Какво може да разкрие неочаквана проверка на място след подадени сигнали за нарушения?
Ирландската Комисия за защита на данните (DPC) публикува окончателното си решение след разследване на Children’s Health Ireland (CHI) относно физическата безопасност и сигурност на здравните досиета на децата в Университетската болница в Талахт (TUH).
DPC извършва неочаквана проверка на място в обекта на CHI на 16 юли 2025 г. след подадени сигнали за нарушения до комисията през юни и юли 2025 г. DPC стартира официално разследване на 11 август 2025 г.
Като част от процеса по подаване на сигнали за нарушения, DPC също така узнава, че документи, съдържащи както чувствителни, така и специални категории данни на деца, са преливали и впоследствие са били извадени от кош за поверителни отпадъци. Този кош се е намирал до вратата на кабинета на специализантите и младите лекари (NCHD) в CHI.
Взети заедно, тези проблеми очертават опасения за сигурността, свързани с поверителността на личните данни на децата, които се съхраняват и пазят на хартиен носител в офиса на NCHD в CHI, както и правилното управление и контрол на тези досиета.
Като част от разследването, DPC оценява:
- Дали CHI спазва задълженията си съгласно Общия регламент относно защитата на данните (GDPR) относно поверителността на хартиените записи, съхранявани и съхранявани в офиса на NCHD в CHI в Талахт.
- Дали CHI спазва задълженията си съгласно GDPR относно правилното управление и контрол на хартиените записи, съхранявани и съхранявани в офиса на NCHD в CHI в Талахт.
Основните констатации от решението на DPC, което е съобщено на CHI в Талахт на 10 септември 2026 г., са, че CHI в Талахт нарушава принципа цялостност и поверителност по член 5, пар. 1, б. „е“ от GDPR и е нарушила чл. 32, пар. 1 от GDPR чрез:
- Неспазване на изискванията за осигуряване на обработката на личните данни в офиса на NCHD по начин, който осигурява подходяща сигурност и поверителност на тези данни;
- Неспазване на мерките за гарантиране, че личните данни в офиса на NCHD и освен това личните данни, поставени в контейнери за поверителни отпадъци, са обработени по начин, който осигурява правилното управление и контрол на тези данни.
В светлината на посочените по-горе нарушения, DPC:
- Отправя официално предупреждение на CHI в Талахт;
- Нарежда на CHI в Талахт да приведе обработката на лични данни в съответствие с GDPR, и по-специално в съответствие с членове 5, пар. 1, б. „е“ от GDPR и чл. 32, пар. 1 от GDPR. Наложените от DPC на CHI в Талахт разпореждания включват разпореждания, изискващи от CHI в Талахт:
- Да се завърши и финализира оценката на въздействието върху защитата на данните (DPIA), свързана с обработката на здравни досиета в офиса на NCHD, и да се вземат предвид становищата и констатациите на DPC в това решение за разследване;
- Да се завърши и финализира DPIA, свързана със сигурно унищожаване и управление на поверителна информация, и да се вземат предвид становищата и констатациите на DPC в това решение за разследване;
- Пълно прилагане на техническите и организационните мерки, посочени в окончателните оценки на въздействието върху защитата на данните (посочени в предходните две точки). Това включва пълното прилагане на елементите за действие, посочени в DPIA, и внедряването и прилагането на стандартните оперативни процедури, посочени в другата DPIA.
- Да се предоставят на DPC копия от финализираните DPIA в рамките на четири седмици от датата на решението, издадено на CHI в Талахт, за да се улесни процесът на консултации с DPC. Становищата и наблюденията на DPC трябва да бъдат взети предвид от CHI в Талахт по време на процеса на изпълнение.
DPC ще публикува пълното решение своевременно.
На 15.08.2025 г. писах, че Заради отворена врата на кабинет започва разследване на детското здравеопазване в Ирландия – Комисията за защита на данните проверява съхраняването на стотици медицински картони на пациентите.