爱尔兰数据保护委员会就卫生服务署纸质病历存储问题作出终局决定：合计罚款64.5万欧元、予以谴责并附多项整改令

爱尔兰数据保护委员会（DPC）于9月2日公布对卫生服务署（HSE）的终局决定，就HSE在其外部存储设施中存储、保存纸质病历所涉个人数据处理问题，合计处以64.5万欧元罚款，同时予以谴责并施加多项整改令。该调查缘起于2023年10月与11月HSE先后通报的两起个人数据泄露事件：未经授权人员进入位于韦斯特米斯郡马林加的圣洛曼医院（St. Loman's Hospital，一处废弃并含石棉污染的前精神专科医院）及多尼戈尔郡莱特肯尼的圣康纳尔医院（St. Conal's Hospital，同样为废弃并严重霉变的前精神专科医院），侵入者将现场视频上传社交媒体，暴露两处设施内存放、保存有大量医疗记录。调查于2024年5月24日启动，DPC获授权官员在全国范围内开展12次现场检查，以判定问题属个案还是系统性问题。DPC认定HSE存在以下违规：①违反GDPR第5(1)(f)条完整性与保密性原则及第32(1)条——未确保外部设施中纸质病历内个人数据的适当安全，未实施适当的技术与组织措施（包括适当的记录管理流程、机制与控制）；②违反第5(1)(e)条存储限制原则——未以允许识别数据主体的形式、在不超过必要期限内保存纸质病历中的个人数据；③违反第33(1)条——未就圣洛曼医院事件及其地下室事件在无不当延迟且自知悉起72小时内通报数据泄露；④违反第34(1)条——未就两起泄露事件向数据主体进行告知。罚款分解为：第5(1)(f)条与第32(1)条违规30万欧元、第5(1)(e)条违规30万欧元、第33(1)条违规3万欧元、第34(1)条违规1.5万欧元。DPC在量罚时将HSE曾就纸质医疗记录安全措施不足、丧失对个人数据控制发生过类似违规列为加重情节。整改令要求HSE对全部纸质病历存储设施开展完整审计，建立稳健的记录与追踪管理系统，对不再必要的纸质记录立即安全销毁，将纸质记录从不合用设施迁出，并定期测试、评估其留存政策合规情况。决定已于8月25日通知HSE，DPC将择期公布决定全文。