Dati sanitari non protetti: sanzione da 645mila euro all’HSE
16 Settembre 2026
La protezione dei dati personali, soprattutto quando si tratta di informazioni sanitarie, non riguarda soltanto la sicurezza dei sistemi informatici, ma si estende anche alla corretta custodia della documentazione cartacea. È quanto emerge dalla decisione definitiva adottata il 28 agosto 2026 dalla Data Protection Commission (DPC) irlandese nei confronti dell’Health Service Executive (HSE), destinatario di sanzioni amministrative per complessivi 645mila euro, oltre a un richiamo formale e a una serie di provvedimenti diretti ad assicurare la conformità al GDPR. L’indagine era stata avviata il 24 maggio 2024 in seguito a due violazioni di dati personali, notificate alla DPC rispettivamente nell’ottobre e nel novembre 2023. Gli episodi avevano interessato due ex strutture psichiatriche ormai in disuso: il St. Loman's Hospital, a Mullingar, nella contea di Westmeath, e il St. Conal's Hospital, a Letterkenny, nella contea di Donegal. In entrambi i casi, soggetti non autorizzati erano riusciti ad accedere ai locali nei quali erano custoditi documenti cartacei. La presenza di cartelle cliniche all’interno degli edifici era successivamente emersa anche attraverso alcuni video pubblicati sui social media dagli stessi intrusi. L’attività istruttoria della DPC si è concentrata sul trattamento dei dati personali contenuti nei documenti cartacei archiviati e conservati presso strutture esterne dell’HSE. Gli accertamenti hanno fatto emergere carenze nella protezione dei dati, con particolare riguardo alle condizioni fisiche dei luoghi destinati all’archiviazione e alla tutela dell’integrità della documentazione custodita. La decisione coinvolge diversi obblighi previsti dal GDPR: dai principi relativi al trattamento dei dati personali di cui all’art. 5 alle misure di sicurezza richieste dall’art. 32, fino agli adempimenti connessi alla notifica delle violazioni all’autorità di controllo e alla loro comunicazione agli interessati, disciplinati rispettivamente dagli artt. 33 e 34. Alla luce delle violazioni accertate, l’Autorità irlandese ha quindi disposto, oltre alle sanzioni pecuniarie per 645mila euro, un richiamo formale e una serie di ordini di conformità, compreso un provvedimento relativo alla comunicazione delle violazioni agli interessati. La pronuncia evidenzia così un profilo particolarmente rilevante nell’applicazione del GDPR: la sicurezza del trattamento deve essere garantita indipendentemente dal supporto utilizzato, digitale o cartaceo, attraverso misure adeguate a impedire accessi non autorizzati e a preservare l’integrità dei dati personali custoditi. Fonte: https://www.edpb.europa.eu/news/data-protection-commission-announces-final-decision-following-inquiry-into-the-health-service_en |
