CNIL multa Hôpital Privé de la Loire em EUR 500.000 por violação de dados de saúde
Multa: EUR 500,000
O Hôpital Privé de la Loire recebeu uma multa de EUR 500.000 da Autoridade Francesa de Proteção de Dados (CNIL) em 3 de setembro de 2026 por violações do RGPD. A multa seguiu uma violação de dados no verão de 2025 que expôs os dados de 524.867 pacientes e 202.246 terceiros de confiança. A CNIL identificou falhas na segurança dos dados e nos procedimentos de notificação de violação.
O comitê restrito da CNIL determinou que o Hôpital Privé de la Loire violou o Artigo 32 do RGPD ao não garantir a segurança adequada dos dados pessoais. Isso incluiu um procedimento de autenticação insuficientemente robusto para usuários externos do Sumário de Paciente Informatizado (DPI), com falta de redes privadas virtuais (VPNs) e meios de autenticação multifator. A política de controle de acesso do hospital também foi considerada inadequada, pois não limitava o acesso com base nas equipes de atendimento, permitindo que as credenciais de uma única conta de usuário acessassem todos os dados dos pacientes. Além disso, o hospital não tinha medidas de detecção em tempo real para atividades suspeitas dentro do Sumário de Paciente de e-Saúde, permitindo que um invasor explorasse e extraísse um grande volume de dados sem ser detectado por vários dias.
O comitê restrito também encontrou uma violação do Artigo 34 do RGPD, pois o hospital não informou diretamente os 202.246 indivíduos designados como terceiros de confiança sobre a violação de dados, apesar de seus dados pessoais também terem sido comprometidos. O valor da multa considerou a falta de conscientização do hospital sobre princípios essenciais de segurança, o número significativo de pessoas afetadas, a natureza sensível dos dados de saúde comprometidos e suas capacidades financeiras.
Organizações que lidam com dados de saúde enfrentam escrutínio regulatório persistente em relação às medidas de cibersegurança e obrigações de notificação de violação, conforme evidenciado por esta decisão de 3 de setembro de 2026.
Título original: Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE
Decisão do comitê restrito da CNIL em 3 de setembro de 2026
- Quem isso vincula
- O Hôpital Privé de la Loire está legalmente vinculado à multa administrativa da CNIL sob o RGPD na França.
- O que mudou
- A decisão da CNIL esclareceu que os provedores de saúde devem implementar autenticação robusta para acesso externo e detecção de atividades suspeitas em tempo real, conforme detalhado na decisão de 3 de setembro de 2026.
- O que acompanhar
- As organizações devem revisar seus protocolos de autenticação para acesso externo e seus procedimentos de notificação de violação de dados, particularmente para terceiros cujos dados são comprometidos.
- O que isso não significa
- Esta decisão não significa que apenas hospitais estão sujeitos a rigorosos requisitos de segurança de dados e notificação de violação; todos os controladores de dados devem cumprir os Artigos 32 e 34 do RGPD.
Envie isto para sua equipe
A Autoridade Francesa de Proteção de Dados (CNIL) multou o Hôpital Privé de la Loire em EUR 500.000 por violações do RGPD relacionadas à segurança inadequada de dados e notificação de violação, afetando todas as organizações que lidam com dados pessoais sensíveis.