Uma coima de seis dígitos pelo que os inspetores encontraram numa casa de banho
A Comissão de Proteção de Dados da Irlanda anunciou a sua decisão final contra o serviço de saúde HSE em 2 de setembro de 2026, na sequência de uma decisão datada de 25 de agosto de 2026. A coima total atingiu 645 mil euros, mas o número é menos impressionante do que aquilo que os inspetores descrevem ter encontrado: documentos de doentes "danificados ou destruídos por bolor, contaminados por dejetos de animais, cobertos de entulho ou detritos, a apodrecer devido ao ambiente de armazenamento ou danificados pela água", nas palavras do subcomissário Graham Doyle.
Os próprios registos apareceram em locais onde nenhum arquivo hospitalar deveria estar: casas de banho e cabines desativadas, um contentor marítimo dentro de um telheiro de turfa, salas sem iluminação ou aquecimento a funcionar, e edifícios abandonados. Não se tratou de um ataque informático nem de um portátil perdido, mas de anos de negligência física que só vieram à tona quando um inquérito formal foi investigar.
Como se divide a coima de 645 mil euros
A DPC repartiu a sanção por quatro artigos distintos do RGPD em vez de aplicar uma quantia única, e a repartição mostra onde a Comissão considerou a falha mais grave.
| Artigo do RGPD | Coima |
|---|---|
| Art. 5(1)(f) + art. 32(1) - segurança do tratamento | 300 000 EUR |
| Art. 5(1)(e) - limitação da conservação | 300 000 EUR |
| Art. 33(1) - notificação à autoridade | 30 000 EUR |
| Art. 34(1) - comunicação aos titulares | 15 000 EUR |
As duas parcelas maiores, relativas à segurança do tratamento e à limitação da conservação, somam juntas 600 mil dos 645 mil euros totais, deixando claro que a infração principal não foi o atraso na notificação da violação, mas a negligência de anos que tornou um incidente inevitável.
A violação que despoletou tudo: St. Loman's e St. Conal's
O inquérito remonta a violações notificadas pela primeira vez à DPC em outubro e novembro de 2023, relativas a registos do Hospital St. Loman's em Mullingar, condado de Westmeath, e do local St. Conal's. Essas notificações iniciais foram incidentes circunscritos; o inquérito subsequente da DPC alargou-se a uma revisão sistémica de como o HSE armazena registos em papel em todo o seu património.
Passaram quase três anos entre a primeira violação notificada e a decisão final, um prazo que, por si só, revela quanto tempo uma falha nos registos físicos pode permanecer invisível em comparação com uma violação digital, que normalmente obriga a uma divulgação mais rápida assim que é descoberta.
A resposta do HSE e as ordens corretivas
As ordens corretivas da DPC exigem que o HSE realize uma auditoria completa a cada instalação de armazenamento que utiliza, implemente um sistema adequado de acompanhamento e gestão de registos, destrua documentos que já não precise de conservar e remova quaisquer registos atualmente guardados em instalações inadequadas. O HSE afirmou aceitar as conclusões e cumpri-las.
Joe Ryan, diretor de risco do HSE, pediu desculpa em nome da organização por não ter gerido adequadamente os registos dos doentes, e o HSE afirma já ter criado uma Comissão Diretiva de Gestão de Registos e um Programa Nacional de Gestão de Registos para resolver os problemas.
O ponto cego de conformidade que este caso expõe
A maioria das sanções do RGPD que chegam às manchetes envolve um ciberataque, uma base de dados mal configurada ou um funcionário que envia o email errado. Este caso mostra a DPC a aplicar a mesma severidade a um tipo de falha completamente diferente: uma organização que simplesmente não gere onde os seus registos em papel se encontram fisicamente ao longo do tempo.
Para qualquer empresa da UE ou do Reino Unido com um arquivo externo, um escritório desativado ou uma política de conservação que ninguém verifica há anos, a lição é concreta: uma auditoria de conformidade ao RGPD que para nas firewalls e nos registos de acesso está incompleta. A coima do HSE prova que uma autoridade nacional de proteção de dados tratará um arquivo bolorento com a mesma seriedade de um servidor invadido.
Leia a seguir: Um algoritmo despediu motoristas. A Uber paga 825 milhões. | A Falha da Met Police Que Qualquer Empresa Poderia Repetir
