CNIL beboet Frans ziekenhuis met 500.000 euro na datalek

Met de inloggegevens van 1 gebruikersaccount kreeg een aanvaller toegang tot de gegevens van 524.867 patiënten van het Franse ziekenhuis Hôpital Privé de la Loire. De Franse privacytoezichthouder CNIL legde het ziekenhuis daarvoor een boete op van 500.000 euro. Het definitieve besluit dateert van 3 september 2026; de EDPB publiceerde de samenvatting op 9 september 2026.

Het incident vond plaats in de zomer van 2025. De aanvaller wist in te loggen op het elektronisch patiëntendossier van het ziekenhuis, waarin alle gegevens van de patiënten samenkomen. Naast de gegevens van de patiënten, deels gezondheidsgegevens, ging het om 202.246 mensen die door patiënten waren opgegeven als vertrouwenspersoon. Na het datalek stelde de CNIL een onderzoek in en vond meerdere tekortkomingen onder de AVG.

De 1e tekortkoming betreft de beveiliging van de verwerking (artikel 32 AVG). Gebruikers van buiten het ziekenhuis, met name artsen die niet aan het ziekenhuis verbonden zijn, logden in zonder VPN en zonder meervoudige authenticatie. Via die zwakke plek kwam de aanvaller binnen.

Ook het toegangsbeleid schoot volgens de CNIL tekort. Het hield geen rekening met het begrip behandelteam, waardoor de toegang niet beperkt bleef tot de zorgverleners die werkelijk bij de zorg voor een patiënt betrokken waren. Daardoor kon de aanvaller met 1 account bij de gegevens van alle patiënten van het ziekenhuis.

Maatregelen om verdachte activiteit in het patiëntendossier direct of op zeer korte termijn te detecteren en zo nodig een alarm te laten afgaan, had het ziekenhuis niet genomen. De aanvaller kon daardoor enkele dagen door het systeem gaan en een zeer grote hoeveelheid gegevens buitmaken zonder dat iemand die afwijkende activiteit opmerkte. Volgens de CNIL heeft dat de omvang van het datalek vergroot.

De 2e tekortkoming betreft het informeren van betrokkenen (artikel 34 AVG). Alleen de getroffen patiënten waren geïnformeerd. De 202.246 vertrouwenspersonen kregen geen directe informatie, terwijl ook hun gegevens waren gestolen.

Bij het opleggen van de boete woog de sanctiecommissie onder meer mee dat essentiële beveiligingsprincipes onvoldoende bekend waren, het aantal betrokkenen, de aard van de gegevens en de financiële draagkracht van het ziekenhuis. Die commissie is binnen de CNIL verantwoordelijk voor sancties.