Le Health Service Executive (HSE) d’Irlande a été condamné à une amende de 645 000 € après que les régulateurs ont découvert de graves défaillances dans la manière dont les dossiers médicaux papier sensibles étaient conservés et protégés.
La Commission de protection des données (DPC) a commencé son enquête en mai 2024 à la suite de violations impliquant deux anciens hôpitaux psychiatriques. Des personnes non autorisées ont accédé aux dossiers de l’hôpital St. Loman à Mullingar et de l’hôpital St. Conal à Letterkenny. Des vidéos montrant des documents médicaux dans les établissements ont ensuite été publiées sur les réseaux sociaux.
L’enquête s’est ensuite étendue au-delà de ces incidents. Les responsables du DPC ont inspecté 12 sites de stockage HSE à travers l’Irlande pour déterminer si une mauvaise gestion des archives était un problème plus large.
Les inspecteurs ont trouvé des documents conservés dans des conditions très inadaptées. Certains dossiers avaient été endommagés ou effectivement détruits par la moisissure et l’eau, tandis que d’autres étaient contaminés par des crottes d’animaux, entourés de gravats ou laissés à l’abandon. Des dossiers ont été découverts dans des salles de bain et des cabines désaffectées, des bâtiments délabrés et même un conteneur maritime situé dans un hangar à gazon. Certaines salles de stockage manquaient d’éclairage ou de chauffage fonctionnel.
Le régulateur a conclu que la HSE n’avait pas mis en place des mesures adéquates de sécurité et de gestion des documents. Elle a également constaté que les informations personnelles avaient parfois été conservées plus longtemps que nécessaire, augmentant la possibilité de divulgation non autorisée tout en rendant les documents plus difficiles à localiser lorsque nécessaire.
D’autres violations du RGPD concernaient la gestion des violations elles-mêmes. Le DPC a déterminé que la HSE n’avait pas signalé certains incidents dans le délai requis de 72 heures et n’avait pas correctement informé les personnes concernées des violations dans les hôpitaux St. Loman’s et St. Conal’s.
La pénalité de 645 000 € comprend 600 000 € pour les défaillances de sécurité et de limitation de stockage, 30 000 € pour les notifications de violation retardées et 15 000 € pour le non-respect des violations aux personnes concernées.
Parallèlement à l’amende, la HSE doit auditer ses installations de stockage de documents papier, détruire en toute sécurité les informations qui n’ont plus besoin d’être conservées, et déplacer les dossiers hors de lieux jugés inadaptés à la protection des informations médicales sensibles.