Francia le Pone Precio a la Falta de MFA: 500.000 Euros

Lo que un atacante realmente encontró abierto

Un atacante alcanzó en el verano de 2025 el sistema de Historial Clínico Informatizado del Hôpital Privé de la Loire usando credenciales de acceso remoto débiles; el centro no había desplegado ni VPN ni autenticación multifactor para proteger ese punto de entrada, según la investigación de la CNIL. Una vez dentro, un único conjunto de credenciales podía acceder al historial completo de cualquier paciente del sistema, sin segmentación por servicio, equipo asistencial o necesidad de conocer.

Nada alertó sobre el volumen inusual de registros extraídos durante los días siguientes, de modo que la extracción se completó sin ser detectada. La resolución de la CNIL trata esa ausencia de detección en tiempo real como un hallazgo propio, no como una nota al pie de la falta de VPN y MFA.

La multa no es la noticia; el estándar sí lo es

La sanción de 500.000 euros, anunciada el 3 de septiembre de 2026, resulta modesta junto a las multas del RGPD impuestas a grandes plataformas tecnológicas, pero el razonamiento pesa más que la cifra. El regulador no necesitó demostrar que la seguridad del hospital resistiera a un atacante sofisticado; le bastó con mostrar que faltaban dos controles concretos y bien documentados. Ese es un listón mucho más bajo para sancionar, y es el listón que la CNIL aplica ya a cualquier organización que mantenga datos de salud accesibles por conexión remota.

Para un grupo hospitalario privado del tamaño de Ramsay Santé, 500.000 euros son un error de redondeo. Para una clínica más pequeña, una consulta dental o un proveedor de salud digital con la misma configuración, el mismo hallazgo, VPN y MFA ausentes en el acceso remoto a datos de salud, activaría la misma lógica sancionadora contra un balance mucho menos indulgente. En España sería la AEPD, con el mismo criterio, quien aplicaría esta lógica ante un caso equivalente.

Las cifras que la CNIL dejó por escrito

Tres cifras de la resolución dan a cualquier responsable de tratamiento una referencia aproximada de su propia exposición.

Menos de un euro por registro no es una cifra que publique la propia CNIL, es una división sencilla, pero es la cifra que un consejo de administración pide en la práctica en cuanto un informe de incidente llega a la mesa.

La brecha de la que todavía nadie habla

La resolución de la CNIL confirma que el Hôpital Privé de la Loire notificó a los 524.867 pacientes cuyos historiales quedaron comprometidos, pero no a las 202.246 personas registradas en el sistema solo como terceros asociados, como médicos derivantes, contactos de emergencia o avalistas, cuyos datos personales estaban en la misma base expuesta.

El deber de notificación del RGPD alcanza a toda persona interesada con riesgo significativo, no solo a aquella a cuyo nombre figura formalmente el historial. Si la inclusión de un tercero en un historial de salud sin notificación directa resiste una futura impugnación es una cuestión que esta resolución deja abierta, y es exactamente el tipo de brecha que una reclamación decidida o una inspección posterior de la CNIL podría reabrir.

Lo que esto cambia para quien gestiona acceso remoto a datos de salud

Tres cambios prácticos se derivan directamente de esta resolución para cualquier clínica, grupo hospitalario o proveedor de salud digital en la UE: tratar VPN y MFA en el acceso remoto como un mínimo de cumplimiento y no como una partida presupuestaria aplazable, repartir el acceso a los historiales por rol para que ninguna credencial única alcance a toda la población de pacientes, y añadir alertas en tiempo real ante volúmenes de datos inusuales extraídos desde una sola cuenta.

Un cuarto cambio, menos obvio: auditar qué otros datos viven dentro de un historial de paciente, médicos derivantes, contactos de emergencia, avalistas, y confirmar que la lista de notificación de la organización ante una violación los alcanza realmente a todos, no solo al paciente cuyo nombre figura en el expediente.

Servola Journal

Hacemos esto por todos los que intentan mantenerse al día con lo que la tecnología le está haciendo a nuestras vidas. Las personas que la construyen, y las personas a las que les ocurre. Servola Journal existe para que lo que aprendemos pertenezca a todos ellos.

Nadie nos paga por esto. Sin anuncios, sin muro de pago, gratis para todos. Simplemente creemos que entender lo que nos está pasando a todos no debería depender de quién pueda permitirse pagar por ello.

Si esto te dio algo hoy, dinos que sigamos adelante. Síguenos, deja un me gusta, o escribe un comentario positivo. Leemos cada uno, y son lo que nos mantiene en marcha.

Leer a continuación: Si Su Empresa Quiebra, Sus Correos Se Venden  |  Segundo parche del LED, objeción de CNIL sin responder