爱尔兰数据保护委员会对卫生服务执行局（HSE）作出最终决定：纸质病历外部存储违规罚64.5万欧元并责令整改

2026年9月2日，爱尔兰数据保护委员会（DPC）公布其针对卫生服务执行局（Health Service Executive, HSE）的最终决定：就HSE对其外部存储设施中保存与留存的**纸质病历（paper records）所载个人数据的处理行为**作出调查结论，对HSE课处合计**64.5万欧元（€645,000）**罚款，同时予以训诫（reprimand）并施加**多项矫正性命令**（corrective orders）。该决定于9月3日经欧洲数据保护委员会（EDPB）官网以"国家新闻"栏目向全欧通报。 一、案件要点。本案的监管对象并非数据库或信息系统，而是HSE存放于**外部仓储设施**的纸质病历。这提示GDPR第5条第1款(f)项（完整性与保密性）与第32条（处理安全）所要求的适当技术与组织措施，同样适用于物理载体与线下档案管理，不因数据未电子化而降低保护标准。 二、处罚结构。DPC的决定包含三类措施：①罚款64.5万欧元；②训诫；③多项矫正性命令。"矫正性命令"依GDPR第58条第2款(d)项作出，可命令控制者使处理行为符合规定、或在指定期间内以指定方式使个人数据得到保护，其持续不履行的后果通常重于一次性罚款。 三、观察意义。本案有三点值得关注：其一，继爱尔兰因未按期转置NIS2指令被欧盟委员会诉至欧盟法院之后，DPC在本国核心公共医疗机构的执法上继续保持高强度；其二，监管触角延伸至"外部存储的纸质档案"这一在数字化转型中常被忽视的合规死角，对医疗机构、保险公司、乃至任何将含个人信息的纸质材料外包存储的机构均有警示价值；其三，本案是本库收录的**首条爱尔兰（region_id=183）执法资讯**，此前DPC相关动态主要经EDPB转述。（DPC同期其他决定：2026年5月8日对Permanent TSB系列数据泄露作出最终决定；2026年2月17日对X Internet Unlimited Company（XIUC）依《2018年数据保护法》第110条启动调查。）