Ett sexsiffrigt bötesbelopp för det inspektörer fann i ett badrum
Irlands dataskyddskommission meddelade sitt slutliga beslut mot sjukvårdsmyndigheten HSE den 2 september 2026, efter ett beslut daterat 25 augusti 2026. Det totala bötesbeloppet uppgick till 645 000 euro, men siffran är mindre slående än det inspektörerna beskriver sig ha funnit: patientdokument "skadade eller förstörda av mögel, förorenade av djurspillning, täckta av rasmassor eller skräp, ruttnande på grund av förvaringsmiljön eller vattenskadade", med vice kommissionär Graham Doyles ord.
Journalerna själva dök upp på platser inget sjukhusarkiv borde finnas: avställda badrum och toalettbås, en sjöcontainer inuti ett torvskjul, rum utan fungerande belysning eller värme, och övergivna byggnader. Detta var varken en hackerattack eller en förlorad bärbar dator, utan åratal av fysisk vanskötsel som bara kom fram i ljuset när en formell utredning gav sig ut att leta.
Så fördelas bötesbeloppet på 645 000 euro
DPC delade upp sanktionen på fyra separata GDPR-artiklar i stället för att utfärda en klumpsumma, och fördelningen visar var kommissionen bedömde felet som allvarligast.
| GDPR-artikel | Böter |
|---|---|
| Art. 5(1)(f) + art. 32(1) - säkerhet vid behandling | 300 000 EUR |
| Art. 5(1)(e) - lagringsminimering | 300 000 EUR |
| Art. 33(1) - anmälan till tillsynsmyndigheten | 30 000 EUR |
| Art. 34(1) - underrättelse till registrerade | 15 000 EUR |
De två största delarna, för behandlingssäkerhet och lagringsminimering, uppgår tillsammans till 600 000 av de totalt 645 000 euro, vilket gör klart att kärnöverträdelsen inte var den försenade anmälan utan den mångåriga vanskötseln som gjorde en incident oundviklig.
Incidenten som utlöste allt: St. Loman's och St. Conal's
Utredningen går tillbaka till incidenter som först anmäldes till DPC i oktober och november 2023, gällande journaler från St. Loman's Hospital i Mullingar, grevskapet Westmeath, och anläggningen St. Conal's. De första anmälningarna var avgränsade händelser; DPC:s efterföljande utredning växte dock till en systematisk genomgång av hur HSE förvarar pappersjournaler i hela sin verksamhet.
Nästan tre år gick mellan den första anmälda incidenten och det slutliga beslutet, en tidslinje som i sig säger något om hur länge ett fel i fysisk journalhantering kan förbli osynligt jämfört med en digital incident, som vanligtvis tvingar fram snabbare offentliggörande när den upptäcks.
HSE:s svar och de korrigerande föreläggandena
DPC:s korrigerande förelägganden kräver att HSE genomför en fullständig granskning av varje förvaringsanläggning myndigheten använder, inför ett ordentligt system för att spåra och hantera journaler, förstör dokument som inte längre behövs, och avlägsnar journaler som för närvarande förvaras i olämpliga anläggningar. HSE säger sig acceptera slutsatserna och kommer att följa dem.
Joe Ryan, HSE:s chief risk officer, bad å organisationens vägnar om ursäkt för att inte ha hanterat patientjournaler på lämpligt sätt, och HSE uppger att man redan har inlett en styrgrupp för journalhantering och ett nationellt journalhanteringsprogram för att åtgärda problemen.
Den blinda fläck i regelefterlevnad som fallet blottlägger
De flesta GDPR-tillsynsärenden som når rubrikerna rör en cyberattack, en felkonfigurerad databas eller en anställd som skickar fel e-post. Detta fall visar DPC tillämpa samma stränghet på en helt annan typ av brist: en organisation som helt enkelt inte håller reda på var dess pappersjournaler fysiskt befinner sig över tid.
För alla EU- eller Storbritannien-baserade företag med ett externt arkiv, ett avvecklat kontor eller en bevarandepolicy som ingen har kontrollerat på åratal är lärdomen konkret: en GDPR-granskning som stannar vid brandväggar och åtkomstloggar är ofullständig. HSE:s böter visar att en nationell dataskyddsmyndighet kommer att behandla ett möglat arkivskåp med samma allvar som en hackad server.
Läs vidare: En algoritm avskedade förare. Uber betalar 825 miljoner. | Met Police-Läckan Som Vilket Företag Som Helst Kunde Upprepa
