Health data breach: the CNIL fined Hôpital Privé de la Loire EUR 500 000

La au­to­ri­dad fran­ce­sa de pro­tec­ción de datos im­pu­so una san­ción eco­nó­mi­ca al Hôpital Privé de la Loire tras un in­ci­den­te de se­gu­ri­dad ocu­rri­do cuan­do un ata­can­te logró co­nec­tar­se al re­su­men clí­ni­co in­for­ma­ti­za­do del cen­tro. Como con­se­cuen­cia de este ac­ce­so no au­to­ri­za­do, el in­tru­so sus­tra­jo la in­for­ma­ción de cien­tos de miles de pa­cien­tes y de per­so­nas de­sig­na­das como ter­ce­ros de con­fian­za.

Tras una ins­pec­ción pos­te­rior, las au­to­ri­da­des de­ter­mi­na­ron que el hos­pi­tal in­cum­plió va­rias nor­ma­ti­vas de pro­tec­ción de datos al no ga­ran­ti­zar la se­gu­ri­dad ade­cua­da en el pro­ce­sa­mien­to. En con­cre­to, el sis­te­ma de au­ten­ti­ca­ción para usua­rios ex­ter­nos ca­re­cía de redes pri­va­das vir­tua­les y de au­ten­ti­ca­ción mul­ti­fac­tor, y la po­lí­ti­ca de con­trol de ac­ce­sos no li­mi­ta­ba la in­for­ma­ción úni­ca­men­te a los pro­fe­sio­na­les in­vo­lu­cra­dos en la aten­ción mé­di­ca, lo que per­mi­tió que el ata­can­te uti­li­za­ra una sola cuen­ta para ex­plo­rar y ex­traer una gran can­ti­dad de datos du­ran­te va­rios días sin ser de­tec­ta­do.

Asi­mis­mo, la in­ves­ti­ga­ción re­ve­ló que el cen­tro no cum­plió con la obli­ga­ción de co­mu­ni­car la fil­tra­ción de datos a todas las per­so­nas afec­ta­das, ya que no­ti­fi­có úni­ca­men­te a los pa­cien­tes cuyos datos fue­ron vul­ne­ra­dos, pero omi­tió in­for­mar de ma­ne­ra di­rec­ta a los cien­tos de miles de in­di­vi­duos re­gis­tra­dos como ter­ce­ros de con­fian­za, cuyos datos tam­bién ha­bían sido ro­ba­dos.

El ar­tícu­lo ori­gi­nal no apor­ta más de­ta­lle sobre otros as­pec­tos de la de­ci­sión o del pro­ce­so san­cio­na­dor.