La DPC concluye que CHI infringió las normas de seguridad respecto a los historiales médicos infantiles en papel

La Comisión de Protección de Datos ha concluido que un centro de Children’s Health Ireland en el Tallaght University Hospital infringió los requisitos de protección de datos que regulan la seguridad y confidencialidad de los historiales médicos infantiles.

La decisión se refiere a la gestión y protección físicas de los historiales en papel en el centro de CHI, no a Children’s Health Ireland en su conjunto. Según el informe publicado por la DPC, la investigación se centró en una ubicación dentro del Tallaght University Hospital y en los historiales guardados en el despacho utilizado por los médicos hospitalarios no consultores.

La decisión final del regulador fue notificada a CHI en Tallaght el 10 de septiembre de 2026. La DPC publicó su decisión el 1 de octubre de 2026, tras una investigación iniciada después de que se presentaran comunicaciones protegidas ante la comisión en junio y julio de 2025.

La inspección se produjo tras comunicaciones protegidas

La DPC llevó a cabo una inspección sin previo aviso del centro de CHI el 16 de julio de 2025. La inspección tuvo lugar después de que las comunicaciones plantearan dudas sobre cómo se almacenaba, conservaba y controlaba la información personal de los niños.

Durante el proceso de comunicaciones protegidas, la comisión también supo que documentos que contenían información sensible sobre niños se habían desbordado de un contenedor de residuos confidenciales. El material fue retirado posteriormente. El contenedor estaba situado junto a la entrada del despacho utilizado por los médicos hospitalarios no consultores en el centro de CHI.

Se describió que los documentos contenían tanto datos sensibles como datos de categorías especiales relativos a niños. Su ubicación y retirada formaron parte de unas preocupaciones más amplias sobre si los historiales confidenciales se estaban gestionando adecuadamente y protegiendo frente a accesos o exposiciones no autorizados.

La inspección y la información recibida a través de las comunicaciones reunieron preocupaciones sobre dos aspectos relacionados de la gestión de los historiales. Uno era la seguridad de los expedientes en papel guardados dentro del despacho de los médicos. El otro era la gestión de los documentos destinados a su eliminación confidencial. En conjunto, estas cuestiones llevaron a la DPC a examinar las medidas utilizadas para controlar la información médica infantil en el centro.

La comisión abrió su investigación formal el 11 de agosto de 2025, varias semanas después de la visita sin previo aviso. Posteriormente, su investigación dio lugar a la decisión final ahora notificada a CHI en Tallaght.

Conclusiones en virtud del RGPD

La DPC concluyó que CHI en Tallaght había infringido el principio de seguridad y confidencialidad del artículo 5(1)(f) del Reglamento General de Protección de Datos. También concluyó que se había infringido el artículo 32(1), la disposición del RGPD identificada en la decisión en relación con la seguridad de los datos.

Estas conclusiones se refieren a la seguridad y protección físicas de los historiales médicos infantiles en el centro específico de CHI examinado por la comisión. Las preocupaciones incluían el almacenamiento y la conservación continuados de historiales en papel en el despacho de los médicos no consultores, así como los sistemas utilizados para gestionar y controlar esos historiales.

La cuestión es significativa porque el material involucrado contenía información personal y historiales médicos de niños. El informe de la DPC señala que los documentos incluían datos sensibles y datos de categorías especiales, lo que convirtió la gestión de los historiales en un aspecto central de la investigación. La colocación de un contenedor de residuos confidenciales desbordado junto a la puerta de un despacho también fue relevante para la evaluación del regulador sobre cómo se estaba protegiendo la información.

Por tanto, la decisión relaciona el entorno físico en el que se guardaban los historiales con el requisito más amplio de confidencialidad. No se refiere únicamente al contenido de expedientes individuales. También aborda los procedimientos y controles relativos a los historiales en papel mientras se conservaban y cuando se desechaban los documentos.

El informe publicado identifica las dos infracciones del RGPD y expone los hechos que dieron lugar a la investigación. En el material facilitado aquí no se ofrecen más detalles sobre sanciones, medidas correctivas o un calendario para introducir cambios en el centro. La conclusión confirmada es que el centro de CHI en Tallaght no cumplió las normas de seguridad y confidencialidad citadas por la DPC en relación con los historiales infantiles.

El caso comenzó con comunicaciones al regulador, continuó con una inspección sin previo aviso y una investigación formal, y terminó con la decisión final notificada a CHI en septiembre de 2026. Su publicación deja constancia de la conclusión de la DPC de que la gestión y el control de la información médica en papel en el centro no cumplían las disposiciones del RGPD mencionadas en la decisión.