Огляд виявив неготовність персоналу гарячої лінії Royal Cornwall Hospitals NHS Trust після витоку даних

Royal Cornwall Hospitals NHS Trust повідомив про витік даних у листопаді 2025 року, що торкнувся 8 003 нинішніх і колишніх співробітників та працівників, не пов’язаних із трастом. Незалежний огляд, опублікований у листопаді 2026 року, виявив, що гаряча лінія трасту для реагування на витік була укомплектована членами клінічної групи управління, які отримали лише день попередження і мінімальне навчання. Гаряча лінія працювала 11 тижнів замість запланованих двох тижнів.

Робота гарячої лінії та вплив на персонал

Членів команди клінічного управління повідомили лише за день до запуску гарячої лінії і провели коротке навчання за кілька хвилин до початку прийому дзвінків. Підготовлений сценарій розмови надійшов за 30 хвилин до старту, тому деякі співробітники не встигли його дочитати.

Оператори повідомляли про часті гнівні та засмучені дзвінки, зокрема від людей, які перебувають у ризику домашнього насильства, і мусили ухвалювати рішення щодо захисту без будь-якого формального процесу чи навчання. Багато операторів дізналися, що їхні власні дані були викриті, вже під час підтримки інших. Від персоналу очікували виконання звичайних обов’язків, вони працювали вечорами та у вихідні, а деякі залишалися значно довше за запланований час.

Причина викриття даних

Витік походив від робочої книги Excel, завантаженої до журналу розкриття інформації трасту в лютому 2023 року у відповідь на запит FOI щодо стресу в NHS. Робоча книга зберегла зведені таблиці, які містили записи про відсутність через хворобу та чутливу медичну інформацію для 7 715 співробітників і 288 працівників, не пов’язаних із трастом. Запит обробляла команда e-rostering, а не підрозділ People Information Unit, який мав відповідну експертизу.

Стандартні кроки очищення було пропущено: Document Inspector не запускали або його попередження ігнорували, файл не конвертували в PDF, а внутрішнє керівництво не вимагало конвертації в CSV, що видалило б кеш зведених таблиць. Процес погодження зосереджувався на відповідях на запитання запиту та на зв’язках із громадськістю і помилково припускав, що дані належно очищено. Електронна таблиця залишалася у відкритому доступі протягом 33 місяців і за останні 12 місяців перед тим, як проблему повідомили, до неї зверталися 340 разів.

Усунення наслідків і подальші дії

Траст запровадив обов’язковий захист паролем для будь-якої робочої книги Excel, що використовується у відповідях на запити FOI, вимагає, щоб старший посадовець з інформаційного управління погоджував випуск електронних таблиць до підпису керівництвом, і оприлюднив оновлене керівництво у листопаді 2025 року з вимогою конвертації в CSV. Information Commissioner’s Office закрило свою справу після того, як траст впровадив рекомендації. Траст вибачився за спричинений стрес і продовжує пропонувати підтримку постраждалим співробітникам.

Sources: The Register