Historias clínicas en un contenedor dentro de un cobertizo: 645.000 euros al servicio de salud irlandés

De dónde partió

La investigación comenzó el 24 de mayo de 2024 a raíz de dos brechas que el propio HSE había notificado. La primera en octubre de 2023: varias personas accedieron sin autorización a los locales del St. Loman's Hospital, en Mullingar, condado de Westmeath, donde se conservaban documentos en papel. Es un antiguo hospital psiquiátrico en desuso, contaminado con amianto. La segunda en noviembre de 2023, con el mismo patrón, en el New Building del St. Conal's Hospital en Letterkenny, condado de Donegal: también un antiguo hospital psiquiátrico en desuso, este con moho grave.

En ambos casos los intrusos subieron a las redes sociales vídeos de lo que habían encontrado, y así se vio que allí dentro había historias clínicas. En abril de 2024 el HSE comunicó a la Autoridad que había sabido —de nuevo por las redes— de otro acceso no autorizado, esta vez al sótano de St. Loman's, donde había más documentos que el HSE describió como antiguas historias de salud mental.

Las doce inspecciones

En ese punto la pregunta de la Autoridad ya no era qué había pasado en esos dos edificios, sino si el problema era aislado o sistémico. Funcionarios autorizados de la DPC realizaron doce inspecciones en todo el país.

Lo que encontraron está descrito en el comunicado: documentos dañados o de hecho destruidos por el moho, contaminados por excrementos de animales, cubiertos de escombros, podridos por las condiciones de conservación o dañados por el agua. Zonas de depósito en tal desorden y abandono que los documentos no podían considerarse archivados de forma organizada ni accesible. Documentos guardados en baños y cabinas en desuso, en un contenedor dentro de un cobertizo para turba, en habitaciones sin iluminación ni calefacción operativas, y en edificios ruinosos en distintos lugares.

Las infracciones apreciadas

• Art. 5, apdo. 1, letra f) y art. 32, apdo. 1: falta de seguridad adecuada de los datos contenidos en los documentos en papel conservados en los depósitos externos, y falta de aplicación de medidas técnicas y organizativas adecuadas, incluidos procesos y controles de gestión documental.
• Art. 5, apdo. 1, letra e): infracción del principio de limitación del plazo de conservación, por no mantener los datos en una forma que permita la identificación de los interesados durante no más tiempo del necesario.
• Art. 33, apdo. 1, en dos ocasiones distintas: falta de notificación de la brecha a la Autoridad sin dilación indebida y dentro de las 72 horas, respecto de St. Loman's y de los documentos del sótano de St. Loman's.
• Art. 34, apdo. 1: falta de comunicación a los interesados de las brechas ocurridas en St. Loman's y St. Conal's.

Qué debe hacer ahora el HSE

Además del apercibimiento y la sanción, las órdenes imponen una auditoría completa de todos los depósitos donde el HSE conserva archivos en papel, con tres objetivos: dotarse de un sistema de gestión robusto para registrar y trazar todos los datos conservados en esos depósitos; destruir de forma inmediata y segura los documentos que ya no son necesarios para los fines por los que se conservaban; y adoptar políticas y procedimientos para comprobar, valorar y evaluar periódicamente el cumplimiento de sus propias políticas de conservación. Se prevé además una auditoría separada para verificar que cada depósito es apto para su finalidad.