L'autorité finlandaise de protection des données a sanctionné un fournisseur de services de santé pour avoir transmis des données de santé à des géants de la technologie via des outils de suivi sur son service de prise de rendez-vous en ligne, sans évaluation ni mesures de protection adéquates.

Faits et contexte

L'autorité finlandaise de protection des données (Bureau du médiateur à la protection des données) a publié une décision de sanction à l'encontre de la société Mindemo Oy, comprenant le prononcé d'une amende de 33 000 €, pour des manquements liés à l'utilisation de témoins de connexion et d'outils de suivi sur son service de prise de rendez-vous de thérapie en ligne.

L'affaire fait suite à une enquête de l'autorité concernant l'utilisation par la société, anciennement connue sous le nom de Heltti Oy, de témoins de connexion et d'autres outils de suivi sur son service de réservation en ligne.

Motifs de la décision

L'autorité a retenu le manquement suivant :

• Obligation de garantir la sécurité du traitement (article 32 du RGPD) : L'autorité a constaté que la société avait transmis des données de santé à Google, Meta et Microsoft par le biais d'outils de suivi intégrés à son service de prise de rendez-vous. Ces données, qui incluaient des informations sur le début et la confirmation du rendez-vous, le type de thérapie et le thérapeute choisi, n'étaient ni anonymisées ni pseudonymisées de manière à empêcher l'identification des utilisateurs, notamment via leur adresse IP et d'autres données techniques. L'autorité a estimé que la mise en place de ces outils sans évaluation préalable ni mesures de protection suffisantes constituait un manquement à l'obligation d'assurer la sécurité des données personnelles, particulièrement s'agissant de données aussi sensibles, et ce pendant au moins un an.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 33 000 € à Mindemo Oy.

En outre, l'autorité a prononcé une réprimande à l'encontre de la société pour ses manquements à la sécurité du traitement des données personnelles. L'autorité a toutefois noté positivement que, durant l'enquête, la société avait retiré les services de suivi et demandé aux fournisseurs concernés de supprimer les données collectées.

Enseignements

Cette décision rappelle que :

• L'intégration d'outils d'analyse et de suivi sur des services traitant des données de catégories particulières, telles que des données de santé, exige une planification et une évaluation des risques particulièrement rigoureuses avant leur mise en œuvre.
• La transmission de données sensibles à des tiers, même accompagnée d'identifiants techniques comme une adresse IP, ne peut être considérée comme sécurisée si ces informations permettent de ré-identifier la personne concernée.
• La mise en œuvre rapide de mesures correctrices après la découverte d'une non-conformité, comme le retrait des outils de suivi et la demande de suppression des données, est un facteur important pris en compte par l'autorité pour atténuer les conséquences pour les personnes concernées.