Cette décision de l'autorité irlandaise souligne l'importance cruciale de la sécurité physique des dossiers papier, en particulier lorsqu'ils contiennent des données de santé d'enfants. Elle met en évidence que des défaillances organisationnelles de base, telles qu'une mauvaise gestion des poubelles de déchets confidentiels, constituent des violations manifestes des principes de confidentialité et de sécurité du traitement prévus par le RGPD.

Faits et contexte

L'autorité irlandaise de protection des données (DPC) a publié une décision prononçant un blâme et des mesures correctrices à l'encontre de Santé infantile d'Irlande (CHI) pour des manquements liés à la sécurité physique et à la gestion des dossiers de santé papier d'enfants dans l'un de ses établissements à l'Hôpital universitaire de Tallaght (HUT).

L'affaire trouve son origine dans des signalements de lanceurs d'alerte reçus en juin et juillet 2025, qui ont conduit à une inspection inopinée des locaux de l'organisme le 16 juillet 2025 et à l'ouverture d'une enquête formelle le 11 août 2025.

Motifs de la décision

L'enquête a porté sur la conformité des pratiques de l'organisme concernant la confidentialité, la gestion et le contrôle des dossiers papier stockés dans le bureau des médecins hospitaliers non consultants (MHNC). L'autorité a retenu les manquements suivants :

• Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : L'autorité a estimé que l'organisme n'avait pas traité les données personnelles contenues dans les dossiers papier au sein du bureau des médecins hospitaliers non consultants d'une manière qui garantisse une sécurité et une confidentialité appropriées, en violation de ce principe fondamental.
• Obligation de sécurité du traitement (article 32, paragraphe 1 du RGPD) : L'enquête a révélé que des documents contenant des données sensibles sur des enfants avaient débordé d'une poubelle de déchets confidentiels, démontrant une absence de gestion et de contrôle adéquats. L'autorité a conclu que l'organisme n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour assurer un niveau de sécurité adapté au risque, tant pour les dossiers stockés dans le bureau que pour leur élimination.

Décision de l'autorité

En conséquence, l'autorité a adressé un blâme à Santé infantile d'Irlande.

En outre, l'autorité a ordonné à l'organisme de mettre ses traitements en conformité avec le RGPD, notamment en finalisant deux analyses d'impact relatives à la protection des données (AIPD) : l'une sur le traitement des dossiers de santé dans le bureau concerné et l'autre sur la gestion des déchets confidentiels. Ces AIPD doivent intégrer les conclusions de la décision de l'autorité. L'organisme doit ensuite mettre en œuvre intégralement les mesures identifiées dans ces analyses et soumettre les documents finalisés à l'autorité pour consultation dans un délai de quatre semaines.

Enseignements

Cette décision rappelle que :

• La sécurité des données personnelles ne se limite pas à l'environnement numérique ; la mise en place de mesures organisationnelles robustes pour la gestion et le stockage des dossiers papier est une obligation essentielle, particulièrement pour les données de santé.
• La gestion du cycle de vie des données inclut leur destruction sécurisée, et des procédures claires et appliquées pour les déchets confidentiels sont une composante non négociable de la sécurité du traitement.
• Une analyse d'impact relative à la protection des données (AIPD) doit être un document opérationnel, finalisé et dont les plans d'action sont effectivement mis en œuvre pour réduire les risques identifiés, et non rester à l'état de projet.