La Francia Da un Prezzo all'Assenza di MFA: 500.000 Euro

Dove è entrato davvero l'aggressore

Un aggressore ha raggiunto nell'estate 2025 il sistema di Cartella Clinica Informatizzata dell'Hôpital Privé de la Loire usando credenziali di accesso remoto poco protette; la struttura non aveva attivato né una VPN né l'autenticazione a più fattori per proteggere quel punto di accesso, secondo l'indagine della CNIL. Una volta dentro, un solo insieme di credenziali poteva raggiungere la cartella completa di ogni paziente nel sistema, senza alcuna segmentazione per reparto, équipe curante o reale necessità di accesso.

Nulla ha segnalato il volume insolito di cartelle estratte nei giorni successivi, cosicché l'estrazione è proseguita indisturbata fino al suo completamento. La decisione della CNIL considera questa assenza di rilevamento in tempo reale un'infrazione a sé stante, non una semplice nota a margine della mancanza di VPN e MFA.

La multa non è la notizia; lo standard sì

La sanzione di 500.000 euro, annunciata il 3 settembre 2026, appare modesta accanto alle multe GDPR inflitte alle grandi piattaforme tecnologiche, ma il ragionamento pesa più della cifra. Il regolatore non ha dovuto dimostrare che la sicurezza dell'ospedale resistesse a un aggressore sofisticato; gli è bastato mostrare che mancavano due controlli precisi e ben documentati. È una soglia molto più bassa per sanzionare, ed è esattamente la soglia che la CNIL applica ormai a qualsiasi organizzazione che gestisca dati sanitari tramite connessione remota.

Per un gruppo di cliniche private delle dimensioni di Ramsay Santé, 500.000 euro sono un arrotondamento. Per una clinica più piccola, uno studio dentistico o un fornitore di sanità digitale con la stessa configurazione, lo stesso rilievo, VPN e MFA assenti sull'accesso remoto ai dati sanitari, attiverebbe la stessa logica sanzionatoria contro un bilancio ben meno tollerante. In Italia sarebbe il Garante per la protezione dei dati personali, con lo stesso criterio, ad applicare questa logica a un caso equivalente.

I numeri che la CNIL ha messo agli atti

Tre cifre della decisione offrono a qualsiasi titolare del trattamento un riferimento approssimativo della propria esposizione.

Meno di un euro per cartella non è una cifra pubblicata direttamente dalla CNIL, è una semplice divisione, ma è il numero che un consiglio d'amministrazione chiede davvero non appena un rapporto sull'incidente arriva sul tavolo.

La lacuna di cui ancora nessuno parla

La decisione della CNIL conferma che l'Hôpital Privé de la Loire ha notificato i 524.867 pazienti le cui cartelle sono state compromesse, ma non le 202.246 persone registrate nel sistema solo come terzi collegati, medici curanti, contatti di emergenza o garanti, i cui dati personali si trovavano nello stesso database esposto.

L'obbligo di notifica del GDPR riguarda ogni interessato esposto a un rischio significativo, non solo la persona a cui la cartella è formalmente intestata. Se l'inclusione di un terzo in una cartella sanitaria senza notifica diretta resista a una futura contestazione è una domanda che questa decisione lascia aperta, ed è esattamente il tipo di lacuna che un reclamo determinato o un controllo successivo della CNIL potrebbe riaprire.

Cosa cambia per chi gestisce accesso remoto a dati sanitari

Tre cambiamenti pratici discendono direttamente da questa decisione per una clinica, un gruppo ospedaliero o un fornitore di sanità digitale in qualsiasi parte dell'UE: trattare VPN e MFA sull'accesso remoto come standard minimo di conformità e non come una voce di budget rinviabile, ripartire l'accesso alle cartelle per ruolo cosicché nessuna singola credenziale possa raggiungere l'intera popolazione di pazienti, e aggiungere avvisi in tempo reale sui volumi di dati insoliti estratti da un solo account.

Un quarto cambiamento, meno evidente: verificare quali altri dati vivono dentro una cartella paziente, medici curanti, contatti di emergenza, garanti, e confermare che l'elenco di notifica dell'organizzazione in caso di violazione li raggiunga davvero tutti, non solo il paziente il cui nome compare sulla cartella.

Servola Journal

Lo facciamo per tutti quelli che cercano di stare al passo con ciò che la tecnologia sta facendo alle nostre vite. Le persone che la costruiscono, e le persone a cui capita. Il Servola Journal esiste perché ciò che impariamo appartenga a tutti loro.

Nessuno ci paga per questo. Niente pubblicità, nessun muro a pagamento, gratis per tutti. Crediamo semplicemente che capire ciò che sta succedendo a tutti noi non debba dipendere da chi può permettersi di pagarlo.

Se oggi ti ha dato qualcosa, dicci di continuare. Seguici, lascia un like, o scrivi un commento positivo. Li leggiamo tutti, e sono ciò che ci fa andare avanti.

Da leggere ora: Se La Tua Azienda Fallisce, Le Email Si Vendono  |  Secondo patch LED, obiezione CNIL senza risposta