芬兰数据保护专员对职业健康与心理治疗机构罚款3.3万欧元并作训诫：追踪像素把治疗预约信息传给谷歌、Meta与微软

被传输的信息具有高度敏感性。监管机关查明，传输内容包含与性别认同、注意缺陷多动障碍（ADHD）或双相情感障碍专科医生的预约记录。专员的定性是：仅仅“预约了某类专科医生”这一事实本身即构成健康数据，因为据此可推断个人的健康状况或治疗需求。

法律适用路径值得注意。监管机关并非通过第9条敏感数据处理的一般禁止来追究，而是选择以安全与设计义务为切入点，认定违反GDPR第5条第1款(f)项（完整性、保密性）、第25条第1款与第2款（通过设计与默认的数据保护），以及第32条第1款与第2款（处理安全）。这一路径的意义在于：把举证与合规责任直接压在网站架构本身——控制者不能以“已告知”或“已取得同意”来抗辩，而必须证明技术设计上就不应发生此类传输。

本条对医疗健康与心理咨询类网站的合规启示有三：一是任何第三方脚本（广告像素、分析工具、客服插件）都应先做数据流审计，凡涉及健康相关页面的，须移除像素或改为服务端可控方式；二是“预约了哪一类专科”即属健康数据，这使得专科分类本身成为敏感信息字段，需要在系统设计与日志中同等保护；三是监管机关正越来越多地以第25条与第32条这一“架构型”条款处理数据泄露与第三方共享问题，其执法成本低于证明同意瑕疵或目的不当，因而更容易被普遍援引。同一周的克罗地亚监控录像泄露案同样以第32条为主线，构成这一执法趋向的呼应。