Fuga de datos sanitarios: la CNIL ha impuesto una multa de 500 000 EUR al Hôpital Privé de la Loire

La autoridad de protección de datos de Francia impuso una sanción económica al Hôpital Privé de la Loire tras un incidente de seguridad ocurrido cuando un atacante logró conectarse al sistema informático del centro. Dicho sistema centraliza la información de los pacientes bajo cuidado, permitiendo que el agresor accediera a los datos de una gran cantidad de pacientes y de personas señaladas como terceros de confianza.

Tras una inspección posterior, se determinó que la institución incumplió varias normativas sobre el tratamiento de la información. Entre las fallas detectadas destaca un mecanismo de autenticación débil para usuarios externos que no utilizaba redes privadas virtuales ni doble factor de autenticación, además de una política de control de accesos deficiente que permitía consultar los registros de todos los pacientes mediante una sola cuenta. Asimismo, el hospital carecía de herramientas para detectar actividades sospechosas de manera oportuna, lo que permitió que el acceso no autorizado se prolongara durante varios días sin ser advertido.

Otra de las infracciones señaladas fue la omisión en el aviso sobre la vulneración a los afectados, ya que la institución notificó únicamente a los pacientes cuyos registros se vieron comprometidos, pero omitió informar de manera directa a los cientos de miles de individuos designados como terceros de confianza, a pesar de que sus datos también fueron sustraídos.

Debido a estos incumplimientos, que incluyeron la falta de aplicación de normas esenciales de seguridad, la cantidad de personas afectadas, la sensibilidad de los datos comprometidos y la capacidad financiera de la entidad, el comité restringido de la autoridad francesa decidió aplicar una multa económica al hospital.