L'Agence espagnole de protection des données (AEPD) a publié une décision à l'encontre du Service aragonais de la santé (SALUD) pour des manquements en lien avec la gestion des accès aux dossiers médicaux de ses patients. Cette affaire débute par une plainte déposée le 14 juillet 2023, après que la plaignante a été informée qu'une employée avait été sanctionnée disciplinairement pour des accès illégitimes à son dossier médical.

L’enquête menée par l’autorité a permis de constater :

* Obligation d'intégrité et de confidentialité (article 5, paragraphe 1, point f) du RGPD) : Une employée du SALUD a conservé ses droits d'accès au dossier médical électronique après avoir été affectée à un nouveau poste ne requérant plus de telles autorisations, et ce, du 8 février 2021 au 28 septembre 2023. Cette situation, due à une erreur humaine lors du traitement de la demande de révocation des accès, lui a permis de consulter le dossier médical de la plaignante sans justification professionnelle. L'autorité a estimé que les mesures techniques et organisationnelles étaient insuffisantes, soulignant que le système d'audit des accès était uniquement réactif, se déclenchant sur demande ou suspicion, et non de manière proactive, ce qui n'a pas permis d'empêcher ou de détecter l'accès illégitime en temps opportun.

En conséquence, l’autorité a déclaré que le Service aragonais de la santé a enfreint le RGPD.

En outre, l’autorité a ordonné à l'organisme d'apporter la preuve, dans un délai de six mois, de l'adoption effective des mesures correctrices annoncées, telles que l'automatisation de la révocation des permissions lors des changements de poste et la mise en place d'audits proactifs.