När Meta-pixeln blev ett tillsynsärende

Vad Meta-pixeln är

Meta-pixeln är ett verktyg som kan användas på webbplatser för att mäta besök och händelser, bland annat i samband med annonsering på Facebook och Instagram.

I flera av besluten förekommer funktionen Avancerad matchning (AAM). Den kan använda till exempel e-postadress eller telefonnummer för att försöka matcha en besökare mot ett konto hos Meta.

I flera ärenden uppgav företagen att funktionen inte skulle ha varit aktiverad eller att de i efterhand inte kunde klarlägga hur den hade aktiverats.

Sex beslut från IMY

Tre beslut ledde till administrativa sanktionsavgifter: 37 miljoner kronor för Apoteket AB, 15 miljoner kronor för Avanza Bank AB och 8 miljoner kronor för Apohem AB.

Apotea AB, Kry International AB och Länsförsäkringar AB fick reprimander. Det innebär att IMY konstaterade en överträdelse men inte beslutade om någon sanktionsavgift i de ärendena.

Hur ärendena började

Företagen anmälde själva personuppgiftsincidenterna till IMY. Avanza gjorde sin anmälan den 8 juni 2021 och Länsförsäkringar den 7 juni samma år. Apoteket, Apohem, Apotea och Kry anmälde incidenterna under våren 2022.

Enligt besluten fick företagen först kännedom om överföringarna genom uppgifter utifrån, inte genom sina egna kontroller.

Vilka uppgifter som fördes över

I Apotekets och Apohems beslut nämns bland annat kontaktuppgifter, IP-adress, produkt-id och uppgifter kopplade till vissa produktkategorier. Det gäller exempelvis självtester, preventivmedel, produkter för behandling av könssjukdomar, sexleksaker, diabetes, migrän och allergi. I båda besluten anges att receptbelagda läkemedel inte omfattades.

I Avanzas beslut nämns andra uppgifter, bland annat personnummer, kontonummer, lånebelopp, arbetsgivare, värdepappersinnehav, kreditlimit, skatter, räntor och pågående ordrar.

I Apotea-beslutet anger IMY att bolaget hade gjort ett urval av vilka produkter som kunde kopplas till Meta. IMY skriver att det inte finns stöd i utredningen för att integritetskänsliga produktuppgifter gick att utläsa.

Kry-beslutet gäller kontaktuppgifter i en tjänst för videomöten inom vården. IMY anger samtidigt att överföringen inte omfattade uppgifter om vad mötet gällde, om personen var patient eller om något hälsotillstånd.

Länsförsäkringars beslut gäller uppgifter från formulär på webbplatsen, bland annat namn, telefonnummer, e-postadress och boendeort.

Antal berörda

Besluten redovisar olika slags uppskattningar och intervall. Siffrorna ska därför inte läsas som ett fastställt antal personer i varje ärende:

• Apoteket: upp till 930 000 personer
• Avanza: 500 001–1 000 000 personer
• Apotea: 238 234–379 959 kunder
• Kry: cirka 90 000 slutanvändare kunde enligt Krys uppskattning ha påverkats
• Apohem: cirka 15 000 registrerade
• Länsförsäkringar: kunde inte fastställas

Brister som återkommer

IMY bedömde i samtliga sex ärenden att företagen hade brustit i de tekniska och organisatoriska säkerhetsåtgärder som krävs enligt artikel 32.1 i dataskyddsförordningen.

En återkommande fråga var hur företagen kontrollerade vilka uppgifter som faktiskt skickades till Meta. I flera beslut pekade IMY på att rutinerna inte räckte för att upptäcka förändringar som skedde utanför företagens vanliga ändringsprocesser, exempelvis genom inställningar hos en tredje part.

Varför besluten skiljer sig åt

Av besluten framgår att IMY bland annat vägde in vilka uppgifter som fördes över, hur länge överföringen pågick, hur många personer som kunde ha berörts och vilka skyddsåtgärder som redan fanns.

I Apoteas fall pekade IMY på att bolaget hade gjort ett urval av vilka produkter som kunde kopplas till Meta. I Krys fall konstaterade IMY att överföringen inte omfattade uppgifter om hälsotillstånd. I Länsförsäkringars fall angav IMY att överföringen gällde relativt få uppgifter per person, under en kortare period och utan att kundförhållande kunde utläsas.

Det som fortfarande är oklart

Besluten visar vad IMY kom fram till i tillsynen och vilka uppgifter företagen lämnade. De visar däremot inte exakt hur Meta använde uppgifterna efter överföringen eller om någon enskild person fick riktad annonsering på grund av dem.

I flera ärenden går det inte heller att fastställa hur funktionen aktiverades, vem som gjorde det eller hur många personer som faktiskt berördes.