Ιρλανδία: Πρόστιμο 645.000 ευρώ στον δημόσιο φορέα υγείας για την εγκατάλειψη έγχαρτων ιατρικών αρχείων

Τη συχνά υποτιμημένη σημασία της ασφαλούς και νόμιμης διατήρησης έγχαρτων αρχείων με προσωπικά δεδομένα έρχεται να υπενθυμίσει πρόσφατη απόφαση της ιρλανδικής αρχής προστασίας δεδομένων DPC, με την οποία επιβλήθηκε πρόστιμο ύψους 645.000 ευρώ στον δημόσιο φορέα υγείας της χώρας.

Το πρόστιμο επιβλήθηκε σε βάρος του HSE (Health Service Executive) και αφορά τις συνθήκες υπό τις οποίες φυλάσσονταν έγχαρτα αρχεία σε εγκαταστάσεις του σε ολόκληρη την Ιρλανδία. Η έρευνα της DPC ξεκίνησε τον Μάιο του 2024 και είχε ως αφετηρία δύο περιστατικά παραβίασης προσωπικών δεδομένων που το HSE είχε γνωστοποιήσει στην αρχή τον Σεπτέμβριο και τον Οκτώβριο του 2023.

Το πρώτο περιστατικό αφορούσε το St. Loman’s Hospital στο Mullingar, πρώην ψυχιατρικό νοσοκομείο, τμήματα του οποίου είχαν τεθεί εκτός χρήσης. Τον Σεπτέμβριο του 2023, το HSE διαπίστωσε ότι μη εξουσιοδοτημένα πρόσωπα είχαν εισέλθει σε κτίριο του συγκροτήματος, στο οποίο εξακολουθούσαν να φυλάσσονται έγχαρτα αρχεία που περιείχαν προσωπικά δεδομένα ασθενών. Το κτίριο ήταν εγκαταλελειμμένο και είχε χαρακτηριστεί μη ασφαλές λόγω της παρουσίας αμιάντου. Η μη εξουσιοδοτημένη πρόσβαση και η ύπαρξη των αρχείων έγιναν γνωστές στο HSE μετά τη δημοσίευση σχετικού βίντεο στα μέσα κοινωνικής δικτύωσης.

Λίγο αργότερα σημειώθηκε αντίστοιχο περιστατικό στο St. Conal’s Hospital στο Letterkenny. Και στην περίπτωση αυτή, μη εξουσιοδοτημένα πρόσωπα εισήλθαν σε κτίριο εκτός χρήσης, στο οποίο παρέμενε μεγάλος αριθμός έγχαρτων αρχείων. Το κτίριο παρουσίαζε σοβαρά προβλήματα μούχλας, ενώ μέρος του αρχειακού υλικού βρισκόταν σε κακή κατάσταση. Το HSE πληροφορήθηκε και αυτή την παραβίαση μέσω υλικού που είχε αναρτηθεί στα μέσα κοινωνικής δικτύωσης και τη γνωστοποίησε στην DPC τον Οκτώβριο του 2023.

Ενώ τα δύο αυτά περιστατικά βρίσκονταν ήδη υπό εξέταση, τον Απρίλιο του 2024 το HSE πληροφορήθηκε, και πάλι μέσω ανάρτησης στα μέσα κοινωνικής δικτύωσης, ότι είχε σημειωθεί δεύτερη μη εξουσιοδοτημένη πρόσβαση στο St. Loman’s. Αυτή τη φορά, τα πρόσωπα είχαν εισέλθει σε υπόγειο χώρο διαφορετικού κτιρίου του συγκροτήματος, όπου εντοπίστηκαν πρόσθετα ιστορικά αρχεία υπηρεσιών ψυχικής υγείας.

Δώδεκα επιτόπιοι έλεγχοι

Τα διαδοχικά περιστατικά οδήγησαν την DPC στην έναρξη αυτεπάγγελτης έρευνας τον Μάιο του 2024, με αντικείμενο όχι μόνο τις συγκεκριμένες παραβιάσεις, αλλά συνολικά τις πρακτικές που εφάρμοζε το HSE για τη διατήρηση, διαχείριση και ασφάλεια των έγχαρτων αρχείων του.

Στο πλαίσιο της έρευνας, η ιρλανδική αρχή πραγματοποίησε 12 επιτόπιους ελέγχους σε εγκαταστάσεις του HSE σε ολόκληρη την Ιρλανδία. Η εικόνα που προέκυψε επιβεβαίωσε ότι οι πλημμελείς συνθήκες φύλαξης δεν αποτελούσαν μεμονωμένο πρόβλημα των δύο νοσοκομείων στα οποία είχαν σημειωθεί οι αρχικές παραβιάσεις, αλλά αφορούσαν και άλλες εγκαταστάσεις του οργανισμού.

Οι ελεγκτές εντόπισαν μεγάλες ποσότητες έγχαρτων αρχείων αποθηκευμένες σε χώρους ακατάλληλους για τη μακροχρόνια διατήρησή τους. Σε ορισμένες εγκαταστάσεις, έγγραφα είχαν υποστεί σοβαρές φθορές από νερό και μούχλα, ενώ άλλα ήταν μολυσμένα από περιττώματα ζώων ή βρίσκονταν ανάμεσα σε μπάζα και απορρίμματα. Η κατάσταση ορισμένων αρχείων ήταν τέτοια ώστε να δυσχεραίνεται ουσιωδώς η πρόσβαση στο περιεχόμενο και η ανάκτησή τους.

Εξίσου προβληματικοί ήταν οι ίδιοι οι χώροι αποθήκευσης. Έγχαρτα αρχεία βρέθηκαν σε εγκαταλελειμμένες τουαλέτες, σε ερειπωμένα ή εκτός χρήσης κτίρια και σε χώρους χωρίς λειτουργικό φωτισμό ή θέρμανση. Σε μία περίπτωση, αρχεία φυλάσσονταν μέσα σε κοντέινερ τοποθετημένο σε αποθήκη. Η DPC διαπίστωσε επίσης ελλείψεις ως προς την οργάνωση και την καταγραφή του αρχειακού υλικού, με αποτέλεσμα το HSE να μην διαθέτει σε όλες τις περιπτώσεις επαρκή εικόνα για το ποια αρχεία διατηρούσε και πού ακριβώς βρίσκονταν.

Τα προβλήματα δεν αφορούσαν επομένως μόνο την εμπιστευτικότητα των δεδομένων, αλλά και τη διαθεσιμότητά τους. Οι συνθήκες φύλαξης εξέθεταν τα αρχεία τόσο σε μη εξουσιοδοτημένη πρόσβαση και αποκάλυψη, όσο και σε καταστροφή, απώλεια ή αδυναμία ανάκτησης. Η τελευταία διάσταση είχε ιδιαίτερη σημασία για την DPC, καθώς η ασφάλεια της επεξεργασίας προϋποθέτει και τη διασφάλιση της διαθεσιμότητας των δεδομένων: ένα αρχείο υγείας που έχει καταστραφεί ή δεν μπορεί να εντοπιστεί ενδέχεται να μην είναι διαθέσιμο όταν απαιτείται για την παροχή περίθαλψης ή για την εκπλήρωση υποχρεώσεων που πηγάζουν από τον νόμο.

Αδικαιολόγητη διατήρηση των αρχείων

Αυτοτελές αντικείμενο της έρευνας αποτέλεσε ο χρόνος για τον οποίο το HSE διατηρούσε τα έγχαρτα αρχεία. Η DPC διαπίστωσε ότι σημαντικός όγκος προσωπικών δεδομένων παρέμενε αποθηκευμένος για χρονικό διάστημα μεγαλύτερο από εκείνο που ήταν αναγκαίο για τους σκοπούς για τους οποίους είχε αρχικά συλλεχθεί.

Το HSE διέθετε πολιτικές διατήρησης, οι οποίες προέβλεπαν συγκεκριμένες περιόδους φύλαξης για διαφορετικές κατηγορίες αρχείων, χωρίς όμως οι πολιτικές αυτές να εφαρμόζονται στην πράξη, όπως αποδείχθηκε. Η έρευνα ανέδειξε ελλείψεις ως προς τον συστηματικό έλεγχο των αρχείων, την αναγνώριση εκείνων των οποίων είχε συμπληρωθεί ο προβλεπόμενος χρόνος διατήρησης και την έγκαιρη και ασφαλή καταστροφή τους.

Ως αποτέλεσμα, παλαιά αρχεία εξακολουθούσαν να φυλάσσονται επί μακρόν, χωρίς να έχει αξιολογηθεί εάν εξακολουθούσε να υφίσταται ανάγκη διατήρησής τους. Κατά την DPC, η πρακτική αυτή αντέβαινε στην αρχή του περιορισμού της περιόδου αποθήκευσης του άρθρου 5 παρ. 1 ε ́ ΓΚΠΔ, σύμφωνα με την οποία τα προσωπικά δεδομένα πρέπει να διατηρούνται σε μορφή που επιτρέπει την ταυτοποίηση των υποκειμένων μόνο για όσο διάστημα είναι αναγκαίο για τους σκοπούς της επεξεργασίας.

Οι παραβάσεις που διαπιστώθηκαν

Με βάση τα ευρήματα της έρευνας, η DPC διαπίστωσε σειρά παραβάσεων του ΓΚΠΔ, οι οποίες αφορούσαν τόσο την ασφάλεια και τον χρόνο διατήρησης των προσωπικών δεδομένων όσο και τις υποχρεώσεις του HSE μετά την εκδήλωση των περιστατικών παραβίασης.

Ως προς την ασφάλεια της επεξεργασίας, η Αρχή έκρινε ότι το HSE δεν είχε λάβει τα κατάλληλα τεχνικά και οργανωτικά μέτρα για την προστασία των έγχαρτων αρχείων που διατηρούσε. Οι συνθήκες αποθήκευσης, οι ελλείψεις στον έλεγχο της πρόσβασης και οι αδυναμίες στην καταγραφή και διαχείριση του αρχειακού υλικού στοιχειοθέτησαν παραβάσεις της αρχής της ακεραιότητας και εμπιστευτικότητας του άρθρου 5 παρ. 1 στ ́, καθώς και του άρθρου 32 παρ. 1 ΓΚΠΔ.

Αυτοτελής παράβαση διαπιστώθηκε ως προς τον χρόνο διατήρησης των δεδομένων. Η DPC έκρινε ότι το HSE διατηρούσε προσωπικά δεδομένα σε μορφή που επέτρεπε την ταυτοποίηση των υποκειμένων για μεγαλύτερο χρονικό διάστημα από εκείνο που ήταν αναγκαίο για τους σκοπούς της επεξεργασίας, κατά παράβαση της αρχής του περιορισμού της περιόδου αποθήκευσης του άρθρου 5 παρ. 1 ε ́ ΓΚΠΔ.

Τέλος, παραβάσεις διαπιστώθηκαν και ως προς τις υποχρεώσεις που ενεργοποιήθηκαν μετά τα περιστατικά μη εξουσιοδοτημένης πρόσβασης. Σε δύο περιπτώσεις, το HSE δεν γνωστοποίησε την παραβίαση στην DPC εντός της προβλεπόμενης προθεσμίας, κατά παράβαση του άρθρου 33 παρ. 1 ΓΚΠΔ. Παράλληλα, δεν ανακοίνωσε στα υποκείμενα των δεδομένων τις παραβιάσεις που είχαν σημειωθεί στα St. Loman’s και St. Conal’s, μολονότι συνέτρεχαν οι προϋποθέσεις για την ενημέρωσή τους, με αποτέλεσμα να διαπιστωθεί και παράβαση του άρθρου 34 παρ. 1 ΓΚΠΔ.

Πρόστιμο 645.000 ευρώ και εντολές συμμόρφωσης

Για τις παραβάσεις των άρθρων 5 παρ. 1 στ ́ και 32 επιβλήθηκε πρόστιμο 300.000 ευρώ και για την παραβίαση της αρχής του περιορισμού της περιόδου αποθήκευσης επιπλέον 300.000 ευρώ. Οι παραβάσεις των άρθρων 33 και 34 επέφεραν πρόστιμα 30.000 και 15.000 ευρώ αντίστοιχα.

Πέραν των ως άνω προστίμων, η DPC απηύθυνε επίπληξη και επέβαλε στο HSE σειρά διορθωτικών μέτρων. Μεταξύ άλλων, το HSE καλείται να ελέγξει τους χώρους στους οποίους διατηρούνται έγχαρτα αρχεία, να δημιουργήσει αποτελεσματικό σύστημα καταγραφής και εντοπισμού τους, να προχωρήσει στην ασφαλή καταστροφή όσων δεν απαιτείται πλέον να διατηρούνται και να μεταφέρει τα υπόλοιπα από ακατάλληλους χώρους σε εγκαταστάσεις που παρέχουν επαρκείς εγγυήσεις ασφάλειας.

Κατά την επιμέτρηση των προστίμων, η DPC έλαβε υπόψη ως επιβαρυντικό παράγοντα και το γεγονός ότι το HSE είχε στο παρελθόν υποπέσει σε παρόμοιες παραβάσεις σχετικά με την ασφάλεια και τη διαχείριση έγχαρτων αρχείων υγείας.