Kurz gefasst
Am 2. September 2026 hat die irische Data Protection Commission ihre abschließende Entscheidung zum HSE, dem nationalen Gesundheitsdienst, bekannt gegeben: insgesamt 645.000 Euro, eine Verwarnung und eine Reihe von Abhilfeanordnungen. Gegenstand ist kein IT-System, sondern die Papierunterlagen in den externen Lagern. Die Entscheidung war dem HSE am 25. August zugestellt worden.
Wovon es ausging
Die Untersuchung begann am 24. Mai 2024 aufgrund zweier Verletzungen, die das HSE selbst gemeldet hatte. Die erste im Oktober 2023: Personen verschafften sich unbefugt Zugang zum St. Loman's Hospital in Mullingar, County Westmeath, wo Papierunterlagen lagerten. Es handelt sich um eine stillgelegte ehemalige psychiatrische Klinik, mit Asbest belastet. Die zweite im November 2023, nach demselben Muster, im New Building des St. Conal's Hospital in Letterkenny, County Donegal: ebenfalls eine stillgelegte ehemalige psychiatrische Klinik, hier mit starkem Schimmelbefall.
In beiden Fällen luden die Eindringlinge Videos ihres Fundes in soziale Netzwerke hoch, und so wurde sichtbar, dass dort Krankenakten lagerten. Im April 2024 teilte das HSE der Behörde mit, es habe — erneut über soziale Netzwerke — von einem weiteren unbefugten Zugang erfahren, diesmal zum Keller von St. Loman's, wo sich weitere Unterlagen befanden, die das HSE als alte Akten aus der Psychiatrie beschrieb.
Die zwölf Inspektionen
Die Frage der Behörde war nun nicht mehr, was in diesen beiden Gebäuden geschehen war, sondern ob das Problem ein Einzelfall oder systemisch war. Beauftragte der DPC führten zwölf Vor-Ort-Inspektionen im ganzen Land durch.
Was sie vorfanden, steht in der Mitteilung: Unterlagen, die durch Schimmel beschädigt oder faktisch zerstört, durch Tierkot verunreinigt, von Schutt bedeckt, durch die Lagerbedingungen verrottet oder wasserbeschädigt waren. Lagerbereiche in einem Zustand von Unordnung und Verwahrlosung, in dem die Unterlagen in keiner Weise als geordnet oder auffindbar abgelegt gelten konnten. Unterlagen in stillgelegten Bädern und Kabinen, in einem Container in einem Torfschuppen, in Räumen ohne funktionierende Beleuchtung oder Heizung und in verfallenen Gebäuden an mehreren verstreuten Orten.
Die Stelle, die für alle gilt, nicht nur für das Gesundheitswesen
Der stellvertretende Commissioner Graham Doyle wies darauf hin, dass die unsichere Aufbewahrung von Unterlagen über den Zeitraum hinaus, in dem sie aufbewahrt werden sollten, zwei Risiken zugleich erzeugt: das fortdauernde Risiko unbefugten Zugriffs auf und unbefugter Offenlegung von sensiblen medizinischen Informationen, und das Risiko, dass diese Unterlagen nicht verfügbar sind, wenn sie für die Behandlung oder aus rechtlichen oder regulatorischen Gründen gebraucht werden. Zu lange aufbewahren ist keine Vorsicht: es ist Exposition auf der einen und Nichtverfügbarkeit auf der anderen Seite.
Die festgestellten Verstöße
- Art. 5 Abs. 1 Buchst. f und Art. 32 Abs. 1: keine angemessene Sicherheit der in den Papierunterlagen in den externen Lagern enthaltenen Daten und keine Umsetzung angemessener technischer und organisatorischer Maßnahmen, einschließlich ordnungsgemäßer Prozesse und Kontrollen der Schriftgutverwaltung.
- Art. 5 Abs. 1 Buchst. e: Verstoß gegen den Grundsatz der Speicherbegrenzung, weil die Daten nicht in einer Form aufbewahrt wurden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es erforderlich ist.
- Art. 33 Abs. 1, in zwei getrennten Fällen: keine Meldung der Verletzung an die Behörde unverzüglich und binnen 72 Stunden, betreffend St. Loman's und die Unterlagen im Keller von St. Loman's.
- Art. 34 Abs. 1: keine Benachrichtigung der betroffenen Personen über die Verletzungen in St. Loman's und St. Conal's.
Was das HSE nun tun muss
Neben Verwarnung und Geldbuße verlangen die Anordnungen eine vollständige Bestandsaufnahme aller Lager, in denen das HSE Papierakten aufbewahrt, mit drei Zielen: ein belastbares Verwaltungssystem zur Erfassung und Nachverfolgung aller dort gespeicherten personenbezogenen Daten einzuführen; Papierunterlagen, die für die Zwecke ihrer Aufbewahrung nicht mehr erforderlich sind, unverzüglich und sicher zu vernichten; und Richtlinien und Verfahren einzuführen, um die Einhaltung der eigenen Aufbewahrungsrichtlinien regelmäßig zu prüfen, zu bewerten und zu evaluieren. Eine gesonderte Bestandsaufnahme soll feststellen, dass jedes Lager für den Zweck geeignet ist.
Lesenswert, wenn man ein Verzeichnis führt
Das dritte dieser Ziele wird stets vergessen: die regelmäßige Prüfung der Einhaltung der eigenen Aufbewahrungsrichtlinien. Eine im Verzeichnis notierte Frist ohne jeden Mechanismus, der ihre Einhaltung kontrolliert, ist eine Erklärung, keine Maßnahme. In der Prüfung liegt genau darin der Unterschied.
Suchen Sie ein Werkzeug für Ihre Arbeit als Datenschutzbeauftragter?
DPO Workspace wurde von einem zertifizierten Datenschutzbeauftragten entwickelt. 30 Tage kostenlos testen.
Kostenlos starten
