In het kort
Op 2 september 2026 maakte de Ierse Data Protection Commission haar definitieve besluit over de HSE, de nationale gezondheidsdienst, bekend: in totaal 645.000 euro, een berisping en een reeks corrigerende bevelen. Het onderwerp is geen IT-systeem maar de papieren documenten in externe opslaglocaties. Het besluit was op 25 augustus aan de HSE meegedeeld.
Waar het begon
Het onderzoek startte op 24 mei 2024 na twee inbreuken die de HSE zelf had gemeld. De eerste in oktober 2023: personen kregen onbevoegd toegang tot het St. Loman's Hospital in Mullingar, County Westmeath, waar papieren dossiers lagen. Het is een voormalig, buiten gebruik gesteld psychiatrisch ziekenhuis, verontreinigd met asbest. De tweede in november 2023, volgens hetzelfde patroon, in het New Building van St. Conal's Hospital in Letterkenny, County Donegal: eveneens een voormalig, buiten gebruik gesteld psychiatrisch ziekenhuis, hier met ernstige schimmel.
In beide gevallen zetten de indringers video's van hun vondst op sociale media, en zo werd zichtbaar dat daar medische dossiers lagen. In april 2024 liet de HSE de Autoriteit weten dat zij — opnieuw via sociale media — had vernomen van een verdere onbevoegde toegang, ditmaal tot de kelder van St. Loman's, waar nog meer dossiers lagen die de HSE omschreef als oude dossiers geestelijke gezondheidszorg.
De twaalf inspecties
Op dat moment was de vraag van de Autoriteit niet langer wat er in die twee gebouwen was gebeurd, maar of het probleem op zichzelf stond of systemisch was. Bevoegde functionarissen van de DPC voerden twaalf inspecties uit door het hele land.
Wat zij aantroffen staat in de bekendmaking: documenten beschadigd of feitelijk vernietigd door schimmel, besmeurd met dierlijke uitwerpselen, bedolven onder puin, wegrottend door de opslagomstandigheden of waterschade. Opslagruimten in zo'n wanorde en verwaarlozing dat de dossiers op geen enkele geordende of toegankelijke wijze gearchiveerd konden heten. Dossiers in buiten gebruik gestelde badkamers en hokjes, in een zeecontainer in een turfschuur, in ruimten zonder werkende verlichting of verwarming, en in vervallen gebouwen op verschillende locaties.
De passage die voor iedereen geldt, niet alleen voor de zorg
Plaatsvervangend commissaris Graham Doyle merkte op dat het onbeveiligd bewaren van dossiers na de periode waarin ze bewaard hadden moeten worden twee risico's tegelijk oplevert: het voortdurende risico van onbevoegde toegang tot en openbaarmaking van gevoelige medische informatie, en het risico dat die dossiers niet beschikbaar zijn wanneer ze nodig zijn voor zorg of om juridische of regulatoire redenen. Te lang bewaren is geen voorzichtigheid: het is blootstelling aan de ene en onbeschikbaarheid aan de andere kant.
De vastgestelde inbreuken
- Artikel 5, lid 1, onder f) en artikel 32, lid 1: geen passende beveiliging van de gegevens in de papieren dossiers in de externe locaties, en geen passende technische en organisatorische maatregelen, met inbegrip van behoorlijke processen en controles voor documentbeheer.
- Artikel 5, lid 1, onder e): schending van het beginsel van opslagbeperking, door de gegevens niet te bewaren in een vorm die identificatie van betrokkenen niet langer mogelijk maakt dan noodzakelijk.
- Artikel 33, lid 1, in twee afzonderlijke gevallen: geen melding van de inbreuk aan de Autoriteit zonder onredelijke vertraging en binnen 72 uur, voor St. Loman's en voor de dossiers in de kelder van St. Loman's.
- Artikel 34, lid 1: geen mededeling aan de betrokkenen van de inbreuken bij St. Loman's en St. Conal's.
Wat de HSE nu moet doen
Naast de berisping en de boete verplichten de bevelen tot een volledige doorlichting van alle locaties waar de HSE papieren dossiers bewaart, met drie doelen: een robuust beheersysteem invoeren om alle daar bewaarde persoonsgegevens vast te leggen en traceerbaar te maken; papieren dossiers die niet langer nodig zijn voor de doeleinden waarvoor ze werden bewaard onmiddellijk en veilig vernietigen; en beleid en procedures invoeren om de naleving van het eigen bewaarbeleid regelmatig te testen, te beoordelen en te evalueren. Een afzonderlijke doorlichting moet vaststellen dat elke locatie geschikt is voor het doel.
Te lezen als je een register bijhoudt
Het derde doel is dat wat altijd wordt vergeten: regelmatig toetsen of het eigen bewaarbeleid wordt nageleefd. Een termijn in het register zonder enig mechanisme dat controleert of die wordt aangehouden is een verklaring, geen maatregel. Bij een controle zit daar het hele verschil.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
