Incident de securitate si mod de instiintare autoritate

As dori un sfat in urmatoarea speta: Garda de mediu a gasit la o ghena de gunoi rasfirate pe asfalt aproximativ 30 trimiteri medicale (cu date personale inclusive speciale - pacient si informatii despre medic - parafa). Garda de mediu a transmis copiile documentelor catre Casa judeteana de asigurari de sanatate solicitand sa investigheze si sa ia masuri corespunzator GDPR. Casa de Sanatate a constatat ca acele bilete de trimitere nu fusesera raportate in sistem ca fiind decontate de vreun cabinet, ceea ce presupune ca ori pacientul nu a ajuns la cabinetul specialistului catre care avea trimitere (greu de crezut deoarece toate trimiterile erau pe aceeasi specialitate si pentru pacienti diferiti), ori cabinetul respectiv nu are contract cu casa de sanatate si ca atare nu le-a raportat/decontat, deci cabinetul nu poate fi identificat decat indirect: medic care a emis trimiterea pacient informatii despre cabinetul la care a fost. Intrebarea este ce masuri trebuie sa ia casa de sanatate, mai ales ca nu are nicio calitate aici: nu a provocat incidentul, are informatii despre medici dar oricum acestea sunt publice pentru toata lumea, inclusiv pentru Garda de Mediu. Garda de Mediu nu ar fi trebuit sa anunte autoritatea de supraveghere in mod direct? Includerea pe acest flux a Casei de Sanatate nu face dacat sa intarzie orice investigatie. Ce ar fi trebuit sa faca Garda de Mediu? Ce ar trebui Casa de sanatate sa raspunda Garzii de Mediu? Ce ar trebui sa faca acum Casa de Sanatate?