Francja Wycenia Brak MFA na 500 000 Euro

W co naprawdę wszedł atakujący

Latem 2025 roku atakujący uzyskał dostęp do systemu elektronicznej dokumentacji pacjenta Hôpital Privé de la Loire, wykorzystując słabo zabezpieczone dane do zdalnego logowania; placówka nie wdrożyła ani VPN, ani uwierzytelniania wieloskładnikowego, aby chronić ten punkt dostępu, jak wykazało dochodzenie CNIL. Po wejściu do systemu jeden zestaw danych logowania pozwalał dotrzeć do pełnej dokumentacji każdego pacjenta, bez podziału według oddziału, zespołu opiekującego się pacjentem czy rzeczywistej potrzeby dostępu.

Nic nie zasygnalizowało nietypowej liczby rekordów pobieranych w kolejnych dniach, więc wyciąganie danych przebiegało niewykryte, dopóki nie zostało już zakończone. Decyzja CNIL traktuje ten brak wykrywania w czasie rzeczywistym jako odrębne naruszenie, a nie dopisek do braku VPN i MFA.

Kara nie jest wiadomością; standard nią jest

Sankcja w wysokości 500 000 euro, ogłoszona 3 września 2026 roku, wygląda skromnie w porównaniu z karami RODO nakładanymi na wielkie platformy technologiczne, ale uzasadnienie waży więcej niż kwota. Organ nadzorczy nie musiał wykazać, że zabezpieczenia szpitala wytrzymałyby wyrafinowanego atakującego; wystarczyło pokazać, że brakowało dwóch konkretnych, dobrze udokumentowanych zabezpieczeń. To znacznie niższy próg dla sankcji, i to właśnie ten próg CNIL stosuje teraz wobec każdej organizacji przechowującej dane zdrowotne dostępne przez połączenie zdalne.

Dla prywatnej grupy klinik wielkości Ramsay Santé 500 000 euro to błąd zaokrąglenia. Dla mniejszej kliniki, gabinetu stomatologicznego czy dostawcy technologii zdrowotnych z taką samą konfiguracją, to samo ustalenie, brak VPN i MFA przy zdalnym dostępie do danych zdrowotnych, uruchomiłoby dokładnie tę samą logikę sankcji wobec dużo mniej wyrozumiałego bilansu. W Polsce byłby to Urząd Ochrony Danych Osobowych, który tą samą miarą oceniałby porównywalny przypadek.

Liczby, które CNIL zapisał w decyzji

Trzy liczby z decyzji dają każdemu administratorowi danych przybliżony punkt odniesienia dla własnej ekspozycji.

Poniżej jednego euro na rekord to nie liczba opublikowana wprost przez CNIL, to zwykłe dzielenie, ale to właśnie ta liczba, o którą zarząd w praktyce pyta, gdy raport o incydencie trafia na stół.

Luka, o której jeszcze nikt nie mówi

Decyzja CNIL potwierdza, że Hôpital Privé de la Loire powiadomił 524 867 pacjentów, których dokumentacja została naruszona, ale nie 202 246 osób zarejestrowanych w systemie wyłącznie jako powiązane osoby trzecie, takich jak kierujący lekarze, kontakty alarmowe czy poręczyciele, których dane osobowe znajdowały się w tej samej ujawnionej bazie.

Obowiązek powiadomienia z RODO dotyczy każdej osoby, której dotyczy istotne ryzyko, nie tylko tej, na której nazwisko formalnie prowadzona jest dokumentacja. Czy uwzględnienie osoby trzeciej w dokumentacji zdrowotnej bez bezpośredniego powiadomienia wytrzyma przyszłe zaskarżenie, to pytanie, które ta decyzja pozostawia otwarte, i jest to dokładnie ten rodzaj luki, który zdeterminowana skarga lub późniejsza kontrola CNIL mogłaby ponownie otworzyć.

Co to zmienia dla każdego, kto obsługuje zdalny dostęp do danych zdrowotnych

Z tej decyzji wynikają wprost trzy praktyczne zmiany dla kliniki, grupy szpitalnej czy dostawcy technologii zdrowotnych gdziekolwiek w UE: traktować VPN i MFA przy zdalnym dostępie jako minimum zgodności, a nie pozycję budżetową do odłożenia, dzielić dostęp do dokumentacji według roli, tak aby żadne pojedyncze logowanie nie mogło objąć całej populacji pacjentów, oraz dodać alerty w czasie rzeczywistym dla nietypowych wolumenów danych pobieranych z jednego konta.

Czwarta, mniej oczywista zmiana: sprawdzić, czyje jeszcze dane znajdują się wewnątrz dokumentacji pacjenta, kierujący lekarze, kontakty alarmowe, poręczyciele, i potwierdzić, że lista powiadomień organizacji na wypadek naruszenia rzeczywiście dociera do nich wszystkich, a nie tylko do pacjenta, którego nazwisko widnieje na dokumentacji.

Servola Journal

Robimy to dla wszystkich, którzy starają się nadążyć za tym, co technologia robi z naszym życiem. Dla ludzi, którzy ją budują, i dla ludzi, którym się to przydarza. Servola Journal istnieje, aby to, czego się uczymy, należało do nich wszystkich.

Nikt nam za to nie płaci. Żadnych reklam, żadnego muru płatności, za darmo dla wszystkich. Po prostu wierzymy, że zrozumienie tego, co dzieje się z nami wszystkimi, nie powinno zależeć od tego, kogo stać na zapłacenie za to.

Jeśli to dało ci dziś coś, powiedz nam, żebyśmy kontynuowali. Obserwuj nas, zostaw polubienie, albo napisz pozytywny komentarz. Czytamy każdy jeden, i to oni sprawiają, że działamy dalej.

Czytaj dalej: Gdy Twoja Firma Upada, Twoje Maile Trafiają Na Sprzedaż  |  Druga poprawka LED, ten sam zarzut CNIL bez odpowiedzi