Integritetsskyddsmyndigheten (IMY) ger Kry International AB, Apotea Sverige AB, Länsförsäkringar AB en reprimand för att ha behandlat personuppgifter i strid med dataskyddsförordningen (GDPR) genom att inte ha vidtagit lämpliga tekniska och organisatoriska åtgärder för att säkerställa en lämplig säkerhetsnivå för personuppgifter vid användning av analysverktyget Meta-pixeln.
Ab besluten framgår att IMY avslutat granskningar av ett antal personuppgiftsincidenter som rapporterats till myndigheten av Kry International, Apotea Sverige, Länsförsäkringar och ytterligare 27 bolag inom Länsförsäkringsgruppen. Samtliga incidentanmälningar gör gällande att personuppgifter felaktigt överförts till Meta via analysverktyget Meta-pixeln som bolagen använt på sina webbplatser.
Precis som vid de tidigare granskningar som IMY gjort av andra bolags motsvarande incidentanmälningar uppger bolagen att den felaktiga överföringen orsakats av att en delfunktion i Meta-pixeln aktiverats av misstag. Enligt IMY visar de här incidenterna som rör oavsiktlig inställning av Meta-pixeln på vikten att ha tillräckliga tekniska och organisatoriska säkerhetsåtgärder på plats och att ha noggrann koll på den egna verksamhetens flöden av personuppgifter.
Samtliga tre bolag har efter att de upptäckt incidenten tagit bort Meta-pixeln. Dessutom har bolagen vidtagit diverse åtgärder för att stärka upp sin it-säkerhet, exempel på åtgärder redovisas i IMY:s beslut mot bolagen.
I besluten mot bolagen konstaterar IMY att bolagen brutit mot artikel 32.1 GDPR men bedömer att det är fråga om en mindre överträdelse. Det beror bland annat på att bristerna inte har lett till överföring av några känsliga personuppgifter, uppgifter som omfattas av sekretess eller som annars är av mer skyddsvärd karaktär. IMY utfärdar därför en reprimand mot de granskade bolagen.