L’autorità francese per la protezione dei dati ha imposto una multa di 500.000 € all’Hôpital privé de la Loire dopo che un’indagine ha rilevato che misure di sicurezza inadeguate hanno contribuito a una grave violazione dei dati dei pazienti e di terze parti.
L’Hôpital privé de la Loire è un ospedale generale a Saint-Étienne e fa parte del gruppo sanitario Ramsay Santé. Fornisce servizi medici, chirurgici, di maternità, oncologici, terapia intensiva e di emergenza. L’ospedale dispone di 333 posti letto e cura circa 60.000 pazienti ogni anno.
L’incidente è avvenuto nell’estate del 2025, quando un aggressore ha ottenuto accesso al sistema informatizzato di cartelle cliniche dell’ospedale. Secondo l’autorità francese per la protezione dei dati, CNIL, l’intruso ha avuto accesso a informazioni appartenenti a 524.867 pazienti e ad altre 202.246 persone designate dai pazienti come terzi di fiducia.
La CNIL ha successivamente indagato sulla violazione e ha concluso che l’ospedale non aveva rispettato diversi obblighi previsti dal Regolamento Generale sulla Protezione dei Dati (GDPR) dell’UE.
Uno dei problemi centrali riguardava l’accesso remoto al sistema di cartelle cliniche del paziente. Gli utenti esterni, inclusi medici indipendenti, potevano connettersi senza una VPN o autenticazione multifattore. La CNIL ha stabilito che l’attaccante ha sfruttato questa debolezza per entrare nel sistema.
Anche i controlli di accesso all’interno della piattaforma erano considerati insufficienti. I permessi non erano adeguatamente limitati in base ai professionisti sanitari effettivamente coinvolti nel trattamento di un individuo. Di conseguenza, le credenziali associate a un singolo account utente fornivano all’attaccante l’accesso alle informazioni che coprono l’intera popolazione di pazienti dell’ospedale.
L’indagine ha inoltre rilevato carenze nel monitoraggio. L’ospedale non disponeva di meccanismi adeguati per identificare rapidamente attività sospette all’interno del suo sistema di cartelle cliniche e generare allarmi. Questo ha permesso all’aggressore di esplorare l’ambiente per diversi giorni ed estrarre una quantità significativa di informazioni prima che l’attività fosse rilevata.
La CNIL ha considerato il numero di persone colpite, la sensibilità delle informazioni compromesse e le carenze nelle tutele di sicurezza di base al momento della determinazione della sanzione di €500.000.
Il regolatore ha identificato una violazione separata del GDPR riguardante il modo in cui le persone sono state informate dopo la violazione. Sebbene i pazienti interessati abbiano ricevuto notifiche, le 202.246 terze parti di fiducia le cui informazioni erano state anch’esse rubate non sono state direttamente notificate.
La CNIL ha concluso che ciò impediva a quegli individui di ricevere informazioni sulla violazione, sulle sue potenziali conseguenze e sulle misure che potevano adottare per ridurre il rischio di abuso delle loro informazioni.
L’ospedale ha introdotto diversi miglioramenti della sicurezza dall’incidente. La CNIL ha ordinato di completare l’attuazione delle misure richieste entro scadenze che vanno da tre a quindici mesi, a seconda del controllo di sicurezza specifico coinvolto.
La sanzione di 500.000 € è stata formalmente annunciata il 3 settembre 2026, con la CNIL che ha citato sia una protezione inadeguata dei dati personali sia la mancata notifica diretta a tutti gli individui coinvolti.