La Commission de protection des données irlandaise (DPC) a sanctionné le Service de santé exécutif (HSE) d'une amende totale de 645 000 € pour de graves manquements à la sécurité et à la gestion de dossiers médicaux papier stockés dans des entrepôts externes.

Faits et contexte

L'autorité irlandaise de protection des données (DPC) a aujourd'hui publié une décision de sanction à l'encontre du Service de santé exécutif (HSE), comprenant le prononcé d'une amende de 645 000 €, pour des manquements relatifs à la sécurité et à la durée de conservation de dossiers médicaux papier, ainsi qu'à la gestion des violations de données associées.

L'affaire trouve son origine dans deux notifications de violations de données en octobre et novembre 2023, relatives à des accès non autorisés à des dossiers médicaux papier dans d'anciens hôpitaux psychiatriques désaffectés, révélés par des vidéos diffusées sur les réseaux sociaux.

Motifs de la décision

Suite à ces notifications et à un signalement ultérieur en avril 2024, l'autorité a mené 12 inspections sur site qui ont révélé des défaillances systémiques dans les conditions de stockage physique des archives. L'autorité a relevé des conditions de conservation si dégradées que les dossiers étaient endommagés ou détruits, et stockés dans un désordre tel qu'ils n'étaient ni organisés ni accessibles. Les manquements suivants ont été retenus :

• Obligation d'assurer l'intégrité, la confidentialité et la sécurité des données (article 5, paragraphe 1, point f) du RGPD et article 32, paragraphe 1, du RGPD) : L'autorité a jugé que le HSE n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour garantir la sécurité des dossiers papier. Les inspections ont révélé des conditions de stockage déplorables (moisissures, déjections animales, décombres, humidité) dans des lieux inappropriés et non sécurisés, tels que des sanitaires désaffectés ou un conteneur d'expédition, ce qui constitue une violation manifeste de l'obligation de protéger les données contre tout accès non autorisé ou toute perte d'intégrité.
• Obligation de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) : L'autorité a constaté que le HSE conservait des données personnelles sous une forme permettant l'identification des personnes concernées pendant une durée excédant celle nécessaire au regard des finalités pour lesquelles elles étaient traitées. La présence d'archives anciennes dans des bâtiments abandonnés, sans processus de gestion ou de destruction, a caractérisé ce manquement.
• Obligation de notifier les violations de données à l'autorité de contrôle (article 33, paragraphe 1, du RGPD) : Le HSE n'a pas notifié à la DPC, sans retard injustifié et dans le délai de 72 heures, deux violations distinctes survenues à l'hôpital St. Loman, l'une concernant un premier accès non autorisé et l'autre un accès ultérieur au sous-sol du même bâtiment.
• Obligation de communiquer les violations de données aux personnes concernées (article 34, paragraphe 1, du RGPD) : L'autorité a conclu que le HSE avait manqué à son obligation d'informer les personnes concernées des violations survenues dans les hôpitaux St. Loman et St. Conal, alors que celles-ci étaient susceptibles d'engendrer un risque élevé pour leurs droits et libertés.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 645 000 € au Service de santé exécutif.

En outre, l'autorité a ordonné au HSE de se mettre en conformité avec le RGPD, en lui imposant une réprimande et des mesures correctrices. Celles-ci incluent la réalisation d'un audit complet de tous ses sites de stockage de dossiers papier afin de mettre en place un système de gestion et de traçabilité, de procéder à la destruction sécurisée des archives non nécessaires et d'évaluer régulièrement ses propres politiques de conservation. Le HSE doit également s'assurer que tous les lieux de stockage sont adaptés pour garantir l'intégrité, la disponibilité et la confidentialité des données, et déplacer les dossiers des sites non conformes vers des installations appropriées.

Enseignements

Cette décision rappelle que :

• L'obligation de mettre en œuvre des mesures de sécurité techniques et organisationnelles appropriées s'applique avec la même rigueur aux archives papier qu'aux données numériques, incluant la sécurisation physique des locaux de stockage.
• L'absence d'une politique de gestion du cycle de vie des archives, incluant des procédures claires de destruction à l'issue des durées de conservation, constitue à la fois un manquement à l'obligation de limitation de la conservation et un facteur de risque majeur pour la sécurité des données.
• La récurrence de manquements de nature similaire, même dans des circonstances différentes, est considérée comme un facteur aggravant significatif lors de la détermination du montant de l'amende.