Französische CNIL verhängt Geldbuße von 500.000 EUR gegen Hôpital Privé de la Loire wegen Verstößen gegen Gesundheitsdaten
Bußgeld: EUR 500,000
Am 3. September 2026 verhängte die französische Datenschutzbehörde CNIL eine Geldbuße von 500.000 EUR gegen das Hôpital Privé de la Loire, weil es Patientendaten nicht ausreichend gesichert und nicht alle betroffenen Personen über eine Datenschutzverletzung informiert hatte. Die computergestützte Patientenakte des Krankenhauses wurde von einem Angreifer kompromittiert, wodurch Daten von 524.867 Patienten und 202.246 vertrauenswürdigen Dritten betroffen waren. Diese Entscheidung unterstreicht kritische Sicherheitslücken und Versäumnisse bei der Benachrichtigung gemäß der Datenschutz-Grundverordnung (DSGVO).
Die Untersuchung ergab, dass das Authentifizierungsverfahren für externe Benutzer der computergestützten Patientenakte weder ein virtuelles privates Netzwerk (VPN) noch eine Multi-Faktor-Authentifizierung umfasste, eine Schwachstelle, die der Angreifer ausnutzte. Darüber hinaus war die Berechtigungsrichtlinie des Krankenhauses unzureichend, da sie den Zugriff nicht auf der Grundlage von Behandlungsteams beschränkte, wodurch ein einziges Benutzerkonto auf alle Patientendaten zugreifen konnte.
Dem Krankenhaus fehlten auch Echtzeit- oder kurzfristige Erkennungsmechanismen für verdächtige Aktivitäten in seiner computergestützten Patientenakte, was es dem Angreifer ermöglichte, über mehrere Tage hinweg unentdeckt eine erhebliche Datenmenge zu erkunden und zu extrahieren. Die CNIL stellte auch einen Verstoß gegen Artikel 34 der DSGVO fest, da das Krankenhaus es versäumt hatte, 202.246 als vertrauenswürdige Dritte benannte Personen direkt über die Datenschutzverletzung zu informieren, obwohl auch deren personenbezogene Daten kompromittiert wurden. Bei der Festsetzung der Sanktionshöhe wurden das Fehlen wesentlicher Sicherheitsprinzipien, die Anzahl der betroffenen Personen, die sensible Natur der kompromittierten Daten und die finanzielle Leistungsfähigkeit des Krankenhauses berücksichtigt. Der eingeschränkte Ausschuss ordnete außerdem an, dass das Krankenhaus die Umsetzung der Sicherheitsmaßnahmen innerhalb von drei bis fünfzehn Monaten, je nach Art der Maßnahme, abschließen muss.
Gesundheitsorganisationen werden häufig wegen ihres Umgangs mit sensiblen Patientendaten genauestens geprüft, wie diese Geldbuße von 500.000 EUR zeigt.
Originaltitel: Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE
CNIL-Sanktionsentscheidung SAN 2026 009
- Wen das bindet
- Das Hôpital Privé de la Loire ist rechtlich an die Entscheidung der CNIL gemäß der Datenschutz-Grundverordnung (DSGVO) in Frankreich gebunden.
- Was sich geändert hat
- Das Hôpital Privé de la Loire muss die Umsetzung der Sicherheitsmaßnahmen innerhalb von drei bis fünfzehn Monaten abschließen, wie vom eingeschränkten Ausschuss der CNIL angeordnet.
- Was zu prüfen ist
- Organisationen sollten ihre Authentifizierungsverfahren für externe Benutzer und ihre Berechtigungsrichtlinien überprüfen, um sicherzustellen, dass sie den Anforderungen von Artikel 32 DSGVO entsprechen.
- Was das nicht bedeutet
- Diese Entscheidung bedeutet nicht, dass alle Datenschutzverletzungen automatisch zu einer Geldbuße von 500.000 EUR führen, da die CNIL spezifische Faktoren wie die Datensensibilität und die finanzielle Leistungsfähigkeit berücksichtigte.
An Ihr Team weiterleiten
Die französische CNIL verhängte eine Geldbuße von 500.000 EUR gegen das Hôpital Privé de la Loire wegen DSGVO-Sicherheits- und Benachrichtigungsverstößen und forderte das Krankenhaus auf, Sicherheitsverbesserungen innerhalb von fünfzehn Monaten umzusetzen.