Data Protection Commission verhängt Geldstrafe von 645.000 EUR gegen HSE wegen Verletzungen des Schutzes personenbezogener Daten in Papierakten
Die Data Protection Commission (DPC) gab am 2. September 2026 eine endgültige Entscheidung bekannt, mit der sie dem Health Service Executive (HSE) eine Gesamtstrafe von 645.000 EUR auferlegte, nachdem eine Untersuchung der Verarbeitung personenbezogener Daten in Papierakten durchgeführt worden war. Diese Untersuchung begann am 24. Mai 2024, nachdem im Oktober und November 2023 zwei Verletzungen des Schutzes personenbezogener Daten gemeldet worden waren. Die DPC erteilte dem HSE außerdem eine Rüge und mehrere Korrekturanordnungen.
Die DPC stellte fest, dass das HSE gegen Artikel 5 Absatz 1 Buchstabe f DSGVO und Artikel 32 Absatz 1 DSGVO verstoßen hatte, indem es keine angemessene Sicherheit gewährleistete und keine geeigneten technischen und organisatorischen Maßnahmen implementierte, was zu einer Geldstrafe von 300.000 EUR führte. Weitere Verstöße umfassten Artikel 5 Absatz 1 Buchstabe e DSGVO wegen Nichteinhaltung der Grundsätze der Speicherbegrenzung, da personenbezogene Daten länger als notwendig aufbewahrt wurden, was ebenfalls eine Geldstrafe von 300.000 EUR nach sich zog. Das HSE verstieß auch gegen Artikel 33 Absatz 1 DSGVO, indem es Verletzungen nicht unverzüglich meldete, was zu einer Geldstrafe von 30.000 EUR führte, und gegen Artikel 34 Absatz 1 DSGVO, indem es Verletzungen den betroffenen Personen nicht mitteilte, was eine Geldstrafe von 15.000 EUR zur Folge hatte.
Autorisierte Beamte führten 12 Inspektionen vor Ort im ganzen Land durch und stellten fest, dass Dokumente durch Schimmel beschädigt, durch Tierkot verunreinigt und in großer Unordnung in ungenutzten Badezimmern, Kabinen und verlassenen Gebäuden gelagert wurden. Im Rahmen ihrer Korrekturanordnungen verlangt die DPC vom HSE, eine vollständige Prüfung aller Lagereinrichtungen durchzuführen, ein robustes Managementsystem zur Erfassung und Nachverfolgung aller personenbezogenen Daten zu implementieren und die sofortige und sichere Vernichtung unnötiger Aufzeichnungen sicherzustellen. Die DPC berücksichtigte frühere ähnliche Verstöße des HSE als erschwerenden Faktor bei der Berechnung der Geldstrafe.
Die anhaltende Herausforderung der Verwaltung alter Papierakten in großen Organisationen des öffentlichen Sektors führt häufig zu Compliance-Mängeln gemäß der DSGVO, insbesondere in Bezug auf Speicherung und Sicherheit.
General Data Protection Regulation (GDPR)
- Wen das bindet
- Öffentliche Stellen und andere Organisationen, die personenbezogene Daten in Papierakten verarbeiten, sind an die Erwartungen der Data Protection Commission hinsichtlich der sicheren Speicherung und Aufbewahrung gebunden.
- Was sich geändert hat
- Die Entscheidung der Data Protection Commission vom 2. September 2026 stellte klar, dass Organisationen robuste Managementsysteme für Papierakten implementieren müssen, einschließlich regelmäßiger Audits und sicherer Vernichtung, um Artikel 5 Absatz 1 Buchstabe e, 5 Absatz 1 Buchstabe f, 32 Absatz 1, 33 Absatz 1 und 34 Absatz 1 DSGVO einzuhalten.
- Was zu prüfen ist
- Organisationen sollten ihre Richtlinien für die Verwaltung von Papierakten überprüfen und Audits aller Lagereinrichtungen durchführen, um die Einhaltung der DSGVO-Grundsätze und Meldepflichten sicherzustellen.
- Was das nicht bedeutet
- Diese Entscheidung bedeutet nicht, dass alle Papierakten sofort digitalisiert werden müssen, sondern dass ihre physische Speicherung und Verwaltung den Sicherheits- und Aufbewahrungsstandards der DSGVO entsprechen muss.
Noch offen: Die Data Protection Commission wird die vollständige Entscheidung zu gegebener Zeit veröffentlichen, die zusätzliche detaillierte Leitlinien enthalten könnte.
An Ihr Team weiterleiten
Die Data Protection Commission verhängte gegen das Health Service Executive eine Geldstrafe von 645.000 EUR und erließ Korrekturanordnungen wegen systemischer Mängel bei der sicheren Speicherung und Aufbewahrung personenbezogener Daten in Papierform, was alle Organisationen betrifft, die ähnliche Daten verarbeiten.