En finsk sundhedsvirksomhed har fået en bøde på 33.000 euro, fordi trackingpixler på dens bookingside sendte oplysninger om terapibesøg videre til Google, Meta og Microsoft. Sagen rammer kernen af et problem, som flere europæiske tilsynsmyndigheder nu går efter med fuld kraft: sundhedsvirksomheder, der bruger almindelige marketingværktøjer uden at tænke på, at de samtidig lækker særligt beskyttede persondata til amerikanske techgiganter.
Afgørelsen kom fra det finske databeskyttelsesombudsmandskontors sanktionspanel og blev offentliggjort den 8. oktober 2026, med selve beslutningen dateret til den 2. oktober. Virksomheden bag sagen, Mindemo Oy, tidligere kendt som Heltti Oy, drev et bookingsystem til terapi og virksomhedssundhed, hvor cookies og sporingsværktøjer i mindst et år videresendte aftaleoplysninger til tre af verdens største annonceplatforme.
Hvad skete der hos Mindemo Oy
Kernen i sagen er enkel at forklare, men svær at undgå for de fleste digitale sundhedstjenester. Når en patient booker en tid hos en terapeut gennem Mindemos onlinesystem, og accepterer cookies på siden, bliver oplysninger om selve aftalen registreret af trackingværktøjer, der er integreret i bookingflowet. Det finske tilsyn fandt, at disse værktøjer sendte data videre til Google, Meta og Microsoft, selvom informationen i praksis afslørede, hvilken type behandling en bestemt bruger havde booket.
Det afgørende punkt for sanktionspanelet var ikke, at Mindemo brugte cookies. Det er almindelig praksis på stort set alle kommercielle websites. Problemet var, at de data, som blev delt, ifølge afgørelsen kunne afsløre, at en bruger havde booket en specialist inden for kønsidentitet, ADHD eller bipolar lidelse. Den type oplysning regnes som sundhedsdata under GDPR, og dermed som en særlig kategori af persondata, der kræver et markant højere beskyttelsesniveau end almindelige cookie-oplysninger.
Ifølge den finske nyhedsartikel fra Etelä-Suomen Sanomat, der først beskrev sagen i detaljer, drejede det sig om oplysninger som aftalens starttidspunkt, bekræftelsesdetaljer, den valgte terapeuts navn og terapitypen. Kombinationen af disse datapunkter gjorde det muligt at udlede, hvilken slags behandling en given bruger søgte, selv uden at navnet på patienten stod direkte i de data, der blev sendt til tredjeparterne.
Fra Heltti Oy til Mindemo: virksomheden bag sagen
Mindemo Oy opererede tidligere under navnet Heltti Oy og tilbød digitale sundhedsydelser med fokus på arbejdsrelateret sundhed og psykoterapi. Virksomheden byggede sin forretning op omkring et online bookingsystem, hvor medarbejdere hos finske virksomheder kunne reservere tider hos terapeuter og andre sundhedsspecialister direkte gennem en webportal.
Den type forretningsmodel er i hastig vækst i hele Norden, hvor arbejdsgivere i stigende grad køber adgang til mental sundhedsstøtte som en personalegode. Det gør sager som denne særligt relevante for danske og nordiske virksomheder, der benytter lignende tjenester, fordi mange af dem er bygget på samme slags tredjepartsintegrationer til analyse og markedsføring, som endte med at skabe problemer for Mindemo.
Navneskiftet fra Heltti til Mindemo fandt sted, før sagen blev afgjort, men det ændrede ikke på det juridiske ansvar. Tilsynet behandlede sagen som en fortsættelse af den samme juridiske enheds forpligtelser, uanset hvilket navn virksomheden opererede under, da overtrædelserne fandt sted.
Sådan fungerede trackingpixlerne i bookingsystemet
En trackingpixel er i praksis et lille, usynligt billede eller script, der indlæses på en webside og sender en besked til en ekstern server, hver gang en bruger udfører en handling. Meta Pixel, Google Ads-konverteringstagging og Microsofts tilsvarende værktøjer bruges typisk til at måle, om en annoncekampagne førte til et faktisk køb eller en booking.
Problemet opstår, når den handling, der udløser pixlen, selv er følsom. I Mindemos tilfælde udløste selve bekræftelsen af en terapitid en besked til tredjeparterne. Afhængigt af hvordan pixlen er sat op, kan den besked inkludere URL-parametre, sidetitler eller skjulte formularfelter, der afslører, hvilken type aftale der blev booket, selv hvis udvikleren aldrig har til hensigt at sende “sundhedsdata” som sådan.
Det gør denne type lækage særligt svær at opdage internt. Et udviklingsteam, der implementerer en standard konverteringspixel fra en markedsføringsguide, tænker typisk på pixlen som et analyseredskab, ikke som en kanal for særlige kategorier af persondata. Netop det gab mellem teknisk implementering og juridisk klassifikation er det, flere europæiske tilsyn nu går efter.
Hvilke data endte hos Google, Meta og Microsoft
Ifølge den finske afgørelse drejede det sig konkret om oplysninger, der viste, at en bruger havde booket en specialist inden for kønsidentitet, ADHD eller bipolar lidelse. Det finske tilsyn konkluderede, at denne kombination af oplysninger, inklusive den valgte terapeuts navn og behandlingstype, udgjorde sundhedsdata i GDPR-forstand, uanset at ingen fulde patientjournaler blev delt direkte.
Det tilgængelige materiale fra sagen angiver ikke et bekræftet antal berørte patienter eller medarbejdere. Det, der er dokumenteret, er varigheden: dataoverførslerne stod på i mindst et år, og de skete, hver gang en bruger accepterede cookies på bookingsiden. Det betyder, at omfanget potentielt dækker samtlige brugere af systemet i den periode, ikke en enkelt afgrænset hændelse.
Det er en vigtig detalje i forhold til andre store sundhedsdata-sager i Europa i 2026. Hvor en klassisk databrudssag typisk handler om et konkret hackerangreb eller en fejlkonfigureret database på et bestemt tidspunkt, handler Mindemo-sagen om en strukturel, løbende lækage, der var indbygget i den normale drift af systemet, uden at nogen nødvendigvis havde til hensigt at dele følsomme data.
Databeskyttelsesombudsmandens afgørelse og lovgrundlag
Det finske databeskyttelsesombudsmandskontors sanktionspanel idømte Mindemo en bøde på 33.000 euro samt en formel reprimande. Panelet henviste til flere bestemmelser i GDPR, heriblandt artikel 5, stk. 1, litra f, om integritet og fortrolighed, artikel 25, stk. 1 og 2, om databeskyttelse gennem design og standardindstillinger, samt artikel 32, stk. 1 og 2, om passende sikkerhed i behandlingen af persondata.
Det centrale juridiske argument var, at Mindemo ikke havde indrettet sit bookingsystem, så sundhedsrelaterede oplysninger som standard blev holdt væk fra tredjepartsværktøjer. I stedet var trackingen sat op på en måde, der gjorde det muligt for følsomme data at lække, hver gang en bruger gennemførte en booking og accepterede cookies, uden ekstra sikkerhedslag til at filtrere eller maskere de følsomme detaljer.
Ifølge en oversigt over finsk databeskyttelsesregulering er afgørelsen endnu ikke retskraftig. Den kan appelleres til en forvaltningsdomstol, hvilket er standardproceduren i finske GDPR-sager af denne type. Det betyder, at det endelige udfald i princippet kan ændre sig, men det ændrer ikke på, at sagen allerede fungerer som et praktisk eksempel på, hvordan et europæisk tilsyn vurderer trackingpixler på sundhedssider.
Mindemos reaktion og oprydning
Mindemo reagerede på afgørelsen ved at fjerne de pågældende trackingværktøjer fra bookingsystemet. Virksomheden anmodede derudover Google, Meta og Microsoft om at slette de data, der var blevet overført til dem i den periode, hvor trackingen var aktiv. Det er en reaktion, der går videre end det strengt juridisk påkrævede i mange lignende sager, hvor virksomheder ofte nøjes med at rette fejlen fremadrettet uden at forfølge sletning hos tredjeparterne.
Om Google, Meta og Microsoft reelt kan eller vil slette specifikke datapunkter, der allerede er flettet ind i deres annoncesystemer, er en separat og langt mere kompliceret diskussion. Ingen af de tre platforme har offentligt bekræftet omfanget af en sådan sletning i denne konkrete sag, og det tilgængelige materiale indeholder ikke udtalelser fra platformene selv.
Sundhedsdata og GDPR: hvorfor artikel 9 vejer tungt
GDPR artikel 9 definerer en kategori af “særlige persondata”, som inkluderer helbredsoplysninger, seksuel orientering og andre forhold, hvor en lækage kan have alvorlige konsekvenser for den enkelte. Behandling af denne type data er som udgangspunkt forbudt, med undtagelser, der kræver eksplicit samtykke eller et klart retsgrundlag, og den skal under alle omstændigheder beskyttes med et markant skærpet sikkerhedsniveau.
Det, der gør Mindemo-sagen interessant som præcedens, er, at tilsynet ikke krævede et direkte navn eller diagnose i selve datasættet for at klassificere det som sundhedsdata. Det var nok, at kombinationen af terapeutnavn, behandlingstype og tidspunkt gjorde det muligt at udlede en sundhedsrelateret oplysning om en identificerbar person. Det sænker i praksis bjælken for, hvor lidt information en virksomhed skal lække, før det regnes som en artikel 9-overtrædelse.
Den samme logik går igen i den langt større italienske sag mod IQVIA Solutions Italy, hvor den italienske tilsynsmyndighed Garante tidligere i oktober 2026 idømte en bøde på 7 millioner euro. I den sag argumenterede Garante for, at IQVIA ikke kunne regne data som anonyme, fordi vedholdende patientkoder og detaljeret klinisk information i praksis gjorde det muligt at genidentificere over en million patienter. Begge sager bygger på samme princip: det er den faktiske mulighed for at udlede sundhedsoplysninger, der afgør klassifikationen, ikke om virksomheden selv kalder dataene anonyme eller pseudonyme.
Sammenligning: sundhedsdata-bøder i EU i 2026
Mindemo-sagen er langt fra enestående i 2026. Flere europæiske tilsynsmyndigheder har i løbet af året skærpet fokus specifikt på, hvordan sundhedsvirksomheder, forsikringsselskaber og life science-firmaer behandler patientdata. Tabellen nedenfor viser et udvalg af de største sager, der er afgjort i år, og giver et billede af, hvor markant bødeniveauet varierer afhængigt af overtrædelsens karakter og virksomhedens størrelse.
| Virksomhed | Land | Tilsynsmyndighed | Bøde | Overtrædelse | Dato |
|---|---|---|---|---|---|
| Mindemo Oy (tidligere Heltti Oy) | Finland | Databeskyttelsesombudsmanden | 33.000 € | Trackingpixler lækkede terapidata til Google, Meta og Microsoft | 2. oktober 2026 |
| IQVIA Solutions Italy | Italien | Garante | 7.000.000 € | Ulovlig behandling af sundhedsdata for over 1 mio. patienter | Offentliggjort 2. oktober 2026 |
| IQVIA Operations France | Frankrig | CNIL | 5.000.000 € | Mangelfulde sikkerhedsgarantier i stort sundhedsdataregister | 26. maj 2026 |
| Hôpital Privé de la Loire | Frankrig | CNIL | 500.000 € | Utilstrækkelig sikring af patientdata, 727.000 ramte | 3. september 2026 |
| La Patria | Italien | Garante | 39.000 € | Overtrædelser vedrørende medarbejderdata | Oktober 2026 |
Det mønster, der tegner sig, er en klar spredning i bødestørrelse, der afhænger mere af overtrædelsens struktur og virksomhedens omsætning end af, hvor mange mennesker der reelt blev ramt. Mindemos bøde på 33.000 euro er langt mindre end IQVIA-sagerne i både Italien og Frankrig, men det afspejler formentlig virksomhedens størrelse snarere end overtrædelsens alvor, eftersom lækagen ifølge sagen stod på i mindst et år og potentielt dækkede alle brugere af bookingsystemet.
GDPR-artiklerne der blev overtrådt
For virksomheder, der selv kører bookingsystemer eller patientportaler, er det værd at se nærmere på, præcis hvilke bestemmelser i GDPR det finske tilsyn brugte som grundlag for afgørelsen. De fire centrale krav er samlet i tabellen nedenfor, opdelt efter hvad hver bestemmelse konkret kræver af en virksomhed.
| GDPR-bestemmelse | Krav til virksomheden | Hvordan Mindemo overtrådte kravet |
|---|---|---|
| Artikel 5, stk. 1, litra f | Data skal behandles med tilstrækkelig integritet og fortrolighed | Terapidata blev delt med tredjeparts annonceplatforme uden tilstrækkelig afskærmning |
| Artikel 25, stk. 1 | Databeskyttelse skal indbygges i systemet fra designfasen | Trackingpixler blev implementeret uden en vurdering af, om de kunne lække sundhedsdata |
| Artikel 25, stk. 2 | Standardindstillinger skal som udgangspunkt beskytte brugeren mest muligt | Tracking var aktiv som standard for alle brugere, der accepterede cookies |
| Artikel 32, stk. 1 | Virksomheden skal implementere passende tekniske sikkerhedsforanstaltninger | Ingen filtrering forhindrede følsomme bookingdetaljer i at nå tredjeparter |
| Artikel 32, stk. 2 | Sikkerhedsniveauet skal matche risikoen ved den konkrete databehandling | Risikoen ved at dele terapidata blev ikke vurderet højere end almindelig webtracking |
Det mønster, der går igen i alle fem punkter, er, at overtrædelserne ikke handler om en enkeltstående fejl, men om en systematisk mangel i, hvordan virksomheden havde tænkt databeskyttelse ind i selve produktdesignet. Det er præcis den type systemiske sårbarhed, som flere europæiske tilsyn nu aktivt leder efter i sundhedssektoren.
Den bredere trend: 265 bøder og 32,3 millioner euro i sundhedssektoren
Mindemo-sagen passer ind i et langt større billede. En oversigt fra det internationale advokatfirma CMS over GDPR-håndhævelse inden for life science og sundhedssektoren viser, at europæiske tilsynsmyndigheder i 27 lande samlet har udstedt 265 bøder mod hospitaler, apoteker, læger og medicinleverandører i 2026, med en samlet bødesum på omkring 32,3 millioner euro. Det tal dækker sundhedssektoren bredt og er ikke afgrænset til trackingpixel-sager specifikt, men det viser omfanget af den skærpede håndhævelse, som sundhedssektoren oplever i øjeblikket.
Samtidig viser en ugentlig opsamling fra brancheportalen The DPO, at der i perioden 2. til 9. oktober 2026 alene blev afgjort 12 GDPR-sager i Europa med en samlet bødesum på 135.593 euro, heriblandt sagen mod Mindemo. Andre sager i samme periode inkluderede en bøde på 89.593 euro mod det kroatiske selskab Konzum fra den kroatiske databeskyttelsesmyndighed AZOP, en bøde på 39.000 euro mod det italienske selskab La Patria, og en mindre bøde på 1.000 euro mod et dyrehospital i Bukarest for en mishandlet anmodning om dataadgang.
Det billede, der tegner sig, er en håndhævelse, der i stigende grad rammer bredt, fra multinationale life science-giganter til mindre sundhedsvirksomheder med ganske få ansatte. Fællesnævneren er ikke virksomhedens størrelse, men typen af data, der er involveret, og hvor direkte den kan kobles til en identificerbar persons sundhedstilstand.
Hvad det betyder for nordiske sundhedstech-virksomheder og konkurrencebilledet
For danske og nordiske virksomheder, der tilbyder digitale sundhedsydelser, telemedicin eller virksomhedssundhed, er sagen en direkte advarsel om, at den type trackingopsætning, der er standard på de fleste kommercielle websites, kan blive dyr, hvis den rammer et bookingflow for sundhedsydelser. Mange af disse platforme bruger netop samme slags konverteringspixler fra Google, Meta og Microsoft til at måle, om markedsføring fører til faktiske bookinger.
Konkurrencemæssigt skaber det en interessant forskel mellem store og små aktører. Store sundhedsplatforme med dedikerede compliance-teams har typisk allerede investeret i server-side tracking eller anonymiseringslag, der filtrerer følsomme detaljer, før data sendes videre til annonceplatforme. Mindre aktører, herunder mange nordiske startups inden for mental sundhed og terapi, bruger ofte standardintegrationer fra markedsføringsplatforme uden samme tekniske filtrering, hvilket efterlader dem mere udsatte for præcis den type sag, Mindemo nu har tabt.
Det skaber samtidig et marked for leverandører af privacy-first analyseværktøjer og server-side tagging-løsninger, der lover at holde følsomme data væk fra tredjeparter. I takt med at flere sager som Mindemo-sagen dukker op, vokser presset på sundhedstech-branchen for at skifte fra klassisk klient-side tracking til løsninger, hvor virksomheden selv kontrollerer, hvilke data der rent faktisk forlader egne servere.
Historisk kontekst: fra cookiebannere til sundhedsdata-tilsyn
Trackingpixler har været en del af standardmarkedsføringsværktøjskassen i over et årti, og de første store GDPR-sager mod cookie- og pixelbrug handlede primært om manglende eller mangelfuldt samtykke på almindelige e-handelssider. Den type sager fokuserede på selve samtykkemekanismen, altså om brugeren fik et reelt valg, før trackingen blev aktiveret.
Det, der har ændret sig i løbet af 2025 og 2026, er, at tilsynsmyndighederne er gået fra at se på samtykkebanneret isoleret til at se på, hvilken type data der rent faktisk strømmer gennem trackingen efter samtykket er givet. En oversigt over de største cookie-samtykke-bøder i Europa viser, at de tidlige sager typisk handlede om selve bannerets udformning, mens de nyeste sager, som Mindemo-sagen, handler om konsekvensen af at kombinere cookie-baseret tracking med sundhedsrelaterede handlinger på siden.
Det er en naturlig udvikling, fordi et gyldigt cookiesamtykke juridisk set kun dækker den type databehandling, brugeren faktisk er informeret om. Et samtykke til cookies, der forbedrer oplevelsen på siden, dækker ikke automatisk videregivelse af oplysninger om, at brugeren har booket en psykiatrisk konsultation, selv hvis det tekniske samtykke blev givet, før bookingen blev gennemført.
Fremtidsudsigter: fem forudsigelser for 2027
Baseret på udviklingen i 2026 er der flere tendenser, der med stor sandsynlighed fortsætter eller forstærkes i 2027, både i Norden og i resten af Europa.
- Flere nordiske sundhedstech-virksomheder vil opleve undersøgelser eller klager relateret til trackingpixler i bookingsystemer, i takt med at tilsynsmyndigheder retter blikket mod sektoren efter sager som Mindemo og IQVIA.
- Tilsynsmyndigheder vil fortsat behandle adfærdsdata fra sundhedsbookingsystemer som artikel 9-data, selv når virksomheden selv beskriver informationen som anonym eller pseudonym.
- Efterspørgslen efter server-side tracking og privacy-first analyseværktøjer vil stige markant blandt sundhedsvirksomheder, drevet af ønsket om at undgå lignende bøder.
- Flere mindre bøder i størrelsesordenen 20.000 til 50.000 euro vil dukke op i mindre EU-lande, fordi sanktionspaneler typisk tilpasser bødestørrelsen til virksomhedens omsætning snarere end til antallet af ramte brugere.
- Danske og nordiske patientportaler og teleterapi-tjenester vil i stigende grad gennemgå deres cookie- og trackingopsætning proaktivt, dels for at undgå bøder, dels fordi øget pres fra NIS2 og skærpet GDPR-tilsyn generelt hæver barren for dokumenteret databeskyttelse.
Ingen af disse punkter er garantier, men de følger den linje, som tilsynsmyndighederne i Finland, Frankrig og Italien allerede har lagt i 2026, og de afspejler en bredere europæisk bevægelse mod at behandle sundhedsdata som en særskilt risikokategori, uafhængigt af hvor lille eller stor den udbydende virksomhed er.
Ofte stillede spørgsmål
Hvad er Mindemo Oy, og hvorfor blev virksomheden bødet?
Mindemo Oy, tidligere Heltti Oy, er en finsk sundhedsvirksomhed, der driver et bookingsystem til terapi og virksomhedssundhed. Virksomheden blev bødet 33.000 euro, fordi trackingpixler på bookingsiden sendte oplysninger om terapiaftaler til Google, Meta og Microsoft.
Hvilke data blev delt med tredjeparterne?
Ifølge afgørelsen omfattede dataene aftalens tidspunkt, bekræftelsesdetaljer, den valgte terapeuts navn og behandlingstypen, herunder oplysninger der indikerede aftaler inden for kønsidentitet, ADHD og bipolar lidelse.
Hvor længe stod lækagen på?
Ifølge det tilgængelige materiale fra sagen blev oplysningerne videresendt i mindst et år, hver gang en bruger accepterede cookies og gennemførte en booking.
Hvilke GDPR-regler blev overtrådt?
Sanktionspanelet henviste til GDPR artikel 5, stk. 1, litra f, om integritet og fortrolighed, artikel 25, stk. 1 og 2, om databeskyttelse gennem design og standardindstillinger, samt artikel 32, stk. 1 og 2, om passende sikkerhed i behandlingen.
Har Mindemo rettet op på problemet?
Virksomheden har fjernet de pågældende trackingværktøjer fra bookingsystemet og har bedt Google, Meta og Microsoft om at slette de data, der tidligere blev overført til dem.
Er afgørelsen endelig?
Nej. Afgørelsen fra det finske sanktionspanel er ikke retskraftig og kan appelleres til en forvaltningsdomstol, hvilket er standardproceduren for denne type GDPR-sager i Finland.
Hvordan adskiller sagen sig fra IQVIA-sagerne i Italien og Frankrig?
IQVIA-sagerne handlede om store, strukturerede sundhedsdatabaser med data fra over en million patienter og endte med bøder på 7 millioner euro i Italien og 5 millioner euro i Frankrig. Mindemo-sagen er langt mindre i omfang og bødestørrelse, men bygger på samme juridiske princip: at data kan klassificeres som sundhedsdata, selv når virksomheden selv anser det som anonymt eller lavrisiko.
Hvad bør danske sundhedstech-virksomheder gøre nu?
Virksomheder med booking- eller patientportaler bør gennemgå, hvilke trackingværktøjer der er aktive på sider, hvor brugere foretager handlinger relateret til sundhed, og vurdere om data bør filtreres eller flyttes til server-side tracking, før de forlader egne systemer. Det gælder særligt sider, hvor selve handlingen, som en booking eller en bekræftelse, kan afsløre noget om brugerens sundhedstilstand.