Tutte le news
Sanzione 2 settembre 2026 7 min

Cartelle cliniche in un container dentro un capanno: 645.000 euro al servizio sanitario irlandese

La Data Protection Commission ha chiuso il 2 settembre l'istruttoria sugli archivi cartacei dell'HSE. Dodici ispezioni in tutto il paese, documenti marciti dalla muffa e coperti da escrementi di animali, e due ex ospedali psichiatrici dismessi usati come deposito

In breve

Il 2 settembre 2026 la Data Protection Commission irlandese ha reso nota la decisione finale sull'HSE, il servizio sanitario nazionale: 645.000 euro complessivi, un ammonimento e una serie di ordini correttivi. L'oggetto non è un sistema informatico ma i documenti di carta conservati nei depositi esterni. La decisione era stata notificata all'HSE il 25 agosto.

Da dove è partita

L'istruttoria è cominciata il 24 maggio 2024 a seguito di due violazioni che l'HSE stesso aveva notificato. La prima a ottobre 2023: alcune persone erano entrate senza autorizzazione nei locali di St. Loman's Hospital, a Mullingar nella contea di Westmeath, dove erano conservati documenti cartacei. È un ex ospedale psichiatrico dismesso, contaminato da amianto. La seconda a novembre 2023, con lo stesso schema, nel New Building di St. Conal's Hospital a Letterkenny, contea di Donegal: anche questo un ex ospedale psichiatrico dismesso, con muffa grave.

In entrambi i casi gli intrusi hanno caricato sui social i video di quello che avevano trovato, ed è così che si è visto che là dentro c'erano cartelle cliniche. Nell'aprile 2024 l'HSE ha comunicato all'Autorità di aver appreso — di nuovo dai social — di un ulteriore accesso non autorizzato, questa volta al seminterrato di St. Loman's, dove si trovavano altri documenti che l'HSE ha descritto come vecchie cartelle di salute mentale.

Le dodici ispezioni

A quel punto la domanda dell'Autorità non era più che cosa fosse successo in quei due edifici, ma se fosse un problema isolato o sistemico. Funzionari autorizzati della DPC hanno svolto dodici ispezioni in tutto il paese.

Quello che hanno trovato è descritto nel comunicato: documenti danneggiati o di fatto distrutti dalla muffa, contaminati da escrementi di animali, coperti di calcinacci, marciti per le condizioni di conservazione o danneggiati dall'acqua. Aree di deposito in un disordine tale che i documenti non potevano dirsi archiviati in alcun modo organizzato o consultabile. Documenti conservati in bagni e cabine in disuso, in un container dentro un capanno per la torba, in stanze senza illuminazione né riscaldamento funzionanti, e in edifici fatiscenti in luoghi diversi.

Il passaggio che vale per chiunque, non solo per la sanità

Il vicecommissario Graham Doyle ha osservato che conservare documenti in modo insicuro oltre il periodo in cui andrebbero conservati produce due rischi insieme: il rischio continuo di accesso e divulgazione non autorizzata di informazioni mediche sensibili, e il rischio che quei documenti non siano disponibili quando servono per la cura o per ragioni legali o regolamentari. Tenere troppo a lungo non è prudenza: è esposizione da un lato e indisponibilità dall'altro.

Le violazioni accertate

  • Art. 5, par. 1, lett. f) e art. 32, par. 1: mancata sicurezza adeguata dei dati contenuti nei documenti cartacei conservati nei depositi esterni, e mancata attuazione di misure tecniche e organizzative adeguate, compresi processi e controlli di gestione documentale.
  • Art. 5, par. 1, lett. e): violazione del principio di limitazione della conservazione, per non aver conservato i dati in una forma che consente l'identificazione degli interessati per un tempo non superiore al necessario.
  • Art. 33, par. 1, in due distinte occasioni: mancata notifica della violazione all'Autorità senza ingiustificato ritardo ed entro 72 ore, per St. Loman's e per i documenti nel seminterrato di St. Loman's.
  • Art. 34, par. 1: mancata comunicazione agli interessati delle violazioni avvenute a St. Loman's e a St. Conal's.

Che cosa deve fare adesso l'HSE

Oltre all'ammonimento e alla sanzione, gli ordini impongono un censimento completo di tutti i depositi in cui l'HSE conserva documenti cartacei, con tre obiettivi: dotarsi di un sistema di gestione robusto per registrare e tracciare tutti i dati conservati in quei depositi; distruggere in modo immediato e sicuro i documenti che non sono più necessari per le finalità per cui erano conservati; adottare politiche e procedure per verificare, valutare e misurare periodicamente il rispetto delle proprie stesse politiche di conservazione. È previsto anche un censimento separato per accertare che ciascun deposito sia idoneo allo scopo.

Da leggere se si tiene un registro

L'ultimo dei tre obiettivi è quello che si dimentica sempre: verificare periodicamente il rispetto delle proprie politiche di conservazione. Avere un termine scritto nel registro e non avere alcun meccanismo che controlli se quel termine viene rispettato significa avere una dichiarazione, non una misura. In sede di verifica la differenza è tutta lì.

Fonte ufficiale:Data Protection Commission — Final Decision following Inquiry into the Health Service Executive (2 settembre 2026)

Stai cercando un gestionale per il tuo lavoro di DPO?

DPO Workspace e' costruito da un DPO certificato. 30 giorni di prova gratuita.

Inizia gratis