Catatan HSE ditemukan disimpan di kamar mandi dan bilik bekas, kata DPC.
Komisi Perlindungan Data (DPC) Irlandia telah mendenda Eksekutif Layanan Kesehatan (HSE) sebesar €645.000 karena menyimpan kertas rekam medis dalam kondisi kumuh, setelah ditemukan dokumen yang berisi data pribadi pasien rusak karena jamur, terkontaminasi kotoran hewan, dan tertutup puing-puing.
Badan pengawas tersebut diberitahu tentang potensi pelanggaran pada tahun 2023 setelah orang-orang memperoleh akses tidak sah ke catatan kertas di Rumah Sakit St Loman yang terkontaminasi asbes, bekas fasilitas psikiatri bekas di Co Westmeath, dan Rumah Sakit St Conal di Co Donegal – juga bekas rumah sakit jiwa bekas, yang terkontaminasi jamur parah. HSE menggunakan lokasi ini sebagai fasilitas penyimpanan eksternal.
HSE mengajukan pemberitahuan pelanggaran data pribadi pada bulan November 2023 terkait insiden di Rumah Sakit St Conal, dan selanjutnya memberi tahu DPC pada bulan April 2024 tentang postingan media sosial yang menunjukkan akses tidak sah ke ruang bawah tanah Rumah Sakit St Loman. Saat itu, HSE mengatakan kepada DPC bahwa catatan yang dimaksud adalah “lama”.
Dalam penyelidikan selama dua tahun yang diluncurkan pada bulan Mei 2024, DPC menemukan bahwa HSE melanggar GDPR dalam beberapa kasus, termasuk kegagalan dalam menjamin keamanan data pribadi yang disimpan di fasilitas penyimpanan eksternal HSE, dan gagal memastikan informasi pribadi pasien tidak disimpan lebih lama dari yang diperlukan.
Selain itu, HSE gagal memberi tahu DPC tentang pelanggaran di Rumah Sakit St Loman dalam waktu 72 jam setelah menyadari insiden tersebut, dan gagal memberi tahu subjek data tentang pelanggaran data pribadi tersebut, demikian temuan badan pengawas tersebut.
“Selama inspeksi lokasi, DPC mengamati adanya masalah signifikan pada dokumen yang rusak atau hancur karena jamur, terkontaminasi oleh kotoran hewan, tertutup puing-puing atau detritus, membusuk karena lingkungan penyimpanan, atau rusak karena air,” kata wakil komisaris DPC Graham Doyle.
“DPC menemukan tempat penyimpanan dalam kekacauan dan pengabaian sehingga catatan yang ada di dalamnya tidak dapat dianggap disimpan dengan cara yang terorganisir atau dapat diakses. Ada catatan yang disimpan di kamar mandi dan bilik bekas, kontainer pengiriman di gudang rumput, ruangan tanpa penerangan atau pemanas yang berfungsi, serta bangunan terlantar di sejumlah lokasi berbeda.
“Penyimpanan catatan oleh HSE dengan cara yang tidak aman melampaui jangka waktu penyimpanannya akan menimbulkan risiko signifikan berupa akses tidak sah dan pengungkapan informasi medis sensitif oleh pihak ketiga. Ada juga risiko tidak tersedianya catatan untuk perawatan medis lain atau alasan hukum atau peraturan lainnya.”
Di antara tindakan perbaikannya, DPC telah memerintahkan HSE untuk melakukan audit menyeluruh terhadap semua fasilitas penyimpanan tempat HSE menyimpan dan menyimpan file kertas, memusnahkan catatan dengan data pribadi yang tidak lagi diperlukan dan menetapkan prosedur untuk mengevaluasi secara berkala kepatuhan HSE terhadap kebijakan penyimpanannya sendiri.
HSE mengatakan kepada SiliconRepublic.com bahwa catatan yang terkontaminasi di St Loman’s telah dimusnahkan, sementara catatan yang disimpan secara berlebihan di St Conal’s juga dimusnahkan.
Namun, ini bukan pertama kalinya HSE ditemukan tidak memiliki langkah-langkah keamanan yang tepat dan kontrol terhadap data pribadi yang terdapat dalam catatan kesehatan kertas. Denda besar yang dijatuhkan hari ini – yang terbesar bagi badan publik dari pengawas perlindungan data – mempertimbangkan hal tersebut, kata DPC.
“Kami menyesalkan hal ini terjadi dan kami meminta maaf kepada pasien dan orang-orang yang menggunakan layanan kami atas pelanggaran data di situs St Loman’s dan St Conal’s, dan atas ketidakpatuhan kami terhadap kebijakan dan prosedur penyimpanan catatan kertas dan manajemen catatan,” kata juru bicara HSE kepada SiliconRepublic.com.
Otoritas layanan kesehatan mengatakan pihaknya sedang membangun dan meluncurkan program kerja pengelolaan arsip nasional yang komprehensif, dan memperbarui kebijakan mengenai penyimpanan dan penyimpanan arsip.