El Health Service Executive (HSE) de Irlanda ha sido multado con 645.000 € después de que los reguladores descubrieran graves fallos en la forma en que se almacenaban y protegían los historiales médicos en papel sensibles.
La Comisión de Protección de Datos (DPC) inició su investigación en mayo de 2024 tras violaciones que involucraron a dos antiguos hospitales psiquiátricos. Personas no autorizadas accedieron a los registros del Hospital St. Loman en Mullingar y del Hospital St. Conal en Letterkenny. Posteriormente se publicaron vídeos que mostraban documentos médicos en las instalaciones en las redes sociales.
La investigación se amplió posteriormente más allá de esos incidentes. Los responsables del DPC inspeccionaron 12 ubicaciones de almacenamiento HSE en toda Irlanda para determinar si la mala gestión de registros era un problema más amplio.
Los inspectores encontraron documentos conservados en condiciones muy inadecuadas. Algunos registros habían sido dañados o efectivamente destruidos por el moho y el agua, mientras que otros estaban contaminados con excrementos de animales, rodeados de escombros o dejados a deteriorarse. Se encontraron archivos en baños y cubículos en desuso, edificios abandonados e incluso un contenedor de transporte situado dentro de un cobertizo de césped. Algunos trasteros carecían de iluminación o calefacción funcionales.
El regulador concluyó que la HSE no implementó medidas adecuadas de seguridad y gestión de registros. También constató que la información personal a veces se había retenido durante más tiempo del necesario, aumentando la posibilidad de divulgación no autorizada y dificultando la localización de registros cuando era necesario.
Otras violaciones del RGPD se referían a la gestión de las propias brechas. El DPC determinó que la HSE no informó de ciertos incidentes dentro del periodo requerido de 72 horas y no informó adecuadamente a las personas afectadas sobre las violaciones en los hospitales St. Loman’s y St. Conal’s.
La multa de 645.000 € consiste en 600.000 € por fallos en la seguridad y limitaciones de almacenamiento, 30.000 € por notificaciones de brechas retrasadas y 15.000 € por no comunicar las brechas a las personas afectadas.
Además de la multa, la HSE debe auditar sus instalaciones de almacenamiento de documentos en papel, destruir de forma segura la información que ya no necesita ser conservada y trasladar los registros lejos de lugares considerados inadecuados para proteger información médica sensible.