Em síntese
A 2 de setembro de 2026 a Data Protection Commission irlandesa tornou pública a decisão final sobre o HSE, o serviço nacional de saúde: 645 000 euros no total, uma repreensão e um conjunto de ordens corretivas. O objeto não é um sistema informático mas os documentos em papel conservados nos depósitos externos. A decisão tinha sido notificada ao HSE a 25 de agosto.
De onde partiu
A averiguação começou a 24 de maio de 2024 na sequência de duas violações que o próprio HSE havia notificado. A primeira em outubro de 2023: pessoas acederam sem autorização às instalações do St. Loman's Hospital, em Mullingar, condado de Westmeath, onde se conservavam documentos em papel. É um antigo hospital psiquiátrico desativado, contaminado com amianto. A segunda em novembro de 2023, com o mesmo padrão, no New Building do St. Conal's Hospital em Letterkenny, condado de Donegal: também um antigo hospital psiquiátrico desativado, este com bolor grave.
Em ambos os casos os intrusos publicaram nas redes sociais vídeos do que tinham encontrado, e foi assim que se viu que ali estavam processos clínicos. Em abril de 2024 o HSE comunicou à Autoridade que soubera — de novo pelas redes sociais — de um novo acesso não autorizado, desta vez à cave de St. Loman's, onde havia mais documentos que o HSE descreveu como antigos processos de saúde mental.
As doze inspeções
Nesse ponto a pergunta da Autoridade já não era o que sucedera naqueles dois edifícios, mas se o problema era isolado ou sistémico. Funcionários autorizados da DPC realizaram doze inspeções em todo o país.
O que encontraram está descrito no comunicado: documentos danificados ou de facto destruídos pelo bolor, contaminados por dejetos de animais, cobertos de entulho, apodrecidos pelas condições de conservação ou danificados pela água. Zonas de depósito em tal desordem e abandono que os documentos não podiam considerar-se arquivados de forma organizada ou acessível. Documentos guardados em casas de banho e cabinas desativadas, num contentor dentro de um barracão de turfa, em salas sem iluminação nem aquecimento a funcionar, e em edifícios devolutos em vários locais distintos.
A passagem que vale para qualquer um, não só para a saúde
O comissário-adjunto Graham Doyle observou que conservar documentos de modo inseguro para além do período em que deveriam ser conservados gera dois riscos ao mesmo tempo: o risco contínuo de acesso e divulgação não autorizados de informação médica sensível, e o risco de esses documentos não estarem disponíveis quando são precisos para cuidados de saúde ou por razões legais ou regulamentares. Guardar demasiado tempo não é prudência: é exposição de um lado e indisponibilidade do outro.
As infrações apuradas
- Artigo 5.º, n.º 1, alínea f) e artigo 32.º, n.º 1: falta de segurança adequada dos dados contidos nos documentos em papel conservados nos depósitos externos, e falta de aplicação de medidas técnicas e organizativas adequadas, incluindo processos e controlos de gestão documental.
- Artigo 5.º, n.º 1, alínea e): violação do princípio da limitação da conservação, por não conservar os dados de forma que permita a identificação dos titulares apenas durante o período necessário.
- Artigo 33.º, n.º 1, em duas ocasiões distintas: falta de notificação da violação à Autoridade sem demora injustificada e no prazo de 72 horas, quanto a St. Loman's e aos documentos na cave de St. Loman's.
- Artigo 34.º, n.º 1: falta de comunicação aos titulares das violações ocorridas em St. Loman's e St. Conal's.
O que o HSE tem de fazer agora
Para além da repreensão e da coima, as ordens impõem um levantamento completo de todos os depósitos onde o HSE conserva processos em papel, com três objetivos: dotar-se de um sistema de gestão robusto para registar e rastrear todos os dados conservados nesses depósitos; destruir de forma imediata e segura os documentos que já não são necessários para as finalidades pelas quais eram conservados; e adotar políticas e procedimentos para testar, apreciar e avaliar periodicamente o cumprimento das suas próprias políticas de conservação. Está previsto ainda um levantamento separado para verificar que cada depósito é adequado ao fim.
A ler se se mantém um registo
O terceiro desses objetivos é o que se esquece sempre: verificar periodicamente o cumprimento das próprias políticas de conservação. Ter um prazo escrito no registo e não ter qualquer mecanismo que controle se é respeitado significa ter uma declaração, não uma medida. Perante uma fiscalização a diferença está toda aí.
Procura uma ferramenta para o seu trabalho de EPD?
O DPO Workspace foi construído por um DPO certificado. 30 dias de experiência gratuita.
Começar gratuitamente
