När Meta-pixeln blev ett tillsynsärende

Under 2024 avgjorde Integritetsskyddsmyndigheten (IMY) sex tillsynsärenden som rörde samma analysverktyg: Meta-pixeln.

Meta-pixeln används på många webbplatser för analys och annonsering. Besluten gäller webbplatser inom apotek, bank, försäkring och digital vård.

När besluten jämförs återkommer flera gemensamma uppgifter. Meta-pixeln användes för marknadsföring, analys eller annonsering. I varje ärende fördes fler personuppgifter än avsett vidare till Meta. Överföringen upptäcktes först efter information från en utomstående.

Vad Meta-pixeln är

Meta-pixeln är ett analysverktyg som används på webbplatser för att mäta trafik, följa händelser och koppla besökares agerande till annonsering på Facebook och Instagram.

I besluten förekommer särskilt en funktion som kallas Avancerad matchning, eller AAM. Förenklat innebär funktionen att kontaktuppgifter, till exempel e-postadress eller telefonnummer, kan användas för att försöka matcha en person mot ett konto hos Meta.

I flera beslut uppger företagen att funktionen inte var avsedd att användas, att den aktiverades av misstag eller att det i efterhand inte gick att klarlägga exakt hur den aktiverades.

Sex beslut från IMY

Genomgången omfattar sex beslut från IMY.

Tre beslut gäller administrativa sanktionsavgifter: Apoteket AB 37 miljoner kronor, Avanza Bank AB 15 miljoner kronor och Apohem AB 8 miljoner kronor.

I tre andra beslut stannade IMY vid reprimand: Apotea AB, Kry International AB och Länsförsäkringar AB. En reprimand är en formell tillsägelse. IMY konstaterar då en överträdelse, men beslutar inte om någon administrativ sanktionsavgift.

Hur ärendena började

Besluten visar att ärendena började med personuppgiftsincidenter som företagen själva anmälde till IMY.

Avanza anmälde incidenten den 8 juni 2021. Länsförsäkringar anmälde den 7 juni 2021. Apoteket, Apohem, Apotea och Kry anmälde sina incidenter under våren 2022.

Samtliga beslut anger att företagen fick kännedom om överföringen genom en utomstående eller extern källa. Det var inte företagens egna kontroller som först upptäckte överföringen.

Vilka uppgifter som fördes över

Besluten visar att olika typer av personuppgifter fördes över i ärendena.

I Apotekets och Apohems beslut nämns bland annat kontaktuppgifter, IP-adress, produkt-id och uppgifter kopplade till vissa produktkategorier. Det gäller exempelvis självtester, preventivmedel, produkter för behandling av könssjukdomar, sexleksaker, diabetes, migrän och allergi. I båda besluten anges att receptbelagda läkemedel inte omfattades.

Avanza-beslutet gäller andra uppgifter. Där nämns bland annat personnummer, kontonummer, lånebelopp, arbetsgivare, värdepappersinnehav, kreditlimit, skatter, räntor och pågående ordrar.

I Apotea-beslutet anger IMY att bolaget hade gjort ett urval av vilka produkter som kunde kopplas till Meta. IMY skriver att det inte finns stöd i utredningen för att integritetskänsliga produktuppgifter gick att utläsa.

Kry-beslutet gäller kontaktuppgifter i en tjänst för videomöten inom vården. IMY anger samtidigt att överföringen inte omfattade uppgifter om vad mötet gällde, om personen var patient eller om något hälsotillstånd.

Länsförsäkringar-beslutet gäller uppgifter från formulär på webbplatsen, bland annat namn, telefonnummer, e-postadress och boendeort.

Antal berörda

Besluten anger olika nivåer av säkerhet kring antalet berörda:

• Apoteket: upp till 930 000 personer
• Avanza: 500 001–1 000 000 personer
• Apotea: 238 234–379 959 kunder
• Kry: cirka 90 000 slutanvändare
• Apohem: cirka 15 000 registrerade
• Länsförsäkringar: kunde inte fastställas

I flera beslut bygger uppgifterna på bolagens egna uppskattningar.

Vad IMY återkommer till

IMY:s beslut skiljer sig åt, men flera bedömningar återkommer.

Myndigheten bedömer att företagen inte hade vidtagit tillräckliga tekniska och organisatoriska åtgärder. Det handlar inte bara om att en viss funktion aktiverades, utan också om att företagen saknade tillräckliga rutiner för att själva upptäcka att överföringen pågick.

I flera beslut beskriver IMY problemet som en brist i det systematiska säkerhetsarbetet. Företagen hade rutiner för dokumenterade förändringar, men inte tillräcklig förmåga att upptäcka förändringar som skett utan att rutinerna följts eller genom tredjepartsinställningar.

Varför besluten fick olika utgång

Tre beslut ledde till sanktionsavgift. Det gäller Apoteket, Apohem och Avanza.

I tre andra ärenden stannade IMY vid reprimand. Det gäller Apotea, Kry och Länsförsäkringar.

Av besluten framgår att IMY bland annat vägde in vilka uppgifter som fördes över, hur länge överföringen pågick, hur många personer som kunde ha berörts och vilka skyddsåtgärder som redan fanns.

I Apoteas fall pekade IMY på att bolaget hade gjort ett urval av vilka produkter som kunde kopplas till Meta. I Krys fall konstaterade IMY att överföringen inte omfattade uppgifter om hälsotillstånd. I Länsförsäkringars fall angav IMY att överföringen gällde relativt få uppgifter per person, under en kortare period och utan att kundförhållande kunde utläsas.

Vad handlingarna inte visar

Besluten visar IMY:s bedömningar och företagens uppgifter i tillsynsärendena. Men vissa uppgifter går inte att fastställa utifrån besluten.

Det går exempelvis inte att se exakt hur Meta använde varje uppgift efter mottagandet. Det går inte heller att fastställa om en enskild person faktiskt fick riktad annonsering på grund av överföringen.

I flera ärenden framgår inte exakt hur funktionen aktiverades, vem som gjorde det eller exakt hur många personer som faktiskt berördes.

Det som framgår är att IMY i samtliga sex beslut konstaterade en överträdelse av artikel 32.1 i dataskyddsförordningen.

Vad besluten visar

De sex besluten visar hur samma tekniska lösning kunde få olika utgång beroende på sammanhanget.

När uppgifter om apoteksprodukter, bankuppgifter eller större mängder integritetskänslig information fördes över beslutade IMY om sanktionsavgifter.

Utgångarna byggde på en samlad bedömning av bland annat vilka uppgifter som fördes över, hur länge överföringen pågick, hur många som kunde ha berörts och vilka skyddsåtgärder som fanns.

Gemensamt för samtliga beslut är att IMY konstaterade brister i kontrollen över personuppgiftsbehandlingen.

Besluten kan följas genom öppna handlingar: från incidentanmälan och tillsyn till myndighetens slutliga beslut.

Källor

• IMY, beslut efter tillsyn enligt dataskyddsförordningen mot Avanza Bank AB, DI-2021-5544, 2024-06-24.
• IMY, beslut efter tillsyn enligt dataskyddsförordningen – Apoteket AB, IMY-2022-3270, 2024-08-29.
• IMY, beslut efter tillsyn enligt dataskyddsförordningen – Apohem AB, IMY-2022-3272, 2024-08-29.
• IMY, beslut efter tillsyn enligt dataskyddsförordningen – Apotea AB, IMY-2022-3271, 2024-12-19.
• IMY, beslut efter tillsyn enligt dataskyddsförordningen – Kry International AB, IMY-2022-3822, 2024-12-19.
• IMY, beslut efter tillsyn enligt dataskyddsförordningen – Länsförsäkringar AB, DI-2021-5568, 2024-12-19.
• IMY, “Sanktionsavgifter mot Apoteket och Apohem för överföring av personuppgifter till Meta”, publicerad 2024-08-30.

Kontakt: klarfakta@proton.me