Frankrijk Beprijst Ontbrekende MFA op 500.000 Euro

Waar de aanvaller daadwerkelijk binnenkwam

Een aanvaller bereikte in de zomer van 2025 het systeem voor het geautomatiseerde patiëntendossier van het Hôpital Privé de la Loire via zwak beveiligde toegang op afstand; de instelling had voor dat toegangspunt geen VPN en geen multifactorauthenticatie ingezet, zo bleek uit het onderzoek van de CNIL. Eenmaal binnen kon één enkele set inloggegevens het volledige dossier van elke patiënt in het systeem bereiken, zonder scheiding naar afdeling, zorgteam of noodzaak tot inzage.

Niets sloeg alarm bij het ongebruikelijke volume aan dossiers dat in de dagen erna werd opgehaald, waardoor de extractie onopgemerkt bleef tot ze al voltooid was. De beslissing van de CNIL behandelt dat ontbreken van realtime detectie als een eigen, apart geconstateerd gebrek, niet als een voetnoot bij de ontbrekende VPN en MFA.

De boete is niet het nieuws; de norm is dat wel

De boete van 500.000 euro, aangekondigd op 3 september 2026, oogt bescheiden naast de AVG-boetes die aan grote techplatforms zijn opgelegd, maar de redenering weegt zwaarder dan het bedrag. De toezichthouder hoefde niet aan te tonen dat de beveiliging van het ziekenhuis bestand was tegen een geavanceerde aanvaller; het volstond te bewijzen dat twee specifieke, goed gedocumenteerde controles ontbraken. Dat is een veel lagere drempel voor handhaving, en het is precies de drempel die de CNIL nu hanteert voor elke organisatie die gezondheidsgegevens via een externe verbinding beschikbaar houdt.

Voor een privékliniekgroep ter grootte van Ramsay Santé is 500.000 euro een afrondingsfout. Voor een kleinere kliniek, een tandartspraktijk of een health-techleverancier met dezelfde opzet zou dezelfde bevinding, ontbrekende VPN en MFA bij toegang op afstand tot gezondheidsgegevens, dezelfde handhavingslogica in werking zetten tegen een veel minder vergevingsgezinde balans. In Nederland zou de Autoriteit Persoonsgegevens met precies dezelfde maatstaf naar een vergelijkbaar geval kijken.

De cijfers die de CNIL vastlegde

Drie cijfers uit de beslissing geven elke verwerkingsverantwoordelijke een ruwe maatstaf voor de eigen blootstelling.

Minder dan een euro per dossier is geen cijfer dat de CNIL zelf publiceert, het is eenvoudige deling, maar het is het getal waar een bestuur in de praktijk om vraagt zodra een incidentrapport op tafel ligt.

Het hiaat waar nog niemand het over heeft

De beslissing van de CNIL bevestigt dat het Hôpital Privé de la Loire de 524.867 patiënten heeft ingelicht van wie de dossiers waren gecompromitteerd, maar niet de 202.246 personen die in het systeem alleen als gekoppelde derden staan geregistreerd, zoals doorverwijzende artsen, noodcontacten of borgen, van wie de persoonsgegevens in dezelfde blootgestelde database stonden.

De AVG-meldplicht geldt voor elke betrokkene met een aanzienlijk risico, niet alleen voor degene op wiens naam het dossier formeel staat. Of het opnemen van een derde in een gezondheidsdossier zonder rechtstreekse melding een toekomstige toets doorstaat, laat deze beslissing open, en dat is precies het soort hiaat dat een vasthoudende klacht of een vervolgonderzoek van de CNIL opnieuw kan openen.

Wat dit verandert voor wie toegang op afstand tot gezondheidsgegevens beheert

Drie praktische veranderingen volgen rechtstreeks uit deze beslissing voor een kliniek, een ziekenhuisgroep of een health-techleverancier waar dan ook in de EU: VPN en MFA bij toegang op afstand behandelen als een compliance-minimum in plaats van een uit te stellen begrotingspost, dossiertoegang verdelen per rol zodat geen enkele inlog de hele patiëntenpopulatie kan bereiken, en realtime meldingen toevoegen bij ongebruikelijke datavolumes die vanuit één account worden opgehaald.

Een vierde, minder voor de hand liggende verandering: nagaan wiens gegevens nog meer in een patiëntendossier zitten, doorverwijzende artsen, noodcontacten, borgen, en bevestigen dat de meldingslijst van de organisatie bij een datalek hen allemaal daadwerkelijk bereikt, niet alleen de patiënt op wiens naam het dossier staat.

Servola Journal

We doen dit voor iedereen die probeert bij te blijven met wat technologie met ons leven doet. De mensen die het bouwen, en de mensen die het overkomt. Servola Journal bestaat zodat wat we leren van hen allemaal is.

Niemand betaalt ons hiervoor. Geen advertenties, geen betaalmuur, gratis voor iedereen. We geloven gewoon dat begrijpen wat er met ons allemaal gebeurt niet zou moeten afhangen van wie het zich kan veroorloven ervoor te betalen.

Als dit je vandaag iets heeft gegeven, zeg ons dan om door te gaan. Volg ons, laat een like achter, of schrijf een positieve reactie. We lezen ze allemaal, en ze zijn wat ons op de been houdt.

Lees hierna: Faalt Uw Bedrijf, Dan Worden Uw E-Mails Verkocht  |  Tweede LED-patch, zelfde onbeantwoorde bezwaar van CNIL