La Data Protection Commission inflige une amende de 645 000 EUR à la HSE pour des violations de données personnelles dans des dossiers papier
La Data Protection Commission (DPC) a annoncé une décision finale le 2 septembre 2026, infligeant une amende totale de 645 000 EUR à la Health Service Executive (HSE) suite à une enquête sur son traitement des données personnelles dans des dossiers papier. Cette enquête a débuté le 24 mai 2024 après la notification de deux violations de données personnelles en octobre et novembre 2023. La DPC a également émis un blâme et plusieurs injonctions correctives à l'encontre de la HSE.
La DPC a constaté que la HSE avait enfreint l'Article 5(1)(f) du GDPR et l'Article 32(1) du GDPR en ne garantissant pas une sécurité appropriée et en n'appliquant pas les mesures techniques et organisationnelles adéquates, ce qui a entraîné une amende de 300 000 EUR. D'autres infractions incluaient l'Article 5(1)(e) du GDPR pour non respect des principes de limitation de la conservation, en conservant des données personnelles plus longtemps que nécessaire, ce qui a également entraîné une amende de 300 000 EUR. La HSE a également enfreint l'Article 33(1) du GDPR en ne notifiant pas les violations sans délai excessif, conduisant à une amende de 30 000 EUR, et l'Article 34(1) du GDPR pour ne pas avoir communiqué les violations aux personnes concernées, résultant en une amende de 15 000 EUR.
Des agents autorisés ont effectué 12 inspections sur site à l'échelle nationale, observant des documents endommagés par la moisissure, contaminés par des excréments d'animaux et stockés dans un désordre profond dans des salles de bains désaffectées, des cabines et des bâtiments abandonnés. Dans le cadre de ses injonctions correctives, la DPC exige de la HSE qu'elle réalise un audit complet de toutes les installations de stockage afin de mettre en œuvre un système de gestion robuste pour l'enregistrement et le traçage de toutes les données personnelles et d'assurer la destruction immédiate et sécurisée des dossiers inutiles. La DPC a considéré les infractions similaires antérieures de la HSE comme un facteur aggravant dans le calcul de son amende.
Le défi persistant de la gestion des dossiers papier hérités dans les grandes organisations du secteur public conduit fréquemment à des manquements à la conformité au GDPR, notamment en ce qui concerne le stockage et la sécurité.
General Data Protection Regulation (GDPR)
- Qui cela engage
- Les organismes du secteur public et les autres organisations traitant des données personnelles dans des dossiers papier sont liés par les attentes de la Data Protection Commission concernant le stockage et la conservation sécurisés.
- Ce qui a changé
- La décision de la Data Protection Commission du 2 septembre 2026 a clarifié que les organisations doivent mettre en œuvre des systèmes de gestion robustes pour les dossiers papier, y compris des audits réguliers et une destruction sécurisée, afin de se conformer aux Articles 5(1)(e), 5(1)(f), 32(1), 33(1) et 34(1) du GDPR.
- Ce qu'il faut vérifier
- Les organisations devraient revoir leurs politiques de gestion des dossiers papier et effectuer des audits de toutes les installations de stockage pour assurer la conformité aux principes du GDPR et aux exigences de notification.
- Ce que cela ne signifie pas
- Cette décision ne signifie pas que tous les dossiers papier doivent être numérisés immédiatement, mais plutôt que leur stockage physique et leur gestion doivent respecter les normes de sécurité et de conservation du GDPR.
Non tranché: La Data Protection Commission publiera la décision complète en temps voulu, ce qui pourrait fournir des orientations détaillées supplémentaires.
À transmettre à votre équipe
La Data Protection Commission a infligé une amende de 645 000 EUR à la Health Service Executive et a émis des injonctions correctives pour des défaillances systémiques dans le stockage et la conservation sécurisés des dossiers papier de données personnelles, ce qui impacte toutes les organisations traitant des données similaires.