Pasientjournaler i en container i et torvskur: 645 000 euro til den irske helsetjenesten

Hvor det begynte

Tilsynssaken startet 24. mai 2024 etter to brudd HSE selv hadde meldt. Det første i oktober 2023: personer skaffet seg uberettiget adgang til St. Loman's Hospital i Mullingar i County Westmeath, der papirdokumenter var lagret. Det er et tidligere, nedlagt psykiatrisk sykehus, forurenset med asbest. Det andre i november 2023, etter samme mønster, i New Building ved St. Conal's Hospital i Letterkenny i County Donegal: også et tidligere nedlagt psykiatrisk sykehus, dette med kraftig muggsopp.

I begge tilfeller la inntrengerne ut videoer av det de fant på sosiale medier, og slik kom det fram at det lå pasientjournaler der. I april 2024 opplyste HSE til tilsynet at det — igjen via sosiale medier — var blitt kjent med enda en uberettiget adgang, denne gangen til kjelleren i St. Loman's, der ytterligere dokumenter lå, som HSE beskrev som gamle journaler fra psykisk helsevern.

De tolv tilsynene

På det tidspunktet var tilsynets spørsmål ikke lenger hva som hadde skjedd i de to bygningene, men om problemet var et enkelttilfelle eller systemisk. Autoriserte tjenestemenn fra DPC gjennomførte tolv stedlige tilsyn over hele landet.

Det de fant står i meldingen: dokumenter skadet eller reelt ødelagt av mugg, tilgriset av dyreekskrementer, dekket av murpuss og rusk, råtnet på grunn av lagringsforholdene eller vannskadet. Lagerområder i en slik uorden og forfall at dokumentene ikke kunne sies å være arkivert på noen ordnet eller tilgjengelig måte. Dokumenter oppbevart i nedlagte bad og avlukker, i en container i et torvskur, i rom uten fungerende lys eller varme, og i forfalne bygninger på flere ulike steder.

Bruddene som ble konstatert

• Artikkel 5 nr. 1 bokstav f og artikkel 32 nr. 1: manglende tilfredsstillende sikkerhet for opplysningene i papirdokumentene i de eksterne lagrene, og manglende gjennomføring av egnede tekniske og organisatoriske tiltak, herunder forsvarlige prosesser og kontroller for dokumenthåndtering.
• Artikkel 5 nr. 1 bokstav e: brudd på prinsippet om lagringsbegrensning, ved ikke å oppbevare opplysningene i en form som gjør det mulig å identifisere de registrerte i lengre tid enn nødvendig.
• Artikkel 33 nr. 1, i to atskilte tilfeller: manglende melding om bruddet til tilsynet uten ugrunnet opphold og innen 72 timer, for St. Loman's og for dokumentene i kjelleren i St. Loman's.
• Artikkel 34 nr. 1: manglende underretning til de registrerte om bruddene ved St. Loman's og St. Conal's.

Hva HSE må gjøre nå

Ved siden av irettesettelsen og overtredelsesgebyret pålegger vedtaket en fullstendig gjennomgang av alle lagre der HSE oppbevarer papirmapper, med tre formål: å innføre et robust styringssystem for å registrere og spore alle personopplysninger som oppbevares der; å sørge for umiddelbar og sikker destruksjon av papirdokumenter som ikke lenger er nødvendige for formålene de ble oppbevart for; og å innføre retningslinjer og rutiner for jevnlig å teste, vurdere og evaluere etterlevelsen av HSEs egne lagringsretningslinjer. En egen gjennomgang skal fastslå at hvert lager er egnet for formålet.