Pół miliona euro kary dla szpitala po cyberataku. CNIL wytyka brak MFA i zbyt szerokie uprawnienia

15/10/2026

Naruszenie Ochrony Danych, Dane Szczególne, Cnil, Cyberatak, Przetwarzanie Danych,

Francuski organ ochrony danych CNIL nałożył na Hôpital Privé de la Loire karę 500 tysięcy euro. W wyniku cyberataku wykradziono dane ponad 524 tysięcy pacjentów, w tym dane dotyczące zdrowia. Szpital nie zabezpieczył odpowiednio systemu i nie poinformował wszystkich poszkodowanych o naruszeniu.

Pół miliona euro kary dla szpitala po cyberataku. CNIL wytyka brak MFA i zbyt szerokie uprawnienia

Brak uwierzytelniania wieloskładnikowego i ograniczenia dostępu – kontrola CNIL wykazała szereg naruszeń

Latem 2025 r. atakujący uzyskał dostęp do elektronicznej dokumentacji pacjentów szpitala – 524 867 pacjentów oraz 202 246 osób wskazanych przez pacjentów jako „osoby zaufane”. Po zgłoszeniu naruszenia CNIL przeprowadził kontrolę. Ustalił wówczas, że szpital dopuścił się kilku uchybień związanych z przetwarzaniem danych osobowych. Po pierwsze, zewnętrzni użytkownicy, m.in. lekarze, logowali się do systemu bez VPN i bez uwierzytelniania wieloskładnikowego. Dodatkowo nie ograniczono uprawnień dostępu do informacji objętych tajemnicą medyczną wyłącznie do osób uczestniczących w udzielaniu świadczenia. Szpital nie stosował również środków monitorowania podejrzanych aktywności, które pozwalałyby wykryć potencjalne naruszenie.

CNIL nałożył karę na Hôpital Privé de la Loire także za naruszenie art. 34 RODO

W toku kontroli CNIL ustalił również, że szpital wprawdzie poinformował pacjentów o naruszeniu. Takiej informacji nie otrzymały jednak osoby wskazane jako zaufane. Zdaniem organu nadzorczego szpital pozbawił je tym samym informacji niezbędnych do zrozumienia charakteru ataku, jego prawdopodobnych konsekwencji oraz działań mogących ograniczyć skutki naruszeń. CNIL nałożył na placówkę karę 500 tysięcy euro. Szpital ma też od 3 do 15 miesięcy na dokończenie wdrażania środków bezpieczeństwa.

Źródło: https://nowybiuletyn.uodo.gov.pl/cnil-nalozyla-na-szpital-500-tys-euro-kary-za-niewystarczajace-zabezpieczenie-danych-pacjentow/

Masz pytania?

Jeśli masz więcej pytań dotyczących RODO i sztucznej inteligencji- więcej informacji znajdziesz w naszym serwisie. Przejrzyj nasze zasoby!

Jeżeli chcesz być na bieżąco z tematyką RODO, prawa nowych technologii i AI obserwuj nas!

Facebook https://www.facebook.com/odoserwis.pl.2016/

Linkedin https://www.linkedin.com/company/odoserwis-pl/

Wydawcą odoserwis.pl jest firma JDS Consulting świadcząca usługi outsourcingu Inspektora ochrony danych, doradztwa i audytu RODO; www.jds.com.pl

Jeżeli chciałbyś skorzystać z opinii lub porady prawnej nie wahaj się skontaktować z nami office@jds.com.pl ; www.jds.com.pl

Naruszenie Ochrony Danych, Dane Szczególne, Cnil, Cyberatak, Przetwarzanie Danych,

Zobacz również

Naruszenie ochrony danych

Wyciek danych z Pandabuy. Prezes UODO prosi Prokuratora Generalnego o wznowienie postępowania

Dane nawet 1,3 mln klientów chińskiej platformy sprzedażowej pandabuy.com trafiły do sieci. Wśród klientów znajdowało się także kilkadziesiąt tysięcy Polaków. Prokuratura umorzyła dochodzenie, ale Prezes UODO Mirosław Wróblewski zwrócił się do Prokuratora Generalnego Wa(...)

Naruszenie ochrony danych

UODO nałożył 15 500 zł kary komornikowi sądowemu, który pełnił w swojej kancelarii funkcję IOD

Przez 5 lat komornik sądowy pełnił w swojej kancelarii funkcję inspektora ochrony danych, wbrew zasadzie niezależności IOD. Nie zawiadomił też organu nadzorczego o wyznaczeniu inspektora. Za te dwa naruszenia przepisów RODO Prezes UODO Mirosław Wróblewski nałożył admini(...)

Naruszenie ochrony danych

NSA potwierdza karę 52 tys. zł nałożoną na spółdzielnię przez Prezesa UODO

Naczelny Sąd Administracyjny uchylił wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie i oddalił skargę spółdzielni mieszkaniowej. Tym samym w mocy pozostała decyzja Prezesa UODO nakładająca na spółdzielnię karę pieniężną 52 tysięcy złotych. Decyzja została wydana(...)