Frankrike Prissätter Utebliven MFA till 500 000 Euro

Vad en angripare egentligen klev rakt in i

En angripare nådde sommaren 2025 in i Hôpital Privé de la Loires system för den datoriserade patientjournalen via svagt skyddade fjärråtkomstuppgifter; inrättningen hade varken infört VPN eller flerfaktorsautentisering för att skydda den ingången, visade CNIL:s utredning. Väl inne kunde en enda uppsättning inloggningsuppgifter nå den fullständiga journalen för varje patient i systemet, utan uppdelning efter avdelning, vårdteam eller faktiskt behov av åtkomst.

Inget slog larm vid den ovanliga mängden journaler som hämtades ut under de följande dagarna, så uttaget pågick oupptäckt tills det redan var slutfört. CNIL:s beslut behandlar avsaknaden av realtidsdetektering som ett eget, separat konstaterat fel, inte som en fotnot till de saknade VPN och MFA.

Boten är inte nyheten; standarden är det

Sanktionen på 500 000 euro, tillkännagiven 3 september 2026, framstår som blygsam jämfört med de GDPR-böter som utdömts mot stora teknikplattformar, men resonemanget väger tyngre än beloppet. Tillsynsmyndigheten behövde inte visa att sjukhusets säkerhet stod emot en avancerad angripare; det räckte att visa att två konkreta, väldokumenterade kontroller saknades. Det är en betydligt lägre tröskel för sanktion, och det är precis den tröskel som CNIL nu tillämpar på varje organisation som håller hälsodata tillgängliga via fjärranslutning.

För en privat klinikkoncern i Ramsay Santés storlek är 500 000 euro ett avrundningsfel. För en mindre klinik, en tandläkarmottagning eller en hälsoteknikleverantör med samma upplägg skulle samma fynd, saknad VPN och MFA vid fjärråtkomst till hälsodata, utlösa exakt samma sanktionslogik mot en betydligt mindre förlåtande balansräkning. I Sverige skulle det vara Integritetsskyddsmyndigheten som med samma måttstock bedömde ett liknande fall.

Siffrorna som CNIL satte på pränt

Tre siffror från beslutet ger varje personuppgiftsansvarig ett grovt riktmärke för sin egen exponering.

Under en euro per journal är ingen siffra som CNIL själv publicerat, det är enkel division, men det är den siffra en styrelse i praktiken efterfrågar så fort en incidentrapport hamnar på bordet.

Luckan som ännu ingen talar om

CNIL:s beslut bekräftar att Hôpital Privé de la Loire underrättade de 524 867 patienter vars journaler komprometterades, men inte de 202 246 personer som i systemet bara var registrerade som kopplade tredje parter, till exempel remitterande läkare, nödkontakter eller borgensmän, vars personuppgifter fanns i samma exponerade databas.

GDPR:s underrättelseplikt gäller varje registrerad som utsätts för en betydande risk, inte bara den person journalen formellt gäller. Om det håller att inkludera en tredje part i en hälsojournal utan direkt underrättelse vid en framtida prövning är en fråga detta beslut lämnar öppen, och det är precis den typ av lucka ett beslutsamt klagomål eller en uppföljande CNIL-granskning skulle kunna öppna igen.

Vad detta förändrar för den som driver fjärråtkomst till hälsodata

Tre praktiska förändringar följer direkt av detta beslut för en klinik, en sjukhuskoncern eller en hälsoteknikleverantör var som helst i EU: behandla VPN och MFA vid fjärråtkomst som en efterlevnadsgräns snarare än en budgetpost som kan skjutas upp, dela upp journalåtkomst efter roll så att ingen enskild inloggning kan nå hela patientpopulationen, och lägg till realtidslarm för ovanliga datavolymer som hämtas från ett enda konto.

En fjärde, mindre uppenbar förändring: granska vems övriga uppgifter som finns inuti en patientjournal, remitterande läkare, nödkontakter, borgensmän, och bekräfta att organisationens underrättelselista vid ett intrång verkligen når dem alla, inte bara patienten vars namn står på journalen.

Läs vidare: New Mexico tackade nej till Metas förlikning. Nu finns en dom  |  OpenAIs filter gör inte dina chattar anonyma