Multa de 645.000 euros al HSE por negligencia en datos médicos

La digitalización acelerada de la administración pública a menudo oculta un peligro latente: el olvido de los archivos físicos. Un caso reciente en Irlanda ha puesto de relieve que el Reglamento General de Protección de Datos (GDPR) no se aplica únicamente a los servidores en la nube o a las bases de datos vulnerables a ciberataques, sino también a los estantes llenos de polvo y los sótanos húmedos de edificios abandonados.

La Data Protection Commission (DPC) de Irlanda ha notificado una sanción administrativa de 645.000 euros al Health Service Executive (HSE), el organismo responsable de la gestión de la salud pública en el país. La decisión, formalizada el 28 de agosto de 2026, es el resultado de una investigación que comenzó en mayo de 2024 tras detectarse brechas de seguridad alarmantes en dos centros sanitarios fuera de servicio.

El escenario del desastre: hospitales psiquiátricos en desuso

El origen de la crisis se remonta a octubre y noviembre de 2023. En aquel periodo, personas ajenas al servicio de salud lograron entrar sin autorización en el Hospital St. Loman en Mullingar (condado de Westmeath) y en el Hospital St. Conal en Letterkenny (condado de Donegal). Ambos centros eran antiguos hospitales psiquiátricos que ya no estaban operativos, pero que seguían albergando una cantidad ingente de documentación sensible.

La gravedad del incidente no solo residió en el acceso físico, sino en la viralización de la negligencia. Los intrusos grabaron vídeos que fueron posteriormente subidos a redes sociales, donde se podía observar claramente que los expedientes médicos de los pacientes permanecían almacenados en instalaciones sin vigilancia ni seguridad básica. Esta exposición pública obligó a la DPC a intervenir para evaluar la magnitud del daño y el grado de responsabilidad del HSE.

Cinco infracciones graves al GDPR

La resolución de la autoridad irlandesa no se limita a una sola falla, sino que detalla cinco infracciones distintas que configuran un cuadro de descuido sistémico. El regulador ha basado su decisión en varios artículos fundamentales del marco europeo de protección de datos, señalando que el HSE falló en los siguientes puntos:

Primero, se vulneró la seguridad del tratamiento (Artículos 5(1)(f) y 32(1)), al no garantizar que los registros estuvieran protegidos contra el acceso no autorizado. Segundo, el organismo incumplió el principio de limitación del plazo de conservación (Artículo 5(1)(e)), manteniendo documentos que ya no eran necesarios para los fines para los cuales fueron recogidos.

La negligencia se extendió también a la gestión de la crisis. El HSE no notificó las brechas a la DPC dentro del plazo legal de 72 horas, infringiendo el Artículo 33(1). Más grave aún fue la omisión total de la comunicación a los pacientes afectados, una obligación establecida en el Artículo 34(1) cuando el riesgo para los derechos y libertades de las personas es alto.

Registros podridos y excrementos animales

Más allá de la intrusión humana, la inspección técnica reveló un estado de degradación material deplorable. Según los informes detallados por Recording Law, los inspectores encontraron expedientes médicos en estado de putrefacción. La documentación estaba dañada por el moho, la humedad y, en algunos casos, cubierta de excrementos de animales.

Este detalle es crucial desde la perspectiva legal, ya que demuestra que el HSE no solo falló en la seguridad perimetral del edificio, sino en la integridad misma de los datos. La pérdida de legibilidad o la destrucción física de un registro médico por causas evitables constituye una falta de diligencia en la custodia de información crítica para la salud de los ciudadanos.

La DPC ha considerado que el historial de infracciones similares previas relacionadas con registros sanitarios en papel es un factor agravante para fijar la cuantía de la multa.

Medidas correctivas y auditoría obligatoria

La sanción económica de 645.000 euros viene acompañada de una amonestación formal y una serie de órdenes de cumplimiento estrictas. La DPC no se ha conformado con la multa, sino que ha impuesto una hoja de ruta para evitar que el escenario se repita en otras instalaciones del país.

El HSE tiene ahora la obligación de realizar una auditoría exhaustiva de cada una de las instalaciones de almacenamiento donde conserve archivos en papel. El regulador ha exigido la retirada inmediata de cualquier registro que se encuentre en lugares no aptos para su propósito. Además, el organismo debe implementar un sistema de seguimiento robusto que permita saber exactamente qué datos personales posee y en qué ubicación física se encuentran.

Aunque la resolución fue notificada el 25 de agosto de 2026, la DPC aún no ha publicado el documento completo de la decisión, aunque ha indicado que lo hará próximamente. Por su parte, el HSE dispone de un plazo de 28 días para presentar un recurso contra la decisión, según lo estipulado en la Ley de Protección de Datos de 2018 de Irlanda.

Implicaciones para el tejido empresarial en España

Aunque el caso haya ocurrido en Irlanda, el precedente es directamente aplicable a cualquier empresa o administración en España. El tejido empresarial español, compuesto mayoritariamente por pymes y una administración pública en plena transición digital, a menudo mantiene archivos físicos en almacenes externos o sótanos que no cumplen con los estándares del GDPR.

Para los emprendedores y gestores españoles, este caso subraya que la seguridad de la información no es solo un problema de IT o de ciberseguridad. La gestión de activos físicos es parte integral del cumplimiento normativo. En el contexto de la Agenda Digital Española, la digitalización no debe ser vista solo como una mejora de eficiencia, sino como una herramienta de mitigación de riesgos legales.

Con la implementación progresiva del AI Act y el endurecimiento de la supervisión de la Agencia Española de Protección de Datos (AEPD), las empresas que utilicen datos históricos para entrenar modelos de IA deben asegurarse de que la digitalización de esos archivos antiguos se haga bajo estrictos protocolos de seguridad. El almacenamiento negligente de datos, ya sea en un servidor mal configurado o en un archivo húmedo, conlleva el mismo riesgo reputacional y financiero. La lección es clara: el dato que no se necesita debe destruirse siguiendo la normativa, y el dato que se conserva debe estar blindado, independientemente de si el soporte es un disco duro o una hoja de papel.

Para profundizar en los detalles de la decisión europea, se puede consultar la comunicación oficial de la EDPB.

Preguntas frecuentes

Fuentes: Edpb, Info, Recordinglaw ·