Una multa de seis cifras por lo que los inspectores hallaron en un baño
La Comisión de Protección de Datos de Irlanda anunció su decisión final contra el servicio de salud HSE el 2 de septiembre de 2026, tras una resolución fechada el 25 de agosto de 2026. La multa total alcanzó los 645.000 euros, aunque la cifra resulta menos impactante que lo que los inspectores describen haber encontrado: documentos de pacientes "dañados o destruidos por moho, contaminados por excrementos de animales, cubiertos de escombros o residuos, pudriéndose por el entorno de almacenamiento o dañados por agua", en palabras del subcomisionado Graham Doyle.
Los historiales aparecieron en lugares donde ningún archivo hospitalario debería estar: baños y cubículos en desuso, un contenedor marítimo dentro de un cobertizo de turba, salas sin iluminación ni calefacción en funcionamiento, y edificios abandonados. No se trató de un ataque informático ni de un portátil perdido, sino de años de abandono físico que solo salieron a la luz cuando una investigación formal se puso a buscar.
Cómo se reparte la multa de 645.000 euros
La DPC repartió la sanción entre cuatro artículos del RGPD distintos en lugar de imponer una suma única, y el desglose muestra dónde consideró la Comisión que el fallo era más grave.
| Artículo del RGPD | Multa |
|---|---|
| Art. 5(1)(f) + Art. 32(1) - seguridad del tratamiento | 300.000 EUR |
| Art. 5(1)(e) - limitación del plazo de conservación | 300.000 EUR |
| Art. 33(1) - notificación a la autoridad | 30.000 EUR |
| Art. 34(1) - notificación a los afectados | 15.000 EUR |
Las dos partidas mayores, por seguridad del tratamiento y limitación del plazo de conservación, suman juntas 600.000 de los 645.000 euros totales, dejando claro que la infracción central no fue el retraso en la notificación de la brecha, sino el abandono de años que hizo inevitable un incidente.
La brecha que lo desencadenó todo: St. Loman's y St. Conal's
La investigación se remonta a brechas notificadas por primera vez a la DPC en octubre y noviembre de 2023, relativas a historiales del Hospital St. Loman's en Mullingar, condado de Westmeath, y del centro St. Conal's. Aquellas notificaciones iniciales fueron incidentes acotados; la posterior investigación de la DPC se amplió hasta convertirse en una revisión sistémica de cómo el HSE almacena los historiales en papel en todo su patrimonio.
Transcurrieron casi tres años entre la primera brecha notificada y la decisión final, un plazo que por sí mismo revela cuánto tiempo puede permanecer invisible un fallo de archivos físicos frente a una brecha digital, que suele forzar una divulgación más rápida una vez detectada.
La respuesta del HSE y las órdenes correctivas
Las órdenes correctivas de la DPC exigen al HSE realizar una auditoría completa de cada instalación de almacenamiento que utiliza, implantar un sistema adecuado de seguimiento y gestión de historiales, destruir los documentos que ya no necesite conservar y retirar cualquier historial que se encuentre en instalaciones inadecuadas. El HSE afirmó aceptar las conclusiones y cumplirlas.
Joe Ryan, director de riesgos del HSE, se disculpó en nombre de la organización por no gestionar adecuadamente los historiales de los pacientes, y el HSE señala que ya ha puesto en marcha un Comité Directivo de Gestión de Historiales y un Programa Nacional de Gestión de Historiales para abordar los problemas.
El punto ciego de cumplimiento que este caso deja al descubierto
La mayoría de las sanciones del RGPD que generan titulares implican un ciberataque, una base de datos mal configurada o un empleado que envía un correo equivocado. Este caso muestra a la DPC aplicando la misma severidad a un tipo de fallo completamente distinto: una organización que simplemente no gestiona dónde viven físicamente sus historiales en papel con el paso del tiempo.
Para cualquier empresa de la UE o el Reino Unido con un archivo externo, una oficina dada de baja o una política de conservación que nadie ha revisado en años, la lección es concreta: una auditoría de cumplimiento del RGPD que se detiene en los cortafuegos y los registros de acceso está incompleta. La multa al HSE demuestra que una autoridad nacional de protección de datos tratará un archivador enmohecido con la misma seriedad que un servidor vulnerado.
Leer a continuación: Un algoritmo despidió a conductores. Uber paga 825 millones. | La Brecha de la Met Police Que Cualquier Empresa Repite
