O Health Service Executive (HSE) da Irlanda foi multado em €645.000 após reguladores descobrirem falhas graves na forma como registros médicos sensíveis em papel eram armazenados e protegidos.
A Comissão de Proteção de Dados (DPC) iniciou sua investigação em maio de 2024 após violações envolvendo dois antigos hospitais psiquiátricos. Indivíduos não autorizados acessaram registros do Hospital St. Loman em Mullingar e do Hospital St. Conal’s em Letterkenny. Vídeos mostrando documentos médicos nas instalações foram posteriormente publicados nas redes sociais.
A investigação posteriormente se expandiu além desses incidentes. Funcionários do DPC inspecionaram 12 locais de armazenamento HSE em toda a Irlanda para determinar se a má gestão de registros era um problema mais amplo.
Os inspetores encontraram documentos sendo mantidos em condições extremamente inadequadas. Alguns registros haviam sido danificados ou efetivamente destruídos por mofo e água, enquanto outros estavam contaminados com fezes de animais, cercados por escombros ou deixados para se deteriorar. Arquivos foram encontrados em banheiros e cubículos desativados, prédios abandonados e até um contêiner de transporte localizado dentro de um galpão de grama. Alguns depósitos não tinham iluminação ou aquecimento funcionais.
O regulador concluiu que a HSE não implementou medidas adequadas de segurança e gestão de registros. Também constatou que informações pessoais às vezes foram retidas por mais tempo do que o necessário, aumentando a possibilidade de divulgação não autorizada e dificultando a localização de registros quando necessário.
Violações adicionais do GDPR envolviam o tratamento das próprias violações. O DPC determinou que a HSE não reportou certos incidentes dentro do período exigido de 72 horas e não informou adequadamente os indivíduos afetados sobre violações nos hospitais St. Loman’s e St. Conal’s.
A multa de €645.000 consiste em €600.000 por falhas de segurança e limitação de armazenamento, €30.000 por notificações atrasadas de violação e €15.000 por não comunicar as violações às pessoas afetadas.
Além da multa, a HSE deve auditar suas instalações de armazenamento de registros em papel, destruir com segurança informações que não precisam mais ser mantidas e transferir registros para longe de locais considerados inadequados para proteger informações médicas sensíveis.