Ce qui a changé
- L'enquête a été ouverte le 24 mai 2024 après que des notifications de violation à la fin de l'année 2023 ont révélé que des intrus avaient accédé à des dossiers papier dans des hôpitaux désaffectés et publié des vidéos sur les réseaux sociaux.
- La DPC a établi des violations du RGPD au titre des articles 5, 32, 33 et 34 relatives à la sécurité du stockage physique et à l'intégrité des documents.
- La DPC a rendu sa décision finale le 28 août 2026, ordonnant 645 000 € d'amendes, un blâme, des ordonnances de conformité et des ordonnances de communication de la violation.
La Commission irlandaise de protection des données (DPC) a annoncé sa décision finale concernant une enquête sur le Health Service Executive (HSE) portant sur des défaillances en matière de protection des données dans la gestion et la sécurité des dossiers papier physiques. L'enquête s'est concentrée sur le traitement par le HSE de données à caractère personnel contenues dans des documents papier conservés dans des installations externes de stockage de documents.
L'enquête a débuté le 24 mai 2024 à la suite de deux notifications de violation de données à caractère personnel soumises à la DPC en octobre 2023 et novembre 2023. Ces notifications découlaient d'incidents au cours desquels des personnes non autorisées ont obtenu un accès physique à des dossiers papier stockés dans deux anciens établissements psychiatriques désaffectés : l'hôpital St. Loman à Mullingar (comté de Westmeath) et l'hôpital St Conal à Letterkenny (comté de Donegal). Des intrus ont mis en ligne des vidéos sur les réseaux sociaux montrant que des dossiers médicaux étaient stockés et conservés dans ces deux bâtiments désaffectés.
À la suite de son enquête, la DPC a identifié des défaillances en matière de protection des données concernant les conditions physiques des installations de stockage de documents du HSE et l'intégrité des documents qui y étaient conservés. La décision a cité des violations de plusieurs dispositions du Règlement général sur la protection des données (RGPD), notamment l'article 5 (principes relatifs au traitement des données à caractère personnel), l'article 32 (sécurité du traitement), l'article 33 (notification d'une violation de données à caractère personnel à l'autorité de contrôle) et l'article 34 (communication d'une violation de données à caractère personnel à la personne concernée).
Par sa décision finale du 28 août 2026, la DPC a imposé des mesures correctives et des sanctions au HSE. Celles-ci comprennent des amendes administratives d'un montant total de 645 000 €, un blâme, plusieurs ordonnances de conformité et une ordonnance de communication concernant la violation de données à caractère personnel.
Cette décision souligne que la conformité à la protection des données en vertu du RGPD s'applique rigoureusement aux archives de documents physiques tout comme aux systèmes numériques, mettant en évidence la responsabilité à laquelle les organisations des secteurs public et privé font face concernant les normes de sécurité physique sur les sites de stockage existants.
Qui peut être concerné
Health Service Executive (HSE), personnes dont les dossiers médicaux papier ont été exposés aux hôpitaux St. Loman et St Conal, et responsables du traitement gérant des archives physiques.
Contexte transfrontalier
Illustre les normes d'application à l'échelle de l'UE en vertu du RGPD concernant l'intégrité et la sécurité des documents physiques dans les secteurs de la santé des États membres.
Points à vérifier ensuite
- Consultez le site web de la Commission irlandaise de protection des données pour la publication du texte intégral de la décision concernant le HSE.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.
Préparé automatiquement avec l'assistance d'une IA à partir des sources officielles liées sur cette page. Les traductions et explications ne remplacent pas le texte officiel.