डीपीसी ने पाया कि बच्चों के कागजी रिकॉर्ड को लेकर सीएचआई ने सुरक्षा नियमों का उल्लंघन किया

डेटा प्रोटेक्शन कमीशन ने निष्कर्ष निकाला है कि टालाघ्ट यूनिवर्सिटी हॉस्पिटल में चिल्ड्रन्स हेल्थ आयरलैंड की एक सुविधा ने बच्चों के स्वास्थ्य रिकॉर्ड की सुरक्षा और गोपनीयता से संबंधित डेटा-संरक्षण आवश्यकताओं का उल्लंघन किया।

यह निर्णय पूरे चिल्ड्रन्स हेल्थ आयरलैंड के बजाय सीएचआई की उस सुविधा में कागजी रिकॉर्ड के भौतिक प्रबंधन और सुरक्षा से संबंधित है। डीपीसी द्वारा प्रकाशित विवरण के अनुसार, जांच टालाघ्ट यूनिवर्सिटी हॉस्पिटल के एक स्थान और गैर-परामर्शदाता अस्पताल डॉक्टरों द्वारा इस्तेमाल किए जाने वाले कार्यालय में रखे रिकॉर्ड पर केंद्रित थी।

नियामक का अंतिम निर्णय 10 September 2026 को टालाघ्ट स्थित सीएचआई को सूचित किया गया। डीपीसी ने अपना निर्णय 1 October 2026 को प्रकाशित किया। यह जांच जून और जुलाई 2025 में आयोग के समक्ष संरक्षित खुलासे किए जाने के बाद शुरू हुई थी।

संरक्षित खुलासों के बाद निरीक्षण

डीपीसी ने 16 July 2025 को सीएचआई की सुविधा का बिना पूर्व सूचना निरीक्षण किया। यह निरीक्षण उन खुलासों के बाद हुआ, जिनमें बच्चों की व्यक्तिगत जानकारी के भंडारण, रखरखाव और नियंत्रण के तरीके को लेकर चिंताएं उठाई गई थीं।

संरक्षित-खुलासा प्रक्रिया के दौरान आयोग को यह भी पता चला कि बच्चों के बारे में संवेदनशील जानकारी वाले दस्तावेज गोपनीय-कचरा बिन से बाहर निकलकर फैल गए थे। बाद में इस सामग्री को हटा दिया गया। यह बिन सीएचआई की सुविधा में गैर-परामर्शदाता अस्पताल डॉक्टरों द्वारा इस्तेमाल किए जाने वाले कार्यालय के प्रवेशद्वार के पास रखा था।

बताया गया कि दस्तावेजों में बच्चों से संबंधित संवेदनशील डेटा और विशेष-श्रेणी का डेटा, दोनों शामिल थे। उनका स्थान और उन्हें हटाया जाना इस व्यापक चिंता का हिस्सा था कि गोपनीय रिकॉर्ड का उचित प्रबंधन किया जा रहा था या नहीं और उन्हें अनधिकृत पहुंच या सार्वजनिक हो जाने से सुरक्षित रखा जा रहा था या नहीं।

निरीक्षण और खुलासों के माध्यम से प्राप्त जानकारी ने रिकॉर्ड प्रबंधन के दो परस्पर जुड़े पहलुओं को लेकर चिंताओं को एक साथ सामने ला दिया। एक चिंता डॉक्टरों के कार्यालय में रखी कागजी फाइलों की सुरक्षा को लेकर थी। दूसरी, गोपनीय तरीके से नष्ट किए जाने वाले दस्तावेजों के प्रबंधन से संबंधित थी। इन सभी मुद्दों को देखते हुए डीपीसी ने यह जांचने का फैसला किया कि सुविधा में बच्चों की स्वास्थ्य संबंधी जानकारी को नियंत्रित करने के लिए कौन-सी व्यवस्थाएं इस्तेमाल की जा रही थीं।

आयोग ने 11 August 2025 को अपनी औपचारिक जांच शुरू की, जो बिना पूर्व सूचना वाले दौरे के कई सप्ताह बाद हुई। इसके बाद जांच से वह अंतिम निर्णय सामने आया, जिसे अब टालाघ्ट स्थित सीएचआई को जारी किया गया है।

जीडीपीआर के तहत निष्कर्ष

डीपीसी ने पाया कि टालाघ्ट स्थित सीएचआई ने सामान्य डेटा संरक्षण विनियमन के अनुच्छेद 5(1)(f) में दिए गए सुरक्षा और गोपनीयता के सिद्धांत का उल्लंघन किया था। आयोग ने अनुच्छेद 32(1) के उल्लंघन की भी बात कही, जो जीडीपीआर का वह प्रावधान है जिसे निर्णय में डेटा सुरक्षा के संबंध में चिन्हित किया गया है।

ये निष्कर्ष आयोग द्वारा जांची गई सीएचआई की विशिष्ट सुविधा में बच्चों के स्वास्थ्य रिकॉर्ड की भौतिक सुरक्षा और संरक्षण से संबंधित हैं। चिंताओं में गैर-परामर्शदाता डॉक्टरों के कार्यालय में कागजी रिकॉर्ड का लगातार भंडारण और रखरखाव तथा उन रिकॉर्ड के प्रबंधन और नियंत्रण के लिए इस्तेमाल की जाने वाली प्रणालियां शामिल थीं।

यह मुद्दा महत्वपूर्ण है क्योंकि इसमें बच्चों की व्यक्तिगत जानकारी और स्वास्थ्य रिकॉर्ड शामिल थे। डीपीसी के विवरण के अनुसार, दस्तावेजों में संवेदनशील और विशेष-श्रेणी का डेटा शामिल था, जिससे रिकॉर्ड का प्रबंधन जांच का विशेष केंद्र बन गया। कार्यालय के दरवाजे के पास एक भरे हुए गोपनीय-कचरा बिन का रखा होना भी इस आकलन में प्रासंगिक था कि जानकारी की सुरक्षा किस तरह की जा रही थी।

इसलिए निर्णय उस भौतिक वातावरण को, जिसमें रिकॉर्ड रखे गए थे, गोपनीयता की व्यापक आवश्यकता से जोड़ता है। यह केवल व्यक्तिगत फाइलों की सामग्री से संबंधित नहीं है। इसमें कागजी रिकॉर्ड रखे जाने के दौरान और दस्तावेजों को नष्ट किए जाने के समय उनसे संबंधित प्रक्रियाओं और नियंत्रणों को भी संबोधित किया गया है।

प्रकाशित विवरण में जीडीपीआर के दोनों उल्लंघनों की पहचान की गई है और जांच शुरू होने की वजह बनी घटनाओं का उल्लेख किया गया है। यहां उपलब्ध सामग्री में प्रतिबंधों, सुधारात्मक उपायों या सुविधा में बदलाव के लिए किसी समय-सारिणी का आगे कोई विवरण नहीं दिया गया है। पक्का निष्कर्ष यह है कि टालाघ्ट स्थित सीएचआई की सुविधा बच्चों के रिकॉर्ड से संबंधित डीपीसी द्वारा उद्धृत सुरक्षा और गोपनीयता मानकों को पूरा करने में विफल रही।

यह मामला नियामक को किए गए खुलासों के साथ शुरू हुआ, बिना पूर्व सूचना वाले निरीक्षण और औपचारिक जांच से गुजरा और सितंबर 2026 में सीएचआई को अंतिम निर्णय की सूचना दिए जाने के साथ समाप्त हुआ। इसका प्रकाशन डीपीसी के इस निष्कर्ष को दर्ज करता है कि सुविधा में कागजी स्वास्थ्य संबंधी जानकारी का प्रबंधन और नियंत्रण निर्णय में उल्लिखित जीडीपीआर प्रावधानों के अनुरूप नहीं था।