojen käsittelyyn liittyviin riskeihin.

131. Rekisterinpitäjän on yleisen tietosuoja-asetuksen 5(1)(f) ja 32 artiklaa koskevien velvoitteidensa noudattamiseksi tullut seurantaratkaisua valitessaan kiinnittää asianmukaista huomiota myös siihen, että sillä ei ole tosiasiallista mahdollisuutta valvoa sen valitsemien seurantapalveluntarjoajien (Google, Meta) suorittamaa lääketietojen käsittelyä.[52] Asiassa on kyse verkosta ladattavista, lähtökohtaisesti maksuttomista seurantapalveluista, jotka käyttöön ottaakseen tulee hyväksyä seurantapalveluntarjoajan laatima henkilötietojen käsittelysopimus. Rekisterinpitäjä ei ole voinut laatia haluamanlaistaan sopimusta itse tai pystynyt käytännössä todentamaan, että seurantapalveluntarjoaja noudattaa sovittua. Rekisterinpitäjän olisi ennen seurantapalveluiden käyttöönottoa tullut tältäkin osin tehdä asianmukainen arvio menettelyyn liittyvistä riskeistä ja epäkohdista ja toteuttaa sen mukaiset toimenpiteet, jotta rekisteröityjen lääketietoja käsiteltäisiin asianmukaisesti ja rekisteröityjen kohtuulliset odotukset huomioiden.[53] Rekisterinpitäjä on esittänyt selvityksessään, että sen tarkoituksena ei ole ollut seurata sen valitsemien seurantapalveluiden avulla yksittäisen verkkosivuvierailijan toimintaa tai tunnistaa verkkosivuvierailijaa, ja se ei ole itse tehnyt  asiakasryhmittelyä tai profilointia resepti- tai itsehoitolääkkeiden perusteella. Rekisterinpitäjä ei ole esittämästään huolimatta valinnut verkkosivustolleen esimerkiksi sellaista seurantaratkaisua, joka ei kerää verkkosivuvierailijaa yksilöiviä tietoja.[54] Rekisterinpitäjällä on ollut tässä asiassa arvioitujen seurantapalveluiden käyttämiselle vaihtoehtoja, joita käytettäessä verkkoapteekkiasiointia koskevat henkilötiedot pysyvät rekisterinpitäjän hallinnassa. Rekisterinpitäjä olisi esimerkiksi voinut anonymisoida verkkokutsuista verkkoapteekkivierailijan yksilöivät tunnistetiedot ja lääketiedot ennen niiden välittämistä kolmansille osapuolille, tai vaihtoehtoisesti toteuttaa seurantapalvelut ilman tietojen välittämistä kolmansille osapuolille.

132. Lisäksi on huomioitava, että sisällytettäessä lääkkeistä kertovia tietoja verkkoviesteihin, ne eivät ole tavanomaisten viestinnän suojausmekanismien piirissä. Viestinvälityksen luontaisen dynaamisuuden vuoksi sanotut tiedot päätyvät tällöin ennakoimattomasti tuntemattomien viestinvälittäjien haltuun, mikä mahdollistaa tietojen hyödyntämisen. Muun muassa käsittelyketjuun kuuluvat alihankkijat, joita voi olla lukuisia, voivat lokittaa kutsujen parametrejä, kuten tietoja, jotka kertovat verkkoapteekkivierailijan selaamista ja ostoskoriin lisäämistä lääkkeistä. Rekisterinpitäjän on otettava tällaiset seikat huomioon, kun se arvioi, miten se voi käsitellä verkkoapteekkiasioinnissa syntyviä henkilötietoja. Rekisterinpitäjän menettelyn seurauksena sanottuihin tietoihin on näin ollen voinut päästä käsiksi monia muitakin tahoja kuin vain seurantapalveluntarjoajat.

133. Rekisterinpitäjä on tietosuojavaltuutetun toimistolle antamassaan kuulemisvastauksessa esittänyt, että evästeiden kautta saatavien tietojen ja IP-osoitteiden tulkintaan henkilötietoina liittyvä oikeustila on sen näkemyksen mukaan ollut pitkään epäselvä. Rekisterinpitäjä on lisäksi esittänyt, että tilattavien lääkkeiden asemaan yleisessä tietosuoja-asetuksessa tarkoitettuina terveystietoina liittyvä oikeustila on niin ikään ollut pitkään epäselvä. Rekisterinpitäjä on tämän perusteella katsonut, ettei sillä ole ollut riittävää varmuutta siitä, käsitteleekö se näiltä osin verkkoapteekkitoiminnassaan henkilötietoja tai terveystiedoiksi luokiteltavia tietoja. On todettava, että Euroopan unionin tuomioistuimet ovat vakiintuneessa oikeuskäytännössään katsoneet, että IP-osoite on henkilötieto.[55] Esimerkiksi asiassa Scarlet Extended annettu ratkaisu on jo vuodelta 2011 (C-70/10). IP-osoite ei myöskään ole välttämätön tieto verkkosivuvierailijan tunnistamiseksi, kuten edellä on tarkemmin esitetty. On myös selvää, että rekisterinpitäjä ei voi jättää noudattamatta esimerkiksi riskiperusteista lähestymistapaa henkilötietojen käsittelyssä, jos johonkin menettelytapaan ei ole saatavilla Euroopan unionin tuomioistuimen kannanottoa tai jos rekisterinpitäjä kokee asiasta epävarmuutta.[56]

134. Rekisterinpitäjä ei tässä päätöksessä arvioiduilta osin ole suojannut verkkoapteekkiasiointia koskevia henkilötietoja käsittelyyn liittyviin riskeihin nähden riittävällä tavoin, vaan suuri määrä tietoja on välitetty edellä mainituille kolmansille osapuolille. Lääkkeiden käyttöön liittyvät tiedot ovat luonteeltaan hyvin henkilökohtaisia. Sanottujen tietojen suojaamisessa on myös kyse lääkehuoltoa kohtaan tunnetun luottamuksen säilyttämisestä ja luottamuksellisen apteekkiasioinnin turvaamisesta. Rekisterinpitäjän on huomioitava tällaiset seikat, kun se arvioi käsittelyyn liittyvien riskien vakavuutta ja asianmukaisia henkilötietojen suojaamistoimenpiteitä. Selvyyden vuoksi todettakoon, että verkkoapteekkisivuston toimiminen ei edellytä esimerkiksi henkilötietomuotoisten lääketietojen välittämistä tässä asiassa tarkastelluille Googlen tai Metan seurantapalveluille.

New Relicin seurantapalvelun käyttö ja tietojen minimointivelvollisuus

135. Asiassa saadun selvityksen perusteella rekisterinpitäjä on välittänyt New Relicille kutsuja, jotka ovat sisältäneet yksityiskohtaista tietoa verkkoapteekkivierailijoiden selailemista lääkkeistä (ks, tarkemmin esim. päätöskohdat 7, 8 ja 86). Rekisterinpitäjän mukaan New Relic -palvelun avulla on valvottu apteekkiverkkosivuston ja sen palvelujen suorituskykyä. Tietosuojavaltuutetun toimiston selvitystyön yhteydessä rekisterinpitäjä on arvioinut uudelleen New Relic -palvelun IP-osoitetiedon välittävän Browser Agent -moduulin käyttöä ja päätynyt poistamaan kyseisen ohjelmistomoduulin käytöstään.

136. Saadun selvityksen perusteella rekisterinpitäjä ei ole ennen sanotun palvelun käyttöönottoa arvioinut asianmukaisella, yleisen tietosuoja-asetuksen, 5(1)(c) ja 25(2) artiklan edellyttämällä tavalla[57], käsittelyn tarpeellisuutta. Lääkkeistä kertovat tiedot ja tiedot, joita voidaan käyttää verkkoapteekkivierailijan tunnistamisessa, eivät ylipäätään ole tietoja, joita olisi ollut tarpeen välittää eteenpäin verkkosivuston suorituskyvyn valvontatarkoitusta varten.[58]

137.Todettakoon, että rekisterinpitäjän välittämistä lääkkeiden selailutiedoista voi olla esimerkiksi nähtävissä, että verkkoapteekkivierailija selaa tiettyyn vaivaan tai sairauteen käytettäviä lääkkeitä toistuvasti. Erityisesti pidemmällä aikavälillä kerätyistä lääketiedoista, joista voi käydä ilmi esimerkiksi se, että henkilö käy toistuvasti tiettyjä lääkkeitä koskevilla apteekkiverkkosivuilla, muodostuu seurantapalveluntarjoajalle kattava tietovaranto, jota on mahdollista hyödyntää rekisteröidyn profiloinnissa.[59] Selailukäyttäytymisdatasta voi olla pääteltävissä myös esimerkiksi sairastamisjakson pituus. Rekisterinpitäjän on siten tärkeää arvioida ennen käsittelytoimiin ryhtymistä, mitä tietoja sen on tosiasiallisesti tarpeen välittää eteenpäin.[60] Koska New Relic -palvelun kohdalla edellä kuvattujen tietojen välittäminen on ollut jo lähtökohtaisesti tarpeetonta, asiassa ei arvioida New Relicin käytön osalta muiden tietosuojasäännösten noudattamista.

Rikkomisen luonne ja kesto

27. Seuraamuskollegio huomioi rikkomisen keston osalta, että saadun selvityksen perusteella rekisterinpitäjä on pääosin poistanut tässä asiassa arvioidut seurantapalvelut verkkoapteekkisivustoltaan syyskuuhun 2022 mennessä. Apulaistietosuojavaltuutetun päätöksestä ilmi käyvän selvityksen perusteella rekisterinpitäjä on käyttänyt verkkoapteekkisivustollaan Googlen seurantapalveluita toukokuusta 2015 alkaen, eli rekisterinpitäjä on välittänyt lääkkeisiin liittyviä henkilötietoja Googlelle yleisen tietosuoja-asetuksen soveltamisajan alkamisesta asti.[70] Merkittävin Googlen seurantapalvelu, eli Google Analytics, on rekisterinpitäjän mukaan poistettu verkkoapteekkisivustolta 14.4.2022, eli ennen tietosuojavaltuutetun toimiston selvitystyön alkamista.[71] Rekisterinpitäjän mukaan Meta-pikseli (entinen Facebook-pikseli) on poistettu käytöstä koko verkkoapteekkisivustolta 8.9.2022. Sanottu seurantapikseli on rekisterinpitäjän arvion mukaan otettu käyttöön lääkeverkkosivuilla joko 1.10.2020 tai 21.3.2021, eli rekisterinpitäjä on välittänyt lääkkeisiin liittyviä henkilötietoja Metalle (aiemmin: Facebook) vähintään noin puolentoista vuoden ajan. Tässä asiassa arvioitu rikkominen on keskeisimmiltä osin kestänyt siten noin neljä vuotta yleisen tietosuoja-asetuksen soveltamisaikana.

28. Seuraamuskollegio huomioi rikkomisen luonteen osalta, että rikkomisessa on ollut kyse rekisterinpitäjän tavanomaisesta ja suunnitelmallisesta toimintatavasta. Rekisterinpitäjä on käyttänyt tässä asiassa arvioituja seurantapalveluita verkkoapteekkisivustollaan esimerkiksi saadakseen analytiikkadataa, kuten tietoa Facebook-yhteisöpalvelun kautta tulleista ostoista. Rekisterinpitäjä ei apulaistietosuojavaltuutetun päätöksessä tarkemmin esitetysti ole puuttunut tässä yhteydessä asianmukaisesti siihen, että seurantapalveluntarjoajille välittyy näin toimittaessa lääkkeisiin liittyviä henkilötietoja, jos verkkoapteekkivierailija hyväksyy evästeiden käytön.

29. Edellä esitetyin perustein rikkomisen luonnetta ja kestoa on asiassa pidettävä hallinnollisen seuraamusmaksun määräämistä puoltavana seikkana.

Tietojenkäsittelyn luonne, laajuus tai tarkoitus sekä henkilötietoryhmät, joihin rikkominen vaikuttaa

30. Rekisterinpitäjältä 20.9.2024 saadun selvityksen mukaan vuonna 2021 Yliopiston Apteekin verkkosivustolla on käynyt arviolta [lukumäärätieto poistettu] laitetta per viikko. Rekisterinpitäjän mukaan tämä lukumäärä on keskimääräinen arvio ja yksittäinen otos, joka voi vaihdella suuresti eri vuosien ja kuukausien välillä. Rekisterinpitäjän mukaan sen mittauksen perusteella noin 20–30 % Yliopiston Apteekin verkkosivuston kävijöistä kieltää evästeiden käytön kokonaan. Rekisterinpitäjän selvityksen mukaan aikavälillä 2018–2024 lääketilausten kuukausittainen keskiarvo on ollut noin [lukumäärätieto poistettu] tilausta kuukaudessa ja vuosina 2018–2022 lääketilauksia on tehty yhteensä [lukumäärätieto poistettu].[72] Rekisterinpitäjän mukaan on tyypillistä, että sama rekisteröity tekee vuoden aikana useampia tilauksia, ja erityisesti reseptilääkkeitä koskevat tilaukset ovat toistuvia. Selvityksessä esitetyn perusteella vuosittain niiden rekisterinpitäjän apteekkiverkkosivustolla käyneiden, seurantapalveluiden avulla seurattujen henkilöiden määrän, jotka ovat vähintäänkin osoittaneet lääkkeen ostoaietta,[73] ja sitä kautta niiden rekisteröityjen määrän, joiden tietosuojaoikeuksille on tässä päätöksessä arvioiduilta osin aiheutunut riskiä, voidaan joka tapauksessa katsoa ylittävän [lukumäärätieto poistettu] rekisteröidyn rajan.  Rekisteröityjen lukumäärästä käytettävissä olevien tietojen perusteella on siten selvää, ettei rekisteröityjen joukko ole ollut pieni. Seuraamuskollegio toteaa, että rekisteröityjen lukumäärä puoltaa asiassa seuraamusmaksun määräämistä.

31. Rekisteröityjen lukumäärästä ja siitä, että kyse on verkossa tapahtuvasta toiminnasta, jossa verkkosivuvierailijan eri toimista kertyy yksilöitävissä olevia tietoja, rekisterinpitäjän käsittelemien henkilötietojen määrän on niin ikään katsottava olevan suuri.

32. Apulaistietosuojavaltuutetun päätöksessä tarkemmin esitetysti rikkominen on koskenut luonteeltaan erittäin yksityisiksi katsottavien tietojen käsittelyä[74]. Rekisterinpitäjä on välittänyt seurantapalveluntarjoajille tietoja, jotka kertovat esimerkiksi tietyn itsehoitolääkkeen selailusta ja aikomuksesta tilata kyseinen itsehoitolääke, tai tietyn reseptilääkkeen selailusta ja aikomuksesta tilata kyseinen reseptilääke. Selailutiedosta yhdistettynä ostoaikeesta kertovaan tietoon voi esimerkiksi olla pääteltävissä, mitä lääkkeitä henkilöllä voi olla käytössä, tai millaisia vaivoja tai sairauksia hänellä on.

33. Tietojenkäsittelyn luonne ja laajuus sekä henkilötietoryhmät, joihin rikkominen vaikuttaa, puoltavat asiassa seuraamusmaksun määräämistä.

Rikkomisen tahallisuus tai tuottamuksellisuus

34. Aiemmin mainituissa Euroopan tietosuojaneuvoston sekä tietosuojatyöryhmän antamissa ohjeissa on todettu tahallisuuden edellyttävän yleensä tietoista ja tarkoituksellista rikkomista. Tahallisia rikkomisia, jotka ilmentävät piittaamattomuutta lainsäädännöstä, pidetään yleisesti vakavampina kuin tuottamuksellisia rikkomisia.[75]

35. Todettakoon, että rekisterinpitäjälle voidaan määrätä seuraamus yleisen tietosuoja-asetuksen soveltamisalaan kuuluvasta menettelystä, jos rekisterinpitäjä ei voinut olla tietämättä, että sen menettely on luonteeltaan sääntöjenvastaista, riippumatta siitä, oliko se tietoinen siitä, että se rikkoi yleisen tietosuoja-asetuksen säännöksiä.[76] Euroopan unionin tuomioistuin viittaa ratkaisukäytännössään nimenomaan kilpailuoikeudelliseen tahallisuuden ja tuottamuksellisuuden arviointiin[77], joka on erotettava rikosoikeudellisesta tahallisuus- ja tuottamuksellisuusarvioinnista.

36. Seuraamuskollegio toteaa jäljempänä esitetyin perustein, ettei asiassa voida katsoa olevan kyse rikkomisesta, joka ei ole seurausta rekisterinpitäjän menettelyn tahallisuudesta tai huolimattomuudesta.[78]

37. Seuraamuskollegio kiinnittää huomioita erityisesti siihen seikkaan, että rekisterinpitäjä on menettelytavan käyttöönoton yhteydessä tietoisesti ja harkitusti päättänyt, että se välittää tietoja verkkosivuvierailijan toimista, mukaan lukien lääkkeisiin kohdistuvasta kiinnostuksesta ja ostoaikeesta, seurantapalveluntarjoajille.

38. Apulaistietosuojavaltuutetun päätöksestä ilmi käyvän selvityksen perusteella rekisterinpitäjä on maskannut lääkkeistä kertovien tietojen osalta maksuvaihetta koskevat kutsut, joihin se on sekä Googlen että Metan kohdalla jättänyt näkyviin tiedon siitä, että kutsu koskee ostamista, sekä Googlen kohdalla myös tiedon siitä, että kutsu koskee nimenomaan reseptilääkkeen tai itsehoitolääkkeen ostamista. Siinäkin tapauksessa, että rekisterinpitäjä olisi pyrkinyt peittämään lääkkeistä kertovia tietoja myös muista kutsuista,[79] se ei ole saadun selvityksen perusteella huolehtinut esimerkiksi huolellisesti testaamalla, että lääkkeistä kertovia tietoja ei välity seurantapalveluntarjoajille. Kuten apulaistietosuojavaltuutetun päätöksessä on todettu, yleisen tietosuoja-asetuksen 32(1)(d) artikla edellyttää nimenomaisesti, että rekisterinpitäjän on toteutettava riskiä vastaavan turvallisuustason varmistamiseksi menettely, jolla testataan, tutkitaan ja arvioidaan säännöllisesti teknisten ja organisatoristen toimenpiteiden tehokkuutta tietojenkäsittelyn turvallisuuden varmistamiseksi.

39. Rekisterinpitäjä on lisäksi kertonut selvityksessään, että Facebookin markkinointipalvelu (Meta for Business) on ollut sillä epähuomiossa käytössä reseptilääkesivuilla, ja tähän menettelyyn liittyvä Meta-pikseli on poistettu käytöstä tietosuojavaltuutetun toimiston selvitystyön yhteydessä 8.9.2022. Saadun selvityksen perusteella rekisterinpitäjä ei ole näiltäkään osin toiminut huolellisesti ja tarkistanut, mitä tietoja Metan palvelun kautta käsitellään.

40. Seuraamuskollegio toteaa, että asiassa ei ole kyse siitä että todettu rikkominen on tapahtunut, vaikka rekisterinpitäjä on toiminut huolellisesti.

41. Seuraamuskollegio toteaa, ettei asiassa ole perusteltua katsoa, etteikö rekisterinpitäjän toiminta täyttäisi yleisen tietosuoja-asetuksen 83(2)(b) artiklan edellytystä, jonka mukaan menettelyn on oltava tahallista tai tuottamuksellista.

Rekisterinpitäjän toteuttamat toimet rekisteröidylle aiheutuneen vahingon lieventämiseksi

42. Tietosuojatyöryhmän ohjeissa hallinnollisten seuraamusmaksujen soveltamisesta ja määräämisestä on todettu, että vahingosta vastuussa olevan osapuolen olisi tehtävä kaikki voitavansa lieventääkseen rikkomisesta asianomaiselle aiheutuvia seurauksia. Valvontaviranomainen voi ottaa huomioon tällaisen vastuullisen toiminnan tai vastuullisen toiminnan puuttumisen.

43. Todettakoon selkeyden vuoksi, että hallinnollisen seuraamusmaksun määrääminen ei edellytä yksittäisen vahingon olemassaoloa.[80] Tässä yhteydessä ei ole kyse vahingonkorvauksen määräämisen perusteiden arvioinnista.

44. Seuraamuskollegio huomioi, että rekisterinpitäjä on poistanut verkkosivuiltaan Googlen ja Metan palvelut tietosuojavaltuutetun toimiston selvitystyön yhteydessä sekä pyytänyt palveluntarjoajia poistamaan seurannan kautta saadut tiedot. Lähtökohtaisesti tätä voitaisiin arvioida lieventävänä tekijänä. Vaikka rekisterinpitäjä on näiden palveluiden osalta tehnyt toimenpiteitä, se on asentanut verkkosivustolleen muita, samankaltaisia epäkohtia käsittäviä seurantapalveluita, sekä jatkanut lääkkeistä kertovien tietojen välittämistä URL-osoitteissa seurantapalveluntarjoajille. Tältäkään osin tietoja ei ole kaikilta osin esimerkiksi asianmukaisesti maskattu tai muutoin suojattu yleisen tietosuoja-asetuksen 5(1)(f) ja 32 artiklan edellyttämällä tavalla. Toimintatapa tarkoittaa esimerkiksi, että rekisteröityyn yhdistettävissä olevia tietoja lääkkeistä voi apulaistietosuojavaltuutetun päätöksen kohdassa 132 tarkemmin esitetysti edelleen päätyä hallitsemattomasti tuntemattomien viestinvälittäjien hyödynnettäväksi. Seuraamuskollegio katsoo, ettei lieventäviä tai raskauttavia perusteita tältä osin ole.

Vastuun aste, ottaen huomioon rekisterinpitäjän 25 artiklan ja 32 artiklan nojalla toteuttamat tekniset ja organisatoriset toimenpiteet

45. Kysymyksen alaisessa asiassa rekisterinpitäjä on järjestelmälliseen tapaan rikkonut yleisen tietosuoja-asetuksen 5(1)(f) ja 32 artiklan mukaisia velvoitteitaan. Rekisterinpitäjän toteuttamia teknisiä ja organisatorisia toimenpiteitä ei voida näiltä osin pitää riittävinä. Tapaus ilmentää yleisessä tietosuoja-asetuksessa säädettyjen käytäntöjen yleistä puutteellisuutta, eikä lieventäviä perusteita tältä osin ole.

Aiemmat vastaavat rikkomiset ja aikaisemmin määrätyt samaa asiaa koskevat toimenpiteet

46. Rekisterinpitäjään ei ole aiemmin kohdistettu yleisen tietosuoja-asetuksen 58(2) artiklassa tarkoitettuja toimivaltuuksia. Raskauttavia perusteita ei tältä osin ole.

Yhteistyön aste valvontaviranomaisen kanssa ja tapa, jolla rikkominen tuli valvontaviranomaisen tietoon

47. Edellä mainituissa tietosuojatyöryhmän ohjeissa hallinnollisten seuraamusmaksujen soveltamisesta ja määräämisestä on todettu, että yhteistyön aste voidaan ottaa asianmukaisesti huomioon, kun päätetään hallinnollisen sakon määräämisestä ja sen määrästä. Arvioitaessa yhteistyötä valvontaviranomaisen kanssa merkitystä voitaisiin antaa sille, onko rekisterinpitäjä reagoinut valvontaviranomaisen pyyntöihin asian tutkinnan aikana siten, että sillä on rajoitettu merkittävästi yksilöiden oikeuksiin kohdistuvaa riskiä. Ohjeiden mukaan ei olisi kuitenkaan tarkoituksenmukaista korostaa jo lainsäädännössä vaadittua yhteistyötä.

48. On todettava, että yleisen tietosuoja-asetuksen 31 artiklassa säädetysti rekisterinpitäjän on pyynnöstä tehtävä yhteistyötä valvontaviranomaisen kanssa sen tehtävien suorittamiseksi. Rekisterinpitäjällä on niin ikään yleisen tietosuoja-asetuksen 58 artiklan 1 kohdan ja tietosuojalain 18 §:n nojalla velvollisuus toimittaa pyydetyt tiedot valvontaviranomaiselle.

49. Asian arvioinnissa ei edellä todetusti ole tarkoituksenmukaista korostaa jo lainsäädännössä edellytettyä yhteistyötä. Laissa säädetyn velvollisuuden täyttämistä ei ole tarkoituksenmukaista katsoa asiassa lieventäväksi tekijäksi.

50. Tieto rikkomisesta on tullut valvontaviranomaiselle kolmannen tekemän ilmoituksen kautta. Lieventäviä perusteita ei tältä osin ole.

Mahdolliset muut tapaukseen sovellettavat raskauttavat tai lieventävät tekijät

51. Edellä mainituissa tietosuojatyöryhmän ohjeissa hallinnollisten seuraamusmaksujen soveltamisesta ja määräämisestä on todettu, että mahdolliset muut tapaukseen sovellettavat raskauttavat tai lieventävät tekijät voivat esimerkiksi olla rikkomisella saatu hyöty tai taloudellinen etu.

52. Verkkoseurannassa on kyse rekisterinpitäjän taloudellista toimintaa hyödyttävästä toimintatavasta. Rekisterinpitäjä saa verkkoseurannan avulla esimerkiksi tietoa siitä, mitä verkkokauppa-asiakkaat tekevät sen verkkosivustolla ja mitä tuotteita (kuten tässä tapauksessa lääkkeitä) kohtaan he osoittavat kiinnostustaan. Tietoja voidaan käyttää hyödyksi esimerkiksi liiketoiminnan kehittämisessä sekä seurannan kohteena oleviin rekisteröityihin kohdistettavassa markkinoinnissa ja muussa myynnin edistämisessä.

53. Apulaistietosuojavaltuutetun päätöksestä ilmi käyvässä selvityksessään rekisterinpitäjä on nimenomaisesti kertonut hyödyntäneensä seurannan avulla saatuja tietoja esimerkiksi asiakkaisiin kohdistetussa Facebook-markkinoinnissaan.

54. Asiassa ei siten ole katsottavissa, että rekisterinpitäjä ei olisi lainkaan hyötynyt taloudellisesti tässä asiassa arvioidun verkkoseurannan käyttämisestä ja sen ulottamisesta lääkkeisiin.

55. Seuraamuskollegio toteaa, ettei kokonaisarvion perusteella raskauttavia perusteita tältä osin kuitenkaan ole.

56. Seuraamuskollegio huomioi lieventävänä tekijänä sen, että asiassa saadun selvityksen perusteella rekisterinpitäjän tuotot käytetään koulutukseen ja tutkimukseen.

Hallinnollisen seuraamusmaksun määräämistä koskevan päätöksen ovat tehneet tietosuojavaltuutetun toimiston seuraamuskollegion jäsenet.