Finský poskytovatel zdravotních služeb předával údaje o rezervacích společnostem Google, Meta a Microsoft. Přijetí cookies podle rozhodnutí neodstraňovalo povinnost chránit informace, které vypovídají o zdraví člověka.

Finský úřad pro ochranu osobních údajů rozhodl 2. října 2026 v případu TSV/303/2022 o zpracování údajů v internetovém rezervačním systému společnosti Mindemo Oy, dříve působící pod názvem Heltti Oy. Uložil napomenutí a pokutu 33 000 eur. V oznámení z 8. října uvedl, že rozhodnutí dosud nebylo pravomocné a bylo možné se proti němu odvolat ke správnímu soudu.

Podnět z listopadu 2022 upozornil na sledování návštěvníků zdravotnického webu. Úřad v několika obdobích roku 2025 provedl technickou analýzu stránek a rezervačního rozhraní. Zjistil, že služby předávaly externím platformám nejen běžné údaje o zařízení, ale i informace o zahájení a potvrzení rezervace, zvoleném typu terapie a terapeutovi. Analýza zahrnovala Google, služby Meta a nástroje Microsoftu. Data byla předávána, pokud návštěvník přijal cookies; při odmítnutí podle oznámení k tomuto předání nedocházelo.

Rozhodnutí popisuje HTTP požadavky, v nichž se vedle IP adres, údajů o prohlížeči a identifikátorů objevovaly také navštívené adresy a události v rezervačním procesu. Obsah mohl prozrazovat zájem o témata jako genderová identita, ADHD nebo autistické spektrum. Informace nebyly před předáním upraveny tak, aby je nebylo možné spojit s uživatelem. U některých služeb přitom mohly pomáhat také účty, ke kterým byl člověk právě přihlášen.

Podstatné bylo, že zdravotní údaj nemusí mít podobu diagnózy vytažené ze zdravotnické dokumentace. Údaje o vyhledání a rezervaci konkrétní terapie mohou vypovídat o zdravotním stavu a poskytované péči. Firma namítala, že vlastní pacientské záznamy uchovává v odděleném systému. To ale neřešilo povahu údajů odcházejících z webu. Riziko vznikalo již kombinací obsahu návštěvy, rezervace a technických identifikátorů.