Una multa a sei cifre per ciò che gli ispettori hanno trovato in un bagno
La Commissione per la protezione dei dati irlandese ha annunciato la sua decisione finale contro il servizio sanitario HSE il 2 settembre 2026, a seguito di una decisione datata 25 agosto 2026. La multa totale ha raggiunto i 645.000 euro, ma la cifra colpisce meno di quanto descrivano gli ispettori: documenti di pazienti "danneggiati o distrutti dalla muffa, contaminati da escrementi di animali, coperti da macerie o detriti, in decomposizione per l'ambiente di conservazione o danneggiati dall'acqua", per usare le parole del vicecommissario Graham Doyle.
I documenti sono stati trovati in luoghi dove nessun archivio ospedaliero dovrebbe trovarsi: bagni e cabine dismessi, un container marittimo dentro un capannone per la torba, stanze senza illuminazione o riscaldamento funzionanti ed edifici abbandonati. Non si è trattato di un attacco informatico né di un portatile smarrito, ma di anni di trascuratezza fisica emersi solo quando un'indagine formale si è messa a cercare.
Come si divide la multa da 645.000 euro
Il garante ha ripartito la sanzione su quattro articoli distinti del GDPR invece di imporre una somma unica, e la suddivisione mostra dove la Commissione ha giudicato più grave la mancanza.
| Articolo del GDPR | Sanzione |
|---|---|
| Art. 5(1)(f) + Art. 32(1) - sicurezza del trattamento | 300.000 EUR |
| Art. 5(1)(e) - limitazione della conservazione | 300.000 EUR |
| Art. 33(1) - notifica all'autorità | 30.000 EUR |
| Art. 34(1) - comunicazione agli interessati | 15.000 EUR |
Le due quote maggiori, per la sicurezza del trattamento e la limitazione della conservazione, sommano insieme 600.000 dei 645.000 euro totali, a chiarire così che l'infrazione principale non è stato il ritardo nella notifica della violazione, ma la trascuratezza pluriennale che ha reso inevitabile un incidente.
La violazione che ha scatenato tutto: St. Loman's e St. Conal's
L'indagine risale a violazioni notificate per la prima volta al garante nell'ottobre e novembre 2023, riguardanti documenti dell'ospedale St. Loman's a Mullingar, nella contea di Westmeath, e del sito St. Conal's. Quelle prime notifiche erano incidenti circoscritti; l'indagine successiva del garante si è però ampliata fino a diventare una revisione sistemica di come l'HSE conserva i documenti cartacei in tutto il suo patrimonio.
Sono trascorsi quasi tre anni tra la prima violazione notificata e la decisione finale, un lasso di tempo che già di per sé dice molto su quanto a lungo un fallimento nella gestione fisica dei documenti possa restare invisibile rispetto a una violazione digitale, che di solito impone una divulgazione più rapida una volta scoperta.
La risposta dell'HSE e gli ordini correttivi
Gli ordini correttivi del garante impongono all'HSE di condurre un audit completo di ogni struttura di conservazione utilizzata, di introdurre un sistema adeguato per tracciare e gestire i documenti, di distruggere quelli non più necessari e di rimuovere qualsiasi documento attualmente conservato in strutture inadeguate. L'HSE ha dichiarato di accettare le conclusioni e di volersi adeguare.
Joe Ryan, responsabile del rischio dell'HSE, si è scusato a nome dell'organizzazione per non aver gestito adeguatamente i documenti dei pazienti, e l'HSE afferma di aver già avviato un Comitato direttivo per la gestione documentale e un Programma nazionale di gestione documentale per affrontare i problemi.
Il punto cieco di conformità che questo caso mette a nudo
La maggior parte delle sanzioni GDPR che fanno notizia riguarda un attacco informatico, un database mal configurato o un dipendente che invia l'email sbagliata. Questo caso mostra però il garante applicare la stessa severità a un tipo di fallimento completamente diverso: un'organizzazione che semplicemente non gestisce dove si trovano fisicamente i suoi documenti cartacei nel tempo.
Per qualsiasi azienda UE o britannica con un archivio esterno, un ufficio dismesso o una politica di conservazione che nessuno controlla da anni, la lezione è concreta: un audit di conformità GDPR che si ferma a firewall e log di accesso è incompleto. La multa all'HSE dimostra così che un'autorità nazionale per la protezione dei dati tratterà un archivio ammuffito con la stessa serietà di un server violato.
Da leggere ora: Un algoritmo ha licenziato autisti. Uber paga 825 milioni. | La Violazione della Met Police Che Ogni Azienda Rischia
