En sekscifret bøde for det, inspektører fandt i et badeværelse
Irlands databeskyttelseskommission offentliggjorde sin endelige afgørelse mod sundhedsvæsenet HSE den 2. september 2026, efter en afgørelse dateret 25. august 2026. Den samlede bøde nåede op på 645.000 euro, men tallet er mindre slående end det, inspektørerne beskriver at have fundet: patientdokumenter "beskadiget eller ødelagt af skimmelsvamp, forurenet af dyreekskrementer, dækket af murbrokker eller affald, rådnende på grund af opbevaringsmiljøet eller vandskadet", med ord fra vicekommissær Graham Doyle.
Journalerne selv dukkede op på steder, intet hospitalsarkiv burde være: nedlagte badeværelser og toiletbåse, en skibscontainer inde i et tørvehus, rum uden fungerende lys eller varme, og forladte bygninger. Dette var ikke et hackerangreb eller en mistet computer, men årelang fysisk forsømmelse, der først kom for en dag, da en formel undersøgelse gik i gang med at lede.
Sådan fordeler bøden på 645.000 euro sig
DPC fordelte straffen på fire separate GDPR-artikler i stedet for at udstede et samlet beløb, og fordelingen viser, hvor kommissionen vurderede svigtet værst.
| GDPR-artikel | Bøde |
|---|---|
| Art. 5(1)(f) + art. 32(1) - sikkerhed i behandlingen | 300.000 EUR |
| Art. 5(1)(e) - opbevaringsbegrænsning | 300.000 EUR |
| Art. 33(1) - underretning af tilsynet | 30.000 EUR |
| Art. 34(1) - underretning af de registrerede | 15.000 EUR |
De to største andele, for sikkerhed i behandlingen og opbevaringsbegrænsning, udgør tilsammen 600.000 af de samlede 645.000 euro, hvilket gør det klart, at kernelovbruddet ikke var den forsinkede anmeldelse, men den mangeårige forsømmelse, der gjorde en hændelse uundgåelig.
Bruddet, der startede det hele: St. Loman's og St. Conal's
Undersøgelsen kan følges tilbage til brud, der først blev anmeldt til DPC i oktober og november 2023, og som involverede journaler fra St. Loman's Hospital i Mullingar, County Westmeath, og St. Conal's-lokaliteten. De første anmeldelser var afgrænsede hændelser; DPC's efterfølgende undersøgelse udvidede sig dog til en systemisk gennemgang af, hvordan HSE opbevarer papirjournaler på tværs af hele sin ejendomsmasse.
Der gik næsten tre år mellem det første anmeldte brud og den endelige afgørelse, en tidslinje der i sig selv siger noget om, hvor længe et svigt i fysiske journaler kan forblive usynligt sammenlignet med et digitalt brud, som som regel tvinger hurtigere offentliggørelse frem, når det opdages.
HSE's svar og påbuddene om afhjælpning
DPC's påbud om afhjælpning kræver, at HSE gennemfører en fuld gennemgang af hver opbevaringsfacilitet, det bruger, indfører et ordentligt system til at spore og styre journaler, destruerer dokumenter, det ikke længere har brug for, og fjerner journaler, der i øjeblikket opbevares i uegnede faciliteter. HSE sagde, at det accepterer konklusionerne og vil efterleve dem.
Joe Ryan, HSE's chief risk officer, undskyldte på organisationens vegne for ikke at have forvaltet patientjournaler forsvarligt, og HSE siger, at det allerede har igangsat en styregruppe for journalstyring og et nationalt program for journalstyring for at løse problemerne.
Den compliance-blinde vinkel, denne sag afslører
De fleste GDPR-håndhævelsessager, der når overskrifterne, involverer et cyberangreb, en fejlkonfigureret database eller en medarbejder, der sender den forkerte e-mail. Denne sag viser DPC anvende samme strenghed på en helt anden type svigt: en organisation, der simpelthen ikke styrer, hvor dens papirjournaler fysisk befinder sig over tid.
For enhver EU- eller UK-virksomhed med et eksternt arkiv, et nedlagt kontor eller en opbevaringspolitik, ingen har tjekket i årevis, er læren konkret: en GDPR-compliance-gennemgang, der stopper ved firewalls og adgangslogs, er ufuldstændig. HSE's bøde beviser, at en national databeskyttelsesmyndighed vil behandle et muggent arkivskab med samme alvor som en hacket server.
Læs videre: En algoritme fyrede chauffører. Uber betaler 825 millioner. | Met Police-Bruddet Som Enhver Virksomhed Kunne Gentage
