Une amende à six chiffres pour ce que les inspecteurs ont trouvé dans une salle de bain
La Commission irlandaise de protection des données a annoncé sa décision finale contre le service de santé HSE le 2 septembre 2026, à la suite d'une décision datée du 25 août 2026. L'amende totale a atteint 645 000 euros, mais ce chiffre est moins frappant que ce que les inspecteurs décrivent avoir trouvé : des documents de patients "endommagés ou détruits par la moisissure, contaminés par des excréments d'animaux, couverts de gravats ou de détritus, pourrissant à cause de l'environnement de stockage ou endommagés par l'eau", selon les mots du commissaire adjoint Graham Doyle.
Les dossiers eux-mêmes ont été retrouvés dans des endroits où aucune archive hospitalière ne devrait se trouver : des salles de bain et des cabines désaffectées, un conteneur maritime à l'intérieur d'un hangar à tourbe, des pièces sans éclairage ni chauffage fonctionnels, et des bâtiments abandonnés. Il ne s'agissait ni d'un piratage ni d'un ordinateur portable perdu, mais d'années de négligence physique révélées seulement lorsqu'une enquête formelle s'est mise à chercher.
Comment se répartit l'amende de 645 000 euros
La DPC a réparti la sanction sur quatre articles distincts du RGPD plutôt que d'imposer une somme unique, et cette répartition montre où la Commission a jugé la défaillance la plus grave.
| Article du RGPD | Amende |
|---|---|
| Art. 5(1)(f) + Art. 32(1) - sécurité du traitement | 300 000 EUR |
| Art. 5(1)(e) - limitation de la conservation | 300 000 EUR |
| Art. 33(1) - notification à l'autorité | 30 000 EUR |
| Art. 34(1) - communication aux personnes concernées | 15 000 EUR |
Les deux montants les plus élevés, pour la sécurité du traitement et la limitation de la conservation, totalisent ensemble 600 000 des 645 000 euros, ce qui montre bien que l'infraction centrale n'était pas le retard de notification, mais la négligence de plusieurs années qui a rendu un incident inévitable.
La violation à l'origine de tout : St. Loman's et St. Conal's
L'enquête remonte à des violations notifiées pour la première fois à la DPC en octobre et novembre 2023, concernant des dossiers de l'hôpital St. Loman's à Mullingar, dans le comté de Westmeath, et du site St. Conal's. Ces premières notifications étaient des incidents circonscrits ; l'enquête ultérieure de la DPC s'est ensuite élargie en un examen systémique de la façon dont le HSE conserve les dossiers papier dans l'ensemble de son patrimoine.
Près de trois ans se sont écoulés entre la première violation notifiée et la décision finale, un délai qui à lui seul en dit long sur la durée pendant laquelle une défaillance des archives physiques peut rester invisible, comparée à une violation numérique, qui impose généralement une divulgation plus rapide une fois découverte.
La réponse du HSE et les mesures correctives
Les mesures correctives de la DPC exigent que le HSE mène un audit complet de chaque site de stockage qu'il utilise, mette en place un système adéquat de suivi et de gestion des dossiers, détruise les documents dont il n'a plus besoin et retire tout dossier actuellement conservé dans des installations inadaptées. Le HSE a déclaré accepter les conclusions et s'y conformer.
Joe Ryan, responsable des risques du HSE, s'est excusé au nom de l'organisation pour avoir mal géré les dossiers des patients, et le HSE indique avoir déjà lancé un comité de pilotage de la gestion des dossiers ainsi qu'un programme national de gestion des dossiers pour résoudre ces problèmes.
L'angle mort de conformité que ce cas met au jour
La plupart des sanctions RGPD qui font la une concernent une cyberattaque, une base de données mal configurée ou un employé qui envoie le mauvais e-mail. Ce cas montre la DPC appliquer la même sévérité à un type de défaillance totalement différent : une organisation qui ne gère tout simplement pas où vivent physiquement ses dossiers papier au fil du temps.
Pour toute entreprise de l'UE ou du Royaume-Uni disposant d'une archive externalisée, d'un bureau désaffecté ou d'une politique de conservation que personne n'a vérifiée depuis des années, la leçon est concrète : un audit de conformité RGPD qui s'arrête aux pare-feux et aux journaux d'accès est incomplet. L'amende infligée au HSE prouve qu'une autorité nationale de protection des données traitera une armoire moisie avec le même sérieux qu'un serveur piraté.
À lire ensuite: Un algorithme a licencié des chauffeurs. Uber paie 825 millions. | La Faille de la Met Police Que Toute Entreprise Reproduirait
