La DPC conclut que le CHI a enfreint les règles de sécurité concernant les dossiers papier d’enfants

La Commission de protection des données a conclu qu’un établissement de Children’s Health Ireland au Tallaght University Hospital avait enfreint les exigences en matière de protection des données régissant la sécurité et la confidentialité des dossiers médicaux d’enfants.

La décision concerne la manipulation et la protection matérielles des dossiers papier dans l’établissement du CHI, et non Children’s Health Ireland dans son ensemble. Selon le compte rendu publié par la DPC, l’enquête s’est concentrée sur un site du Tallaght University Hospital et sur les dossiers conservés dans le bureau utilisé par les médecins hospitaliers non consultants.

La décision finale du régulateur a été notifiée au CHI de Tallaght le 10 septembre 2026. La DPC a publié sa décision le 1 octobre 2026, à l’issue d’une enquête ouverte après que des signalements protégés eurent été transmis à la commission en juin et juillet 2025.

L’inspection fait suite à des signalements protégés

La DPC a effectué une inspection inopinée de l’établissement du CHI le 16 juillet 2025. Cette inspection a eu lieu après que les signalements eurent soulevé des inquiétudes concernant le stockage, la conservation et le contrôle des informations personnelles d’enfants.

Au cours de la procédure de signalement protégé, la commission a également appris que des documents contenant des informations sensibles sur des enfants avaient débordé d’une poubelle destinée aux déchets confidentiels. Le contenu a ensuite été retiré. La poubelle était placée à côté de l’entrée du bureau utilisé par les médecins hospitaliers non consultants dans l’établissement du CHI.

Les documents ont été décrits comme contenant à la fois des données sensibles et des données relevant de catégories particulières concernant des enfants. Leur emplacement et leur retrait faisaient partie de préoccupations plus larges quant à la bonne gestion des dossiers confidentiels et à leur protection contre tout accès ou toute exposition non autorisés.

L’inspection et les informations reçues dans le cadre des signalements ont fait ressortir deux aspects liés de la gestion des dossiers. Le premier concernait la sécurité des dossiers papier conservés dans le bureau des médecins. Le second portait sur la gestion des documents destinés à être éliminés de manière confidentielle. Pris ensemble, ces éléments ont conduit la DPC à examiner les dispositions mises en place pour contrôler les informations médicales d’enfants dans l’établissement.

La commission a ouvert son enquête officielle le 11 août 2025, plusieurs semaines après la visite inopinée. Son enquête a ensuite abouti à la décision finale désormais notifiée au CHI de Tallaght.

Conclusions au regard du RGPD

La DPC a conclu que le CHI de Tallaght avait enfreint le principe de sécurité et de confidentialité énoncé à l’article 5(1)(f) du Règlement général sur la protection des données. Elle a également constaté une violation de l’article 32(1), la disposition du RGPD citée dans la décision en matière de sécurité des données.

Ces conclusions concernent la sûreté et la sécurité matérielles des dossiers médicaux d’enfants dans l’établissement spécifique du CHI examiné par la commission. Les préoccupations portaient notamment sur la conservation et le maintien de dossiers papier dans le bureau des médecins non consultants, ainsi que sur les systèmes utilisés pour gérer et contrôler ces dossiers.

La question est importante parce que les documents concernés contenaient des informations personnelles et des dossiers médicaux d’enfants. Le compte rendu de la DPC indique que les documents comprenaient des données sensibles et des données relevant de catégories particulières, ce qui a fait de la gestion des dossiers un point central de l’enquête. Le fait qu’une poubelle débordante destinée aux déchets confidentiels ait été placée à côté de la porte d’un bureau a également compté dans l’évaluation, par le régulateur, de la manière dont les informations étaient protégées.

La décision établit donc un lien entre l’environnement matériel dans lequel les dossiers étaient conservés et l’exigence plus large de confidentialité. Elle ne porte pas uniquement sur le contenu de dossiers individuels. Elle traite également des procédures et des contrôles entourant les dossiers papier pendant leur conservation et au moment où les documents étaient éliminés.

Le compte rendu publié identifie les deux violations du RGPD et expose les événements qui ont déclenché l’enquête. Dans le document fourni ici, il ne donne pas davantage de détails sur d’éventuelles sanctions, mesures correctives ou échéances pour la mise en œuvre de changements dans l’établissement. La conclusion confirmée est que l’établissement du CHI de Tallaght n’a pas respecté les normes de sécurité et de confidentialité citées par la DPC concernant les dossiers d’enfants.

L’affaire a commencé par des signalements adressés au régulateur, s’est poursuivie par une inspection inopinée et une enquête officielle, et s’est achevée par la décision finale notifiée au CHI en septembre 2026. Sa publication consigne la conclusion de la DPC selon laquelle la gestion et le contrôle des informations médicales sur support papier dans l’établissement n’étaient pas conformes aux dispositions du RGPD citées dans la décision.