Ausgabe

Dies ist eine dauerhafte Ausgabe. Sie enthält das Briefing genau so, wie es an diesem Tag veröffentlicht wurde, und ändert sich nicht.

CNIL verhängt Geldbuße von 500.000 EUR gegen Hôpital Privé de la Loire wegen Gesundheitsdaten-Verletzung

Bußgeld: EUR 500,000

Das Hôpital Privé de la Loire erhielt am 3. September 2026 eine Geldbuße von 500.000 EUR von der französischen Datenschutzbehörde (CNIL) wegen Verstößen gegen die DSGVO. Die Geldbuße folgte auf eine Datenschutzverletzung im Sommer 2025, bei der die Daten von 524.867 Patienten und 202.246 vertrauenswürdigen Dritten offengelegt wurden. Die CNIL stellte Mängel bei der Datensicherheit und den Verfahren zur Meldung von Datenschutzverletzungen fest.

Der eingeschränkte Ausschuss der CNIL stellte fest, dass das Hôpital Privé de la Loire gegen Artikel 32 DSGVO verstoßen hat, indem es keine angemessene Sicherheit für personenbezogene Daten gewährleistete. Dies umfasste ein unzureichend robustes Authentifizierungsverfahren für externe Nutzer der elektronischen Patientenakte (DPI), das keine virtuellen privaten Netzwerke (VPNs) und keine Multifaktor-Authentifizierungsmittel vorsah. Die Zugriffsrichtlinie des Krankenhauses wurde ebenfalls als unzureichend erachtet, da sie den Zugriff nicht auf der Grundlage von Pflegeteams beschränkte, wodurch die Anmeldeinformationen eines einzelnen Benutzerkontos den Zugriff auf alle Patientendaten ermöglichten. Darüber hinaus verfügte das Krankenhaus über keine Echtzeit-Erkennungsmaßnahmen für verdächtige Aktivitäten innerhalb der elektronischen Patientenakte, was es einem Angreifer ermöglichte, über mehrere Tage unentdeckt eine große Datenmenge zu erkunden und zu extrahieren.

Der eingeschränkte Ausschuss stellte auch einen Verstoß gegen Artikel 34 DSGVO fest, da das Krankenhaus die 202.246 als vertrauenswürdige Dritte benannten Personen nicht direkt über die Datenschutzverletzung informierte, obwohl auch deren personenbezogene Daten kompromittiert wurden. Die Höhe der Geldbuße berücksichtigte die mangelnde Kenntnis des Krankenhauses über wesentliche Sicherheitsprinzipien, die erhebliche Anzahl der betroffenen Personen, die sensible Natur der kompromittierten Gesundheitsdaten und seine finanziellen Kapazitäten.

Organisationen, die Gesundheitsdaten verarbeiten, unterliegen einer anhaltenden behördlichen Prüfung hinsichtlich Cybersicherheitsmaßnahmen und Meldepflichten bei Datenschutzverletzungen, wie diese Entscheidung vom 3. September 2026 zeigt.

Originaltitel: Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE

Entscheidung des eingeschränkten Ausschusses der CNIL vom 3. September 2026

Wen das bindet
Das Hôpital Privé de la Loire ist in Frankreich rechtlich an die Verwaltungsstrafe der CNIL gemäß der DSGVO gebunden.
Was sich geändert hat
Die Entscheidung der CNIL stellte klar, dass Gesundheitsdienstleister eine robuste Authentifizierung für den externen Zugriff und eine Echtzeit-Erkennung verdächtiger Aktivitäten implementieren müssen, wie im Urteil vom 3. September 2026 detailliert beschrieben.
Worauf zu achten ist
Organisationen sollten ihre Authentifizierungsprotokolle für den externen Zugriff und ihre Verfahren zur Meldung von Datenschutzverletzungen überprüfen, insbesondere für Dritte, deren Daten kompromittiert wurden.
Was das nicht bedeutet
Dieses Urteil bedeutet nicht, dass nur Krankenhäuser strengen Anforderungen an die Datensicherheit und die Meldung von Datenschutzverletzungen unterliegen; alle Verantwortlichen müssen die Artikel 32 und 34 DSGVO einhalten.

An Ihr Team weiterleiten

Die französische Datenschutzbehörde (CNIL) verhängte eine Geldbuße von 500.000 EUR gegen das Hôpital Privé de la Loire wegen Verstößen gegen die DSGVO im Zusammenhang mit unzureichender Datensicherheit und Meldung von Datenschutzverletzungen, was alle Organisationen betrifft, die sensible personenbezogene Daten verarbeiten.

Die Frage des Tages

Ein Krankenhaus in Frankreich wurde von der CNIL mit einer Geldstrafe belegt, weil es die Daten von über einer halben Million Patienten und über 200.000 vertrauenswürdigen Dritten nach einer Datenschutzverletzung nicht ausreichend geschützt hatte. Die Untersuchung ergab, dass die Authentifizierungsverfahren für den externen Zugriff unzureichend waren, keine VPNs oder Multifaktor-Authentifizierung verwendet wurden und die Zugriffskontrolle nicht auf Pflegeteams beschränkt war. Zudem fehlten Echtzeit-Erkennungsmaßnahmen für verdächtige Aktivitäten. Welche der folgenden Aussagen ist die wahrscheinlichste Schlussfolgerung aus diesem Vorfall?

  1. Organisationen müssen robuste technische und organisatorische Maßnahmen implementieren, um die Sicherheit personenbezogener Daten zu gewährleisten und Datenschutzverletzungen zu verhindern.
  2. Die Benachrichtigungspflicht bei Datenschutzverletzungen gilt nur für betroffene Personen, deren Daten direkt von der Organisation verarbeitet werden, nicht aber für Dritte.
  3. Krankenhäuser sind aufgrund der Sensibilität der verarbeiteten Daten von den strengsten Sicherheitsanforderungen der DSGVO ausgenommen.
  4. Die Höhe einer Geldstrafe für eine Datenschutzverletzung hängt ausschließlich von der Anzahl der betroffenen Personen ab und nicht von der Art der Daten.

Diese Frage auf der Website beantworten

Ebenfalls wissenswert

  1. OAIC-Überprüfung identifiziert Möglichkeiten zur Verbesserung der Transparenz in australischen Regierungsbehörden

    Australische Regierungsbehörden sollten ihre Transparenzpraktiken und Rahmenwerke für den Informationszugang im Lichte der OAIC-Ergebnisse überprüfen, um die Einhaltung zu gewährleisten und öffentliches Vertrauen aufzubauen.

  2. AP warnt 50 Organisationen wegen irreführender Cookie-Banner, droht mit Geldbußen

    Organisationen, die in den Niederlanden tätig sind, müssen sicherstellen, dass ihre Cookie-Banner den Nutzern klare, eindeutige Wahlmöglichkeiten bieten, da die AP die Einhaltung aktiv überwacht und bereit ist, Geldbußen für irreführende Praktiken zu verhängen.

  3. Central Maine Medical Center und Susan B. Allen Memorial Hospital einigen sich in Datenschutzverletzungs-Klagen

    US-Gesundheitsdienstleister sollten erkennen, dass selbst kleinere regionale Krankenhäuser wie das Central Maine Medical Center und das Susan B. Allen Memorial Hospital nach Datenschutzverletzungen mit Sammelklagen und Vergleichskosten konfrontiert sind.

An jenem Morgen aus Behörden, Gerichts und Aufsichtsquellen zusammengestellt. Primärquellen sind bei jeder Meldung verlinkt.