Хакерът е получил достъп до данните на 524 867 пациенти и 202 246 техни близки
На 3 септември 2026 г. френският орган за защита на данните Commission Nationale de l’Informatique et des Libertés (CNIL) съобщи за наложена санкция 500 000 € на Hôpital Privé de la Loire, тъй като не са предприели подходящи мерки за осигуряване на сигурността на данните на пациентите и някои от техните близки.
През лятото на 2025 г. хакер успява да се свърже с електронното пациентско досие (DPI) на „Частна болница на Лоара“, което централизира всички данни за пациентите, получаващи грижи. Това му позволява да получат достъп до данните на 524 867 пациенти (включително, за някои, здравни данни ) и 202 246 лица, определени като „трети доверени лица“.
След това нарушение на данните CNIL извърши одит, който открои няколко недостатъка на „Частна болница на Лоара“ по отношение на спазването на задълженията, определени в Общия регламент относно защитата на данните (GDPR).
Органът на CNIL, отговорен за налагането на санкции, наложи глоба от 500 000 евро на Hôpital Privé de la Loire, като взе предвид неспазването на основните принципи на сигурност, броя на засегнатите лица, естеството на компрометираните данни и финансовите ѝ възможности.
Санкционираните нарушения
Неспазване на задължението за осигуряване на сигурността на личните данни (член 32 от GDPR)
Наказващият състав установи, че в деня на нарушението на данните, болницата не е внедрила определени основни мерки за сигурност, които биха могли да затруднят атаката.
Процедурата за удостоверяване за влизане в електронното досие на пациента в болницата, използвана от външни потребители, като например частнопрактикуващи лекари, не била достатъчно надеждна поради липсата на VPN и многофакторно удостоверяване. Нападателят използва тази уязвимост, за да получи достъп до данните.
Освен това, политиката за достъп е била неадекватна: тя не е отчела концепцията за екип за грижи, като е гарантирала, че само специалисти, пряко ангажирани с грижите за пациента, имат достъп до информация, защитена от медицинската тайна. Тази липса на ограничения за достъп е позволила на нападателя, използвайки идентификационните данни на един потребителски акаунт, да получи достъп до данните на всички пациенти в болницата.
И накрая, болницата не беше внедрила мерки за откриване на подозрителна активност в електронното здравно досие в реално време или в много краткосрочен план, както и за задействане на механизъм за предупреждение, ако е необходимо. При тези условия нападателят е успял да изследва DPI на болницата в продължение на няколко дни и да извлече много голям обем данни, без тази необичайна активност да бъде открита. Тази уязвимост допринесе за мащаба на нарушението на данните.
Предвид обема и естеството на обработваните данни, Колегията за санкции счита, че внедрените мерки за сигурност в тази болница в Лоара, не са били достатъчни, за да се гарантира поверителността им. Тя напомни, че макар да е невъзможно да се елиминира всеки риск, адаптираните мерки за сигурност могат да намалят неговата вероятност и сериозност.
Колегията също така отбеляза, че в хода на процедурата болницата е предприела няколко мерки за засилване на сигурността си. Тя изиска от болницата да завърши изцяло внедряването на тези мерки в срокове между три и петнадесет месеца (в зависимост от вида на мярката).
Неспазване на задължението за информиране на засегнатите лица за нарушението на сигурността на данните (член 34 от GDPR)
Накрая Колегията за санкции отбелязва, че само пациентите на болницата, засегнати от нарушението на данните, са били информирани, но че не е била предоставена пряка информация на 202 246 души, посочени от пациентите като доверени трети страни, въпреки че техните лични данни също са били откраднати от нападателя.
Тя счете, че този пропуск е лишил тези хора от информацията, необходима за разбиране на естеството на атаката и вероятните ѝ последици, както и за да знаят мерките за ограничаване на последиците ѝ и да се предпазят от евентуално злонамерено използване на данните си.