DPC установила, что CHI нарушила правила безопасности при работе с бумажными записями о детях

Комиссия по защите данных установила, что учреждение Children’s Health Ireland при Университетской больнице Таллахта нарушило требования по защите данных, регулирующие безопасность и конфиденциальность медицинских записей детей.

Решение касается физического обращения с бумажными документами и их защиты в учреждении CHI, а не Children’s Health Ireland в целом. Согласно опубликованному DPC изложению дела, расследование было сосредоточено на одном подразделении Университетской больницы Таллахта и на документах, хранившихся в кабинете, которым пользовались врачи больницы, не являющиеся консультантами.

Окончательное решение регулятор направил CHI в Таллахте 10 сентября 2026 года. DPC опубликовала решение 1 октября 2026 года после расследования, начавшегося вслед за защищёнными сообщениями, направленными в комиссию в июне и июле 2025 года.

Проверка после защищённых сообщений

DPC провела внезапную проверку учреждения CHI 16 июля 2025 года. Проверка состоялась после того, как в сообщениях были высказаны опасения по поводу хранения, сроков хранения и контроля персональной информации детей.

В ходе рассмотрения защищённых сообщений комиссия также узнала, что документы, содержавшие конфиденциальную информацию о детях, выпали из контейнера для конфиденциальных отходов. Позднее материалы убрали. Контейнер находился рядом со входом в кабинет, которым пользовались врачи больницы, не являющиеся консультантами, в учреждении CHI.

Было указано, что документы содержали как конфиденциальные данные, так и специальные категории данных, относящиеся к детям. Их местонахождение и последующее удаление стали частью более широких опасений по поводу того, надлежащим ли образом управлялись конфиденциальные записи и защищались ли они от несанкционированного доступа или раскрытия.

Проверка и информация, полученная через защищённые сообщения, объединили опасения по поводу двух взаимосвязанных аспектов обращения с документами. Один касался безопасности бумажных дел, хранившихся в кабинете врачей. Другой — управления документами, предназначенными для конфиденциального уничтожения. В совокупности эти вопросы побудили DPC изучить порядок контроля медицинской информации о детях в учреждении.

Комиссия начала официальное расследование 11 августа 2025 года, через несколько недель после внезапного визита. Впоследствии расследование привело к вынесению окончательного решения, направленного CHI в Таллахте.

Выводы в соответствии с GDPR

DPC установила, что CHI в Таллахте нарушила принцип безопасности и конфиденциальности, закреплённый в статье 5(1)(f) Общего регламента по защите данных. Она также установила нарушение статьи 32(1) — положения GDPR, указанного в решении в связи с безопасностью данных.

Эти выводы касаются физической сохранности и безопасности медицинских записей детей в конкретном учреждении CHI, которое изучала комиссия. В числе проблем были продолжавшееся хранение бумажных документов в кабинете врачей, не являющихся консультантами, и сроки их хранения, а также системы, использовавшиеся для управления этими документами и контроля над ними.

Этот вопрос имеет важное значение, поскольку материалы содержали персональную информацию и медицинские записи детей. В изложении DPC говорится, что документы включали конфиденциальные данные и данные специальных категорий, поэтому обращение с ними стало одним из основных предметов расследования. Размещение переполненного контейнера для конфиденциальных отходов рядом с дверью кабинета также учитывалось регулятором при оценке того, как защищалась эта информация.

Таким образом, решение связывает физическую среду, в которой хранились документы, с более широким требованием конфиденциальности. Оно касается не только содержания отдельных дел. В нём также рассматриваются процедуры и средства контроля, связанные с бумажными документами во время их хранения и при их утилизации.

В опубликованном изложении указаны два нарушения GDPR и изложены события, послужившие поводом для расследования. В представленном здесь материале не приводятся дополнительные сведения о санкциях, корректирующих мерах или сроках внесения изменений в учреждении. Подтверждённый вывод состоит в том, что учреждение CHI в Таллахте не соответствовало стандартам безопасности и конфиденциальности, на которые DPC ссылалась в связи с записями о детях.

Дело началось с сообщений, направленных регулятору, продолжилось внезапной проверкой и официальным расследованием и завершилось окончательным решением, о котором CHI уведомили в сентябре 2026 года. Его публикация фиксирует вывод DPC о том, что обращение с бумажной медицинской информацией в учреждении и контроль над ней не соответствовали положениям GDPR, указанным в решении.