アイルランドDPC、保護措置のない紙の診療記録をめぐりHSEに64万5,000ユーロの制裁金

アイルランドのデータ保護委員会（DPC）は、適切に保護されていない紙の診療記録の取扱いに不備があったとして、保健サービス執行局（HSE）に64万5,000ユーロの制裁金を科しました。2026年9月3日に公表されたこの決定は、EU一般データ保護規則（GDPR）の第32条から第34条を含む違反に関するものです。

GDPRでは、組織に対し、個人データに適切な安全管理措置を講じること、データ侵害を監督当局へ通知すべきかを評価すること、さらに侵害が個人に高いリスクをもたらす場合には、影響を受ける本人に通知することを求めています。DPCは、HSEが紙の記録に関してこれらの要件を満たしていなかったと結論付けました。

DPCは制裁金に加え、HSEに対し、その業務運用を法令に適合させること、および決定に従って必要な通知を行うことを命じました。この決定は、とりわけ健康情報を扱う場合、GDPR上の安全管理義務がデジタルシステムだけでなく、紙の記録にも適用されることを明確に示しています。

医療機関その他の機微な紙媒体の書類を保有する組織は、実効的な物理的アクセス管理、記録の取扱手順、侵害評価プロセス、および通知体制を整備すべきです。また、データ侵害によって本人の権利および自由に高いリスクが生じる場合には、影響を受けた本人を特定し、連絡できる体制も必要です。