Kort sagt
Den 2 september 2026 offentliggjorde den irländska Data Protection Commission sitt slutliga beslut om HSE, den nationella hälso- och sjukvården: sammanlagt 645 000 euro, en reprimand och en rad korrigerande förelägganden. Föremålet är inte ett it-system utan pappershandlingarna i de externa lagren. Beslutet delgavs HSE den 25 augusti.
Var det började
Granskningen inleddes den 24 maj 2024 efter två incidenter som HSE självt hade anmält. Den första i oktober 2023: personer tog sig obehörigt in i St. Loman's Hospital i Mullingar i County Westmeath, där pappershandlingar förvarades. Det är ett tidigare, nedlagt psykiatriskt sjukhus, förorenat med asbest. Den andra i november 2023, enligt samma mönster, i New Building vid St. Conal's Hospital i Letterkenny i County Donegal: också ett tidigare nedlagt psykiatriskt sjukhus, detta med svårt mögel.
I båda fallen lade inkräktarna ut videor av vad de hittat på sociala medier, och så framkom det att patientjournaler förvarades där. I april 2024 meddelade HSE myndigheten att man — återigen via sociala medier — fått kännedom om ytterligare ett obehörigt intrång, denna gång i källaren till St. Loman's, där fler handlingar fanns, av HSE beskrivna som gamla journaler från psykiatrin.
De tolv inspektionerna
Vid det laget var myndighetens fråga inte längre vad som hänt i de två byggnaderna, utan om problemet var enstaka eller systematiskt. Behöriga tjänstemän från DPC genomförde tolv inspektioner på plats i hela landet.
Vad de fann framgår av meddelandet: handlingar skadade eller i praktiken förstörda av mögel, nedsmutsade av djurspillning, täckta av bråte, förmultnade på grund av förvaringsförhållandena eller vattenskadade. Lagerutrymmen i sådan oordning och vanvård att handlingarna inte kunde anses arkiverade på något ordnat eller åtkomligt sätt. Handlingar förvarade i nedlagda badrum och bås, i en container i ett torvskjul, i rum utan fungerande belysning eller värme, och i förfallna byggnader på flera skilda platser.
Stycket som gäller alla, inte bara vården
Biträdande kommissarien Graham Doyle framhöll att att bevara handlingar osäkert utöver den period de borde bevaras ger upphov till två risker samtidigt: den fortlöpande risken för obehörig åtkomst till och spridning av känsliga medicinska uppgifter, och risken att handlingarna inte finns tillgängliga när de behövs för vård eller av rättsliga eller regulatoriska skäl. Att spara för länge är inte försiktighet: det är exponering å ena sidan och otillgänglighet å den andra.
De konstaterade överträdelserna
- Artikel 5.1 f och artikel 32.1: bristande lämplig säkerhet för uppgifterna i pappershandlingarna i de externa lagren, och underlåtenhet att vidta lämpliga tekniska och organisatoriska åtgärder, inbegripet ändamålsenliga processer och kontroller för dokumenthantering.
- Artikel 5.1 e: överträdelse av principen om lagringsminimering, genom att inte förvara uppgifterna i en form som möjliggör identifiering av de registrerade under längre tid än nödvändigt.
- Artikel 33.1, vid två skilda tillfällen: underlåtenhet att anmäla personuppgiftsincidenten till myndigheten utan onödigt dröjsmål och inom 72 timmar, avseende St. Loman's och handlingarna i källaren till St. Loman's.
- Artikel 34.1: underlåtenhet att underrätta de registrerade om incidenterna vid St. Loman's och St. Conal's.
Vad HSE måste göra nu
Utöver reprimanden och sanktionsavgiften kräver föreläggandena en fullständig genomgång av alla lager där HSE förvarar pappersakter, med tre syften: att införa ett robust förvaltningssystem för att registrera och spåra alla personuppgifter som förvaras där; att omedelbart och säkert förstöra pappershandlingar som inte längre behövs för de ändamål de bevarats för; och att införa policyer och rutiner för att regelbundet testa, bedöma och utvärdera efterlevnaden av HSE:s egna lagringspolicyer. En separat genomgång ska fastställa att varje lager är ändamålsenligt.
Värt att läsa om man för en registerförteckning
Det tredje av dessa syften är det som alltid glöms bort: att regelbundet pröva efterlevnaden av de egna lagringspolicyerna. En frist nedskriven i förteckningen utan någon mekanism som kontrollerar om den hålls är en förklaring, inte en åtgärd. Vid en granskning ligger hela skillnaden just där.
Looking for a workspace for your DPO work?
DPO Workspace is built by a certified DPO. 30-day free trial.
Start free
