Sześciocyfrowa grzywna za to, co inspektorzy znaleźli w łazience
Irlandzka Komisja Ochrony Danych ogłosiła swoją ostateczną decyzję przeciwko służbie zdrowia HSE 2 września 2026 roku, po decyzji datowanej na 25 sierpnia 2026 roku. Łączna grzywna wyniosła 645 tys. euro, ale liczba ta robi mniejsze wrażenie niż to, co inspektorzy opisują jako znalezione: dokumenty pacjentów "uszkodzone lub zniszczone przez pleśń, zanieczyszczone odchodami zwierząt, pokryte gruzem lub odpadkami, gnijące z powodu warunków przechowywania lub uszkodzone przez wodę", jak ujął to zastępca komisarza Graham Doyle.
Sama dokumentacja pojawiła się w miejscach, w których nie powinno być żadnego archiwum szpitalnego: nieużywanych łazienkach i kabinach toaletowych, kontenerze morskim wewnątrz szopy na torf, pomieszczeniach bez działającego oświetlenia czy ogrzewania oraz opuszczonych budynkach. To nie był atak hakerski ani zgubiony laptop, lecz wieloletnie fizyczne zaniedbanie, które wyszło na jaw dopiero, gdy formalne dochodzenie zaczęło szukać.
Jak dzieli się grzywna w wysokości 645 tys. euro
DPC podzielił karę na cztery odrębne artykuły RODO zamiast nałożyć jedną łączną sumę, a podział pokazuje, gdzie Komisja uznała uchybienie za najpoważniejsze.
| Artykuł RODO | Kara |
|---|---|
| Art. 5(1)(f) + art. 32(1) - bezpieczeństwo przetwarzania | 300 000 EUR |
| Art. 5(1)(e) - ograniczenie przechowywania | 300 000 EUR |
| Art. 33(1) - zgłoszenie do organu nadzorczego | 30 000 EUR |
| Art. 34(1) - zawiadomienie osób, których dane dotyczą | 15 000 EUR |
Dwie największe kwoty, za bezpieczeństwo przetwarzania i ograniczenie przechowywania, sumują się do 600 tys. z łącznych 645 tys. euro, co jasno pokazuje, że głównym naruszeniem nie było opóźnione zgłoszenie, lecz wieloletnie zaniedbanie, które uczyniło incydent nieuniknionym.
Naruszenie, które to wszystko wywołało: St. Loman's i St. Conal's
Dochodzenie sięga naruszeń zgłoszonych po raz pierwszy do DPC w październiku i listopadzie 2023 roku, dotyczących dokumentacji ze szpitala St. Loman's w Mullingar, w hrabstwie Westmeath, oraz z placówki St. Conal's. Te pierwsze zgłoszenia były ograniczonymi incydentami; kolejne dochodzenie DPC rozszerzyło się jednak w systemowy przegląd tego, jak HSE przechowuje papierową dokumentację w całej swojej strukturze.
Między pierwszym zgłoszonym naruszeniem a ostateczną decyzją minęły prawie trzy lata - sam ten czas mówi wiele o tym, jak długo uchybienie w fizycznej dokumentacji może pozostać niewidoczne w porównaniu z naruszeniem cyfrowym, które zwykle po wykryciu wymusza szybsze ujawnienie.
Odpowiedź HSE i nakazy naprawcze
Nakazy naprawcze DPC wymagają od HSE przeprowadzenia pełnego audytu każdego obiektu magazynowego, z którego korzysta, wdrożenia właściwego systemu śledzenia i zarządzania dokumentacją, zniszczenia dokumentów, których już nie potrzebuje, oraz usunięcia dokumentacji obecnie przechowywanej w nieodpowiednich obiektach. HSE oświadczyło, że akceptuje ustalenia i się do nich zastosuje.
Joe Ryan, dyrektor ds. ryzyka w HSE, przeprosił w imieniu organizacji za niewłaściwe zarządzanie dokumentacją pacjentów, a HSE twierdzi, że uruchomiło już komitet sterujący ds. zarządzania dokumentacją oraz krajowy program zarządzania dokumentacją, aby rozwiązać te problemy.
Luka w zgodności, którą odsłania ta sprawa
Większość spraw egzekwowania RODO, które trafiają na pierwsze strony, dotyczy cyberataku, źle skonfigurowanej bazy danych lub pracownika, który wysyła niewłaściwy e-mail. Ta sprawa pokazuje, że DPC stosuje taką samą surowość wobec zupełnie innego rodzaju uchybienia: organizacji, która po prostu nie zarządza tym, gdzie fizycznie znajduje się jej papierowa dokumentacja w miarę upływu czasu.
Dla każdej firmy z UE lub Wielkiej Brytanii posiadającej zewnętrzne archiwum, wycofane z użytku biuro lub politykę przechowywania, której nikt nie sprawdzał od lat, wniosek jest konkretny: audyt zgodności z RODO, który kończy się na zaporach sieciowych i dziennikach dostępu, jest niepełny. Grzywna nałożona na HSE dowodzi, że krajowy organ ochrony danych potraktuje spleśniałą szafę na akta z taką samą powagą jak zhakowany serwer.
Czytaj dalej: Algorytm zwolnił kierowców. Uber płaci 825 milionów. | Wyciek Met Police, Który Mogłaby Powtórzyć Każda Firma
