En bref
Le 2 septembre 2026, la Data Protection Commission irlandaise a rendu publique sa décision finale concernant le HSE, le service national de santé : 645 000 euros au total, un rappel à l'ordre et une série d'injonctions correctrices. L'objet n'est pas un système informatique mais les documents papier conservés dans les entrepôts externes. La décision avait été notifiée au HSE le 25 août.
D'où cela est parti
L'enquête a débuté le 24 mai 2024 à la suite de deux violations que le HSE lui-même avait notifiées. La première en octobre 2023 : des personnes ont accédé sans autorisation aux locaux du St. Loman's Hospital, à Mullingar dans le comté de Westmeath, où étaient conservés des documents papier. C'est un ancien hôpital psychiatrique désaffecté, contaminé à l'amiante. La seconde en novembre 2023, selon le même schéma, dans le New Building du St. Conal's Hospital à Letterkenny, comté de Donegal : également un ancien hôpital psychiatrique désaffecté, celui-ci envahi de moisissures.
Dans les deux cas, les intrus ont mis en ligne sur les réseaux sociaux les vidéos de ce qu'ils avaient trouvé, et c'est ainsi qu'on a vu qu'il y avait là des dossiers médicaux. En avril 2024, le HSE a informé l'Autorité avoir appris — de nouveau par les réseaux sociaux — un nouvel accès non autorisé, cette fois au sous-sol de St. Loman's, où se trouvaient d'autres documents que le HSE a décrits comme d'anciens dossiers de santé mentale.
Les douze inspections
À ce stade, la question de l'Autorité n'était plus ce qui s'était passé dans ces deux bâtiments, mais de savoir si le problème était isolé ou systémique. Des agents habilités de la DPC ont mené douze inspections sur l'ensemble du territoire.
Ce qu'ils ont trouvé figure dans le communiqué : des documents endommagés ou de fait détruits par les moisissures, souillés par des déjections animales, recouverts de gravats, pourrissant du fait des conditions de conservation ou abîmés par l'eau. Des zones de stockage dans un tel désordre et un tel abandon que les documents ne pouvaient être regardés comme classés de manière organisée ou consultable. Des documents conservés dans des salles de bains et des cabines désaffectées, dans un conteneur au fond d'un hangar à tourbe, dans des pièces sans éclairage ni chauffage en état de marche, et dans des bâtiments délabrés répartis sur plusieurs sites.
Le passage qui vaut pour tout le monde, pas seulement pour la santé
Le commissaire adjoint Graham Doyle a relevé que conserver des documents de manière non sécurisée au-delà de la période pendant laquelle ils devraient l'être produit deux risques à la fois : le risque continu d'accès et de divulgation non autorisés d'informations médicales sensibles, et le risque que ces documents ne soient pas disponibles lorsqu'ils sont nécessaires aux soins ou pour des raisons légales ou réglementaires. Garder trop longtemps n'est pas de la prudence : c'est de l'exposition d'un côté et de l'indisponibilité de l'autre.
Les manquements retenus
- Art. 5, par. 1, point f) et art. 32, par. 1 : défaut de sécurité appropriée des données contenues dans les documents papier conservés dans les entrepôts externes, et défaut de mise en œuvre de mesures techniques et organisationnelles appropriées, y compris des processus et contrôles de gestion documentaire.
- Art. 5, par. 1, point e) : violation du principe de limitation de la conservation, faute d'avoir conservé les données sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire.
- Art. 33, par. 1, à deux reprises distinctes : défaut de notification de la violation à l'Autorité sans retard injustifié et dans les 72 heures, s'agissant de St. Loman's et des documents du sous-sol de St. Loman's.
- Art. 34, par. 1 : défaut de communication aux personnes concernées des violations survenues à St. Loman's et à St. Conal's.
Ce que le HSE doit faire désormais
Outre le rappel à l'ordre et l'amende, les injonctions imposent un recensement complet de tous les entrepôts où le HSE conserve des dossiers papier, avec trois objectifs : se doter d'un système de gestion robuste pour enregistrer et tracer toutes les données conservées dans ces entrepôts ; détruire immédiatement et en sécurité les documents qui ne sont plus nécessaires aux finalités pour lesquelles ils étaient conservés ; et adopter des politiques et procédures pour vérifier, apprécier et évaluer régulièrement le respect de ses propres politiques de conservation. Un recensement distinct doit établir que chaque entrepôt est adapté à sa finalité.
À lire si l'on tient un registre
Le troisième de ces objectifs est celui qu'on oublie toujours : vérifier régulièrement le respect de ses propres politiques de conservation. Avoir une durée écrite au registre et aucun mécanisme qui contrôle si elle est respectée, c'est avoir une déclaration, pas une mesure. Devant un contrôle, toute la différence est là.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
