Integritetsskyddsmyndigheten (IMY) inleder en utredning av tre apoteksaktörer (Apoteket AB, Apotea och Apohem) för att de delat detaljerade personuppgifter om kundernas köp på nätet med Facebook.

Personuppgiftsansvariga måste ha tillräcklig kontroll
I ett pressmeddelande från 1 juni 2022 på IMYs hemsida står det att de tre apoteksaktörerna anmält sig själva till myndigheten. IMY har ställt frågor till dessa företag om vilken typ av personuppgifter som överförs till Facebook, varför dessa uppgifter överförs, den rättsliga grunden för överföringen och hur företagen har utvärderat riskerna med att dela personuppgifter från sina webbutiker med Facebook.

– I alla verksamheter är det viktigt att ha ordentlig kontroll över de personuppgifter som hanteras i organisationen och hur dessa personuppgifter förs vidare till eventuella andra parter. Nu inleder vi en tillsyn av dessa apotekskedjor för att ta reda på hur företagen resonerat kring delningen av personuppgifter med Facebook, säger Disa Rehn, juristen som kommer att leda utredningen vid IMY.

Även receptfria läkemedel kan vara känsliga personuppgifter
Disa Rehn uttalar sig också i facktidningen Svensk Farmaci den 1 juni 2022. Hon konstaterar att det kan strida mot GDPR och patientsäkerhetslagen att dela detaljerade personuppgifter om apotekskunders hälsa med Facebook. Hon förklarar att detta kan leda till psykologiska skador, integritetskränkningar och skada på en persons rykte.

Apoteksföretagen hävdade att de endast delade personuppgifter om kundernas köp av receptfria produkter. Disa Rehn svarar att information om att någon köpt klamydia- och graviditetstester som är receptfria varor också kan utgöra känsliga personuppgifter.

Apoteken använde en kakbaserad spårningsteknik från Facebook
Apoteken använde ett analysverktyg för webbplatsägare känd som Facebook Pixeln, numera kallas den dock Meta-pixeln. Det beror på att företaget som driver tjänsten Facebook har bytt namn till Meta. I korthet är pixeln ett verktyg som hjälper webbplatsägare att förstå hur människor interagerar med deras webbplats. Google har ett liknande verktyg som heter Google Analytics. Forum för Dataskydd rapporterade den 4 februari 2022 om beslut från andra EU-länder där tillsynsmyndigheter ifrågasatt om Google Analytics och liknande tjänster är förenligt med GDPR när uppgifter överförs till USA. 

För nästan två år sedan, i juli 2020, meddelade EU-domstolen sin dom i Schrems II-målet. Denna dom fick betydande konsekvenser för hur företag kan överföra uppgifter till USA och ogiltigförklarade Privacy Shield-programmet. Detta innebär att webbplatsägare måste se till att de har en annan rättslig grund för överföringen till tredjeländer.

Spårning kräver samtycke
Webbplatser som använder Meta-pixeln måste vara utformade så att spårningstekniken inte aktiveras automatiskt. Detta beror på att pixeln placerar en kaka på besökarens enhet, och svensk lag kräver informerat samtycke innan en sådan kaka kan lagras eller hämtas. 

Med hjälp av pixeln kan Facebook se vad du gör på andra webbplatser och visa dig relevanta annonser. Om du till exempel besöker en webbplats med pixeln och lägger en produkt i kundvagnen men inte köper den, kan du senare se en Facebook-annons för samma produkt.

Facebook visar dig vilka uppgifter som samlas in från andra appar och webbplatser. Du kan klicka här och sedan välja ”Aktiviteter utanför Facebook”. Därifrån kan du se din historik och radera den om du vill. Du kan också be Facebook att avstå från att koppla ihop dina aktiviteter utanför Facebook med din Facebook profil.

Hur du kan skydda dig
Det finns några sätt att hindra onlinespårare från att lära sig dina vanor. Ett sätt är att använda en integritetsskapande webbläsare som Tor. 

Ett annat sätt är att använda ett webbläsartillägg som Privacy Badger eller uBlock Origin. Dessa tillägg motverkar att spårare på nätet får reda på vad du gör på nätet. Slutligen föredrar vissa personer att använda en VPN-tjänst som de litar på för att kryptera sin internettrafik och göra det svårare för spårare att koppla ihop vad du gör på nätet med din identitet.

Kakor är inte det enda sättet för företag att spåra användare på nätet. En annan metod, digitala fingeravtryck identifierar användare utifrån deras unika enhet och webbläsarinställningar. Denna information kan användas för att skapa en profil av användaren och spåra dennes online aktivitet. Fingeravtryck är en mer sofistikerad spårningsmetod än cookies och det är svårare för användarna att skydda sig mot den.

Du kan läsa mer om digitala fingeravtryck i denna artikel av PCMag och detta pressmeddelande från Lunds universitet. Vill du utforska fler möjligheter att skydda din integritet kan även Whonix och Tails vara intressanta projekt att titta närmare på. 

Läs mer:

IMYs pressmeddelande 1 juni 2022

Artikel i Svensk Farmaci 1 juni 2022

Forum för Dataskydds artikel om Google Analytics 4 feb 2022

Pressmeddelande om forskning kring Digitala fingeravtryck och integritet

PCMags artikel om digitala fingeravtryck

Whonixprojektet

Operativsystemet Tails