Die irische Gesundheitsdienstverwaltung (HSE) wurde mit einer Geldstrafe von 645.000 € belegt, nachdem die Aufsichtsbehörden schwerwiegende Fehler in der Art und Weise entdeckten, wie sensible Papierakten gespeichert und geschützt wurden.
Die Datenschutzkommission (DPC) begann ihre Untersuchung im Mai 2024 nach Sicherheitsverletzungen in zwei ehemaligen psychiatrischen Krankenhäusern. Unbefugte Personen griffen auf Unterlagen des St. Loman’s Hospital in Mullingar und des St. Conal’s Hospital in Letterkenny zu. Videos mit medizinischen Dokumenten in den Einrichtungen wurden anschließend in den sozialen Medien veröffentlicht.
Die Untersuchung wurde später über diese Vorfälle hinaus ausgeweitet. DPC-Beamte inspizierten 12 HSE-Lagerstätten in ganz Irland, um festzustellen, ob schlechtes Aktenmanagement ein größeres Problem darstellt.
Inspektoren fanden Dokumente unter äußerst ungeeigneten Bedingungen aufbewahrt. Einige Unterlagen waren durch Schimmel und Wasser beschädigt oder effektiv zerstört, während andere mit Tierkot kontaminiert, von Trümmern umgeben oder zum Verfallen zurückgelassen wurden. Akten wurden in stillgelegten Badezimmern und Kabinen, verlassenen Gebäuden und sogar in einem Schiffscontainer in einem Rasenschuppen entdeckt. Einige Lagerräume verfügten weder über funktionierende Beleuchtung noch Heizung.
Die Aufsichtsbehörde kam zu dem Schluss, dass die HSE es versäumt hatte, angemessene Sicherheits- und Aktenmanagementmaßnahmen umzusetzen. Sie stellte außerdem fest, dass persönliche Informationen manchmal länger als nötig aufbewahrt wurden, was die Möglichkeit unbefugter Offenlegung erhöhte und die Auffindbarkeit der Aufzeichnungen bei Bedarf erschwerte.
Weitere Verstöße gegen die DSGVO betrafen den Umgang mit den Verstößen selbst. Die DPC stellte fest, dass die HSE bestimmte Vorfälle innerhalb der vorgeschriebenen 72-Stunden-Frist nicht gemeldet und die betroffenen Personen nicht ordnungsgemäß über Verstöße in den Krankenhäusern St. Loman’s und St. Conal informiert hatte.
Die Strafe von 645.000 € besteht aus 600.000 € für Sicherheits- und Speicherbeschränkungsfehler, 30.000 € für verzögerte Sicherheitsmeldungen und 15.000 € für das Versäumnis, die Sicherheitsverletzungen an die betroffenen Personen zu informieren.
Neben der Geldstrafe muss der HSE seine Papieraktenlagerstätten überprüfen, Informationen, die nicht mehr aufbewahrt werden müssen, sicher vernichten und Unterlagen von Orten entfernen, die als ungeeignet zum Schutz sensibler medizinischer Informationen angesehen werden.