Hôpital Privé de la Loire: dossier sanitario violato in un attacco informatico
- Paese
- Francia
- Autorità
- CNIL
- Soggetto
- Hôpital Privé de la Loire
- Settore
- Sanità
- Notizia dell'EDPB
- 9 settembre 2026
- Misure decise
-
- Sanzione pecuniaria
Sintesi della decisione
Un attaccante è riuscito ad accedere al Dossier Sanitario Elettronico dell'ospedale, che centralizza i dati di chi è in cura, ottenendo i dati di pazienti e di persone indicate come terze fiduciarie. L'autorità francese CNIL ha riscontrato violazioni dell'articolo 32 del GDPR, per autenticazione non sufficientemente robusta, controllo degli accessi inadeguato e assenza di rilevazione tempestiva delle attività sospette, e dell'articolo 34 del GDPR, perché le persone terze fiduciarie non sono state informate direttamente della violazione. Il comitato ristretto ha disposto una sanzione amministrativa pecuniaria.
Per un DPO italiano, il caso ricorda che l'accesso remoto ai dati sanitari va protetto con autenticazione a più fattori e che il controllo degli accessi deve seguire la cerchia di cura reale, oltre a dover prevedere un monitoraggio in tempo reale delle attività anomale.
Casi simili in Italia
- SanzioneAzienda Sanitaria Locale di Matera
Anche in questo caso una struttura sanitaria ha subito un attacco informatico con esfiltrazione di dati personali, con contestazione di misure tecniche inadeguate a rilevare tempestivamente la violazione.
- SanzioneA.O.R.N. Azienda ospedaliera dei colli
Il provvedimento riguarda un dossier sanitario con controlli di accesso insufficienti e visibilità eccessiva dei dati sanitari, profili collegati alle carenze sulla gestione degli accessi emerse nel caso francese.
- SanzioneAzienda USL Modena
Riguarda un'azienda sanitaria sanzionata per carenze nella sicurezza dei dati e nella prevenzione e rilevazione delle violazioni, aspetti centrali anche nel caso dell'ospedale francese.
Fonti
- Notizia del Comitato europeo per la protezione dei dati (EDPB) ↗ “Health data breach: the CNIL fined Hôpital Privé de la Loire EUR 500 000”, in inglese
AISintesi generata con intelligenza artificiale e rivista prima della pubblicazione
Questa è una sintesi indipendente in italiano della notizia pubblicata dall'EDPB, non una traduzione ufficiale né un documento dell'autorità che ha deciso. Per il testo autentico fa fede la decisione originale. Progetto indipendente, non affiliato al Garante né all'EDPB.