La autoridad francesa de protección de datos ha impuesto una multa de 500.000 € al Hôpital privé de la Loire tras una investigación que determinó que las medidas de seguridad insuficientes contribuyeron a una grave brecha de datos de pacientes y terceros.
El Hôpital privé de la Loire es un hospital general en Saint-Étienne y forma parte del grupo sanitario Ramsay Santé. Ofrece servicios médicos, quirúrgicos, de maternidad, oncología, cuidados intensivos y de urgencias. El hospital cuenta con 333 camas y atiende aproximadamente a 60.000 pacientes cada año.
El incidente ocurrió durante el verano de 2025, cuando un atacante accedió al sistema informatizado de historiales de pacientes del hospital. Según la autoridad francesa de protección de datos, CNIL, el intruso accedió a información perteneciente a 524.867 pacientes y a otras 202.246 personas que habían sido designadas por los pacientes como terceros de confianza.
Posteriormente, la CNIL investigó la brecha y concluyó que el hospital no había cumplido con varias obligaciones bajo el Reglamento General de Protección de Datos (RGPD) de la UE.
Uno de los problemas centrales era el acceso remoto al sistema de historiales del paciente. Los usuarios externos, incluidos médicos independientes, podían conectarse sin VPN ni autenticación multifactor. La CNIL determinó que el atacante aprovechó esta debilidad para acceder al sistema.
Los controles de acceso dentro de la plataforma también se consideraron insuficientes. Los permisos no se restringieron adecuadamente según qué profesionales sanitarios estuvieran realmente involucrados en el tratamiento de una persona. Como resultado, las credenciales asociadas a una sola cuenta de usuario proporcionaban al atacante acceso a información que cubría toda la población de pacientes del hospital.
La investigación también encontró deficiencias en la monitorización. El hospital no disponía de mecanismos adecuados para identificar rápidamente actividades sospechosas dentro de su sistema de historiales de pacientes y generar alertas. Esto permitió al atacante explorar el entorno durante varios días y extraer una cantidad sustancial de información antes de que se detectara la actividad.
La CNIL tuvo en cuenta el número de personas afectadas, la sensibilidad de la información comprometida y las deficiencias en las protecciones básicas de seguridad al determinar la sanción de 500.000 €.
El regulador identificó una infracción separada del RGPD relacionada con cómo se informó a las personas tras la brecha. Aunque los pacientes afectados recibieron notificaciones, los 202.246 terceros de confianza cuya información también había sido robada no fueron notificados directamente.
La CNIL concluyó que esto impedía que esas personas recibieran información sobre la brecha, sus posibles consecuencias y las medidas que podían tomar para reducir el riesgo de que su información fuera mal utilizada.
El hospital ha introducido varias mejoras de seguridad desde el incidente. La CNIL le ha ordenado finalizar la implementación de las medidas requeridas en plazos que van de tres a quince meses, dependiendo del control de seguridad específico implicado.
La multa de 500.000 € se anunció formalmente el 3 de septiembre de 2026, con la CNIL citando tanto la insuficiente protección de los datos personales como la falta de notificación directa a todas las personas afectadas.