A França Põe Preço na Falta de MFA: 500.000 Euros

Aquilo em que um atacante entrou de facto

Um atacante chegou no verão de 2025 ao sistema de Processo Clínico Informatizado do Hôpital Privé de la Loire usando credenciais de acesso remoto pouco protegidas; a instituição não tinha implementado VPN nem autenticação multifator para proteger esse ponto de entrada, revelou a investigação da CNIL. Uma vez dentro, um único conjunto de credenciais conseguia aceder ao processo completo de qualquer doente no sistema, sem segmentação por serviço, equipa clínica ou necessidade real de acesso.

Nada assinalou o volume invulgar de registos extraídos nos dias seguintes, pelo que a extração decorreu sem ser detetada até estar concluída. A decisão da CNIL trata essa ausência de deteção em tempo real como uma falha autónoma, não como uma nota de rodapé à falta de VPN e MFA.

A coima não é a notícia; o padrão é

A sanção de 500.000 euros, anunciada a 3 de setembro de 2026, parece modesta ao lado das coimas do RGPD aplicadas a grandes plataformas tecnológicas, mas o raciocínio pesa mais do que o valor. A entidade reguladora não precisou de provar que a segurança do hospital resistia a um atacante sofisticado; bastou-lhe demonstrar que faltavam dois controlos concretos e bem documentados. É uma fasquia muito mais baixa para uma sanção, e é exatamente essa fasquia que a CNIL aplica agora a qualquer organização que mantenha dados de saúde acessíveis por ligação remota.

Para um grupo de clínicas privadas do tamanho da Ramsay Santé, 500.000 euros são um erro de arredondamento. Para uma clínica mais pequena, um consultório dentário ou um fornecedor de saúde digital com a mesma configuração, a mesma conclusão, VPN e MFA ausentes no acesso remoto a dados de saúde, desencadearia a mesma lógica de sanção contra um balanço muito menos tolerante. Em Portugal seria a CNPD, com o mesmo critério, a aplicar esta lógica a um caso equivalente.

Os números que a CNIL deixou registados

Três números da decisão dão a qualquer responsável pelo tratamento um referencial aproximado da própria exposição.

Menos de um euro por registo não é um número publicado diretamente pela CNIL, é uma simples divisão, mas é o número que uma administração pede na prática assim que um relatório de incidente chega à mesa.

A falha de que ainda ninguém fala

A decisão da CNIL confirma que o Hôpital Privé de la Loire notificou os 524.867 doentes cujos processos foram comprometidos, mas não as 202.246 pessoas registadas no sistema apenas como terceiros associados, como médicos referenciadores, contactos de emergência ou fiadores, cujos dados pessoais estavam na mesma base exposta.

O dever de notificação do RGPD abrange qualquer titular exposto a um risco significativo, não apenas a pessoa em cujo nome o processo está formalmente registado. Se a inclusão de um terceiro num processo de saúde sem notificação direta resiste a uma futura contestação é uma questão que esta decisão deixa em aberto, e é exatamente o tipo de falha que uma reclamação persistente ou uma fiscalização posterior da CNIL poderia reabrir.

O que isto muda para quem gere acesso remoto a dados de saúde

Três mudanças práticas decorrem diretamente desta decisão para uma clínica, um grupo hospitalar ou um fornecedor de saúde digital em qualquer ponto da UE: tratar VPN e MFA no acesso remoto como um patamar de conformidade e não como uma rubrica orçamental adiável, repartir o acesso aos processos por função para que nenhuma credencial única alcance toda a população de doentes, e acrescentar alertas em tempo real para volumes de dados invulgares extraídos de uma única conta.

Uma quarta mudança, menos óbvia: verificar que outros dados vivem dentro de um processo de doente, médicos referenciadores, contactos de emergência, fiadores, e confirmar que a lista de notificação da organização em caso de violação os alcança de facto a todos, não apenas ao doente cujo nome consta do processo.

Servola Journal

Fazemos isto por todos os que tentam acompanhar o que a tecnologia está a fazer às nossas vidas. As pessoas que a constroem, e as pessoas a quem acontece. O Servola Journal existe para que o que aprendemos pertença a todos eles.

Ninguém nos paga por isto. Sem anúncios, sem barreira de pagamento, grátis para todos. Acreditamos simplesmente que compreender o que está a acontecer a todos nós não deveria depender de quem pode pagar por isso.

Se isto lhe deu algo hoje, diga-nos para continuarmos. Siga-nos, deixe um like, ou escreva um comentário positivo. Lemos cada um deles, e são eles que nos fazem continuar.

Leia a seguir: Se A Sua Empresa Falir, Os Seus Emails Vendem-Se  |  Segunda correção do LED, objeção do CNIL sem resposta