Health Service Executive: cartelle cliniche cartacee esposte ad accessi non autorizzati
- Paese
- Irlanda
- Autorità
- Data Protection Commission
- Settore
- Sanità
- Notizia dell'EDPB
- 3 settembre 2026
- Misure decise
-
- Sanzione pecuniaria
- Ordine di conformarsi
- Ordine di comunicare la violazione agli interessati
Sintesi della decisione
L'autorità irlandese di protezione dei dati ha concluso un'indagine avviata dopo due violazioni di dati personali notificate nel 2023, in cui persone non autorizzate hanno avuto accesso a cartelle cliniche cartacee conservate in due ex ospedali psichiatrici. Il video di alcune intrusioni è stato pubblicato sui social, rendendo visibile la presenza dei fascicoli. L'autorità ha rilevato carenze nelle condizioni fisiche delle strutture di archiviazione e nell'integrità dei documenti, con riferimento agli articoli 5, 32, 33 e 34 del GDPR. Sono state disposte sanzioni amministrative, un ammonimento, ordini di adeguamento e l'obbligo di comunicazione della violazione agli interessati.
Anche gli archivi cartacei esterni contenenti dati sanitari richiedono controlli fisici, inventari e procedure di comunicazione delle violazioni agli interessati, al pari dei sistemi informatici.
Articoli del GDPR violati
- art. 5 GDPR Principi applicabili al trattamento di dati personali
- art. 32 GDPR Sicurezza del trattamento
- art. 33 GDPR Notifica di una violazione dei dati personali all'autorità di controllo
- art. 34 GDPR Comunicazione di una violazione dei dati personali all'interessato
I link verdi portano alla mappa del GDPR con i provvedimenti italiani che citano lo stesso articolo; gli altri al testo ufficiale su EUR-Lex.
Casi simili in Italia
- SanzioneAzienda Sanitaria Locale di Matera
Riguarda anch'esso una violazione di sicurezza in ambito sanitario con esfiltrazione di dati e inadeguatezza delle misure per rilevare tempestivamente le violazioni.
- SanzioneAzienda sanitaria universitaria Friuli centrale (ASUFC)
Riguarda anch'esso trattamenti di dati sanitari di un'azienda sanitaria con garanzie di sicurezza e riservatezza ritenute insufficienti.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Data Protection Commission announces Final Decision following Inquiry into the Health Service Executive (HSE)”, in inglese
- Decisione o comunicato dell'autorità nazionale ↗
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.