1. 事實：
Mindemo Oy（原名 Heltti Oy）是芬蘭一家成立於2013年的醫療公司，主要提供職業健康與心理健康服務。2022年11月，有民眾向芬蘭資料保護監察官辦公室檢舉，指該公司網站把使用者資料傳給外部追蹤服務業者，而且隱私權聲明不完整。監察官辦公室在2025年間多次對with.heltti.fi與heltti.fi進行技術調查。調查人員模擬預約三種療程：性別認同議題治療師、ADHD與自閉症類群障礙治療師，以及芬蘭社會保險局（Kela）給付的躁鬱症治療。結果發現，公司在2024年4月上線的線上預約系統，會把使用者的預約資訊傳送給 Google、Meta與Microsoft，內容包括搜尋的治療專長、選擇的治療師姓名、是否選擇Kela給付療程、看診地點等。同時一併傳送的還有IP位址、作業系統、瀏覽器版本、裝置類型、螢幕尺寸、Cookie與完整網址，而且這些資料都沒有經過假名化或匿名化處理。公司表示，追蹤工具自2022年6月起就已導入網站，原因是員工個人疏失、未妥善評估傳送的資料內容。公司在2025年5月12日收到調查來函後移除了追蹤工具，並要求業者刪除已收集的資料（Meta 回覆會在收集後 180 天內自動刪除）。2024年4月至2025年5月間，同意Cookie並完成預約的人數雖未公開，但主管機關認為人數不少。該公司2025年營業額約1,152萬歐元。2026年10月 2日，副資料保護監察官認定該公司違反GDPR，依第58條第2項b款予以警告，但因公司已自行改正，未另行命令限期改善。裁罰委員會另依第58條第2項i款及第83條，處行政罰鍰33,000歐元。本處分尚未確定，可向赫爾辛基行政法院提起訴訟。
2. 裁罰理由：
(1) 傳送的資料屬於個人資料
依歐盟法院見解（如C-582/14Breyer案、C-604/22IABEurope案），資料本身不必能單獨識別個人。只要接收者能透過合理手段比對，把資料連結到特定人，就構成個人資料。Google可透過Android系統及各項服務帳號，Meta可透過Facebook、Instagram帳號，Microsoft可透過Windows、LinkedIn、M365帳號，把收到的IP與裝置資訊對應到使用者本人。即使使用者沒有登入，業者也能透過第三方Cookie等追蹤技術識別。因此，這些資料屬於GDPR第4條第1款所稱的個人資料
(2) 屬於健康資料，為特種個資
歐盟法院認為健康資料應從寬解釋，只要能透過組合或推論得知健康狀況即屬之（C-21/23）。治療預約資訊與使用者的心理健康直接相關，也描述了醫療服務的提供，足以推知當事人的健康狀態。因此屬於第4條第15款的健康資料，也就是第9條的特種個人資料，風險程度高。
(3) Referrer設定不足：
公司雖設定只傳送網域名稱，但完整網址（例如含「性別認同」專長篩選條件的網址）仍透過另一個變數傳給業者，資料也以明文傳送，沒有任何假名化措施。
(4) 不能歸咎於個別員工：
個資處理的合法性由控管者負責。醫療業者處理特種個資，更有義務定期測試與評估保護措施是否有效。
(5) 這些是免費追蹤工具，公司只能接受業者提供的制式契約，無法實際監督業者如何處理資料。
公司應在導入前就評估風險。當事人也有合理期待，預約資訊應受到保密。
(6) Cookie 同意不能免除責任
使用者無法透過接受Cookie同意違法的處理行為（參照 TSV/108/2022 決定），網站的資安與個資保護責任不能轉嫁給使用者。
3. 裁罰委員會考量多項加重因素：違規期間至少約一年（2024年4月至2025年5月），受影響的預約人數不少，個資處理屬於醫療核心業務，且涉及健康資料這類特種個資。公司未評估傳送的資料，也沒有採取適當的去識別化措施，屬於過失，相關措施普遍不足，顯示系統性缺失。減輕因素則是公司收到調查後即移除追蹤工具、要求業者刪除資料，而且積極配合調查，加速調查進行。公司無違規前科，也沒有證據顯示從違規中獲利，這兩點不影響裁量。綜合考量，處以33,000歐元罰鍰應屬有效且合乎比例原則。
