Data Protection Commission Multa HSE em EUR 645.000 por Violações de Dados Pessoais em Registros em Papel
A Data Protection Commission (DPC) anunciou uma decisão final em 2 de setembro de 2026, multando a Health Service Executive (HSE) em um total de EUR 645.000 após uma investigação sobre o processamento de dados pessoais em registros em papel. Esta investigação teve início em 24 de maio de 2024, após duas violações de dados pessoais terem sido notificadas em outubro e novembro de 2023. A DPC também emitiu uma repreensão e várias ordens corretivas à HSE.
A DPC constatou que a HSE infringiu o Artigo 5(1)(f) GDPR e o Artigo 32(1) GDPR ao não garantir segurança apropriada e implementar medidas técnicas e organizacionais adequadas, resultando em uma multa de EUR 300.000. Outras infrações incluíram o Artigo 5(1)(e) GDPR por não aderir aos princípios de limitação de armazenamento, retendo dados pessoais por mais tempo do que o necessário, o que também gerou uma multa de EUR 300.000. A HSE também infringiu o Artigo 33(1) GDPR ao não notificar as violações sem demora indevida, levando a uma multa de EUR 30.000, e o Artigo 34(1) GDPR por não comunicar as violações aos titulares dos dados, resultando em uma multa de EUR 15.000.
Oficiais autorizados realizaram 12 inspeções em locais em todo o país, observando documentos danificados por mofo, contaminados por dejetos de animais e armazenados em profunda desordem em banheiros desativados, cubículos e edifícios abandonados. Como parte de suas ordens corretivas, a DPC exige que a HSE realize uma auditoria completa de todas as instalações de armazenamento para implementar um sistema de gestão robusto para registrar e rastrear todos os dados pessoais e para garantir a destruição imediata e segura de registros desnecessários. A DPC considerou infrações semelhantes anteriores pela HSE como um fator agravante no cálculo de sua multa.
O desafio persistente de gerenciar registros em papel legados em grandes organizações do setor público frequentemente leva a falhas de conformidade sob o GDPR, particularmente em relação ao armazenamento e à segurança.
General Data Protection Regulation (GDPR)
- Quem isso vincula
- Órgãos do setor público e outras organizações que processam dados pessoais em registros em papel estão vinculados às expectativas da Data Protection Commission em relação ao armazenamento seguro e à retenção.
- O que mudou
- A decisão da Data Protection Commission em 2 de setembro de 2026 esclareceu que as organizações devem implementar sistemas de gestão robustos para registros em papel, incluindo auditorias regulares e destruição segura, para cumprir os Artigos 5(1)(e), 5(1)(f), 32(1), 33(1) e 34(1) GDPR.
- O que verificar
- As organizações devem revisar suas políticas de gestão de registros em papel e realizar auditorias de todas as instalações de armazenamento para garantir a conformidade com os princípios do GDPR e os requisitos de notificação.
- O que isso não significa
- Esta decisão não significa que todos os registros em papel devem ser digitalizados imediatamente, mas sim que seu armazenamento físico e gestão devem atender aos padrões de segurança e retenção do GDPR.
Ainda em aberto: A Data Protection Commission publicará a decisão completa em devido tempo, o que poderá fornecer orientações detalhadas adicionais.
Envie isto para sua equipe
A Data Protection Commission multou a Health Service Executive em EUR 645.000 e emitiu ordens corretivas por falhas sistêmicas no armazenamento seguro e na retenção de registros de dados pessoais em papel, impactando todas as organizações que lidam com dados semelhantes.