DPC conclui que a CHI violou regras de segurança relativas a registos médicos infantis em papel

A Comissão de Proteção de Dados concluiu que uma unidade da Children’s Health Ireland no Tallaght University Hospital violou os requisitos de proteção de dados que regem a segurança e a confidencialidade dos registos de saúde das crianças.

A decisão diz respeito ao manuseamento e à proteção física de registos em papel na unidade da CHI, e não à Children’s Health Ireland como um todo. Segundo o relato publicado pela DPC, a investigação centrou-se num local dentro do Tallaght University Hospital e nos registos guardados no gabinete utilizado pelos médicos hospitalares não consultores.

A decisão final do regulador foi comunicada à CHI em Tallaght em 10 de setembro de 2026. A DPC publicou a sua decisão em 1 de outubro de 2026, na sequência de uma investigação iniciada depois de terem sido feitas divulgações protegidas à comissão em junho e julho de 2025.

Inspeção seguiu-se a divulgações protegidas

A DPC realizou uma inspeção não anunciada à unidade da CHI em 16 de julho de 2025. A inspeção ocorreu depois de as divulgações suscitarem preocupações sobre a forma como as informações pessoais das crianças estavam a ser armazenadas, conservadas e controladas.

Durante o processo de divulgação protegida, a comissão também soube que documentos contendo informações sensíveis sobre crianças tinham transbordado de um contentor de resíduos confidenciais. O material foi posteriormente removido. O contentor estava colocado junto à entrada do gabinete utilizado pelos médicos hospitalares não consultores na unidade da CHI.

Os documentos foram descritos como contendo tanto dados sensíveis como dados de categorias especiais relativos a crianças. A sua localização e remoção fizeram parte de preocupações mais amplas sobre se os registos confidenciais estavam a ser devidamente geridos e protegidos contra acesso ou exposição não autorizados.

A inspeção e as informações recebidas através das divulgações reuniram preocupações sobre dois aspetos relacionados com o manuseamento dos registos. Um deles era a segurança dos ficheiros em papel guardados no gabinete dos médicos. O outro era a gestão dos documentos destinados a eliminação confidencial. Em conjunto, estas questões levaram a DPC a examinar os procedimentos utilizados para controlar as informações de saúde das crianças na unidade.

A comissão abriu a sua investigação formal em 11 de agosto de 2025, várias semanas depois da visita não anunciada. A sua investigação resultou posteriormente na decisão final agora comunicada à CHI em Tallaght.

Conclusões ao abrigo do RGPD

A DPC concluiu que a CHI em Tallaght tinha infringido o princípio da segurança e da confidencialidade previsto no artigo 5.º, n.º 1, alínea f), do Regulamento Geral sobre a Proteção de Dados. Também concluiu que tinha havido uma infração do artigo 32.º, n.º 1, a disposição do RGPD identificada na decisão relativamente à segurança dos dados.

Estas conclusões dizem respeito à segurança e proteção física dos registos de saúde das crianças na unidade específica da CHI examinada pela comissão. As preocupações incluíam o armazenamento e a conservação contínuos de registos em papel no gabinete dos médicos não consultores e os sistemas utilizados para gerir e controlar esses registos.

A questão é significativa porque o material envolvido continha informações pessoais e registos de saúde de crianças. O relato da DPC afirma que os documentos incluíam dados sensíveis e dados de categorias especiais, tornando o manuseamento dos registos um foco específico da investigação. A colocação de um contentor de resíduos confidenciais transbordado junto à porta de um gabinete também foi relevante para a avaliação do regulador sobre a forma como as informações estavam a ser protegidas.

A decisão relaciona, portanto, o ambiente físico em que os registos eram guardados com o requisito mais amplo de confidencialidade. Não diz respeito apenas ao conteúdo de ficheiros individuais. Aborda também os procedimentos e controlos relativos aos registos em papel enquanto estes eram mantidos e quando os documentos eram eliminados.

O relato publicado identifica as duas infrações ao RGPD e apresenta os acontecimentos que deram origem à investigação. No material aqui fornecido, não inclui mais detalhes sobre sanções, medidas corretivas ou um calendário para alterações na unidade. A conclusão confirmada é que a unidade da CHI em Tallaght não cumpriu as normas de segurança e confidencialidade citadas pela DPC relativamente aos registos das crianças.

O caso começou com divulgações ao regulador, prosseguiu através de uma inspeção não anunciada e de uma investigação formal e terminou com a decisão final comunicada à CHI em setembro de 2026. A sua publicação regista a conclusão da DPC de que o manuseamento e o controlo das informações de saúde em papel na unidade não cumpriam as disposições do RGPD mencionadas na decisão.