法国医院因泄露 72.7 万人数据被罚款 50 万欧元

法国数据保护机构（CNIL）因 Hôpital privé de la Loire 未能充分保护患者及其亲属的数据，对其处以 50 万欧元（约 58 万美元）的罚款。
这家法国机构表示，安全漏洞导致了 2025 年夏季的一起数据泄露事件，暴露了 524,867 名患者和另外 202,246 名被指定为可信第三方的个人的敏感数据。
Hôpital privé de la Loire (HPL) 是圣艾蒂安的一家综合医院，隶属于 Ramsay Santé 医疗保健集团，提供医疗、外科、产科、癌症、重症监护和急诊服务。
该医院拥有 650 名员工，包括 180 名医生，在五个临床科室设有 333 张床位，据报告每年接诊 6 万名患者。
去年，一名攻击者访问了该医院的电子患者记录系统，并提取了超过 72.7 万人的敏感数据，这些人都曾在 HPL 接受过护理、陪同患者前往医院或以某种方式提供过帮助。
事件发生后，CNIL 进行了调查，发现医院在履行《通用数据保护条例》（GDPR）规定的义务方面存在多项违规行为。
CNIL 调查发现的一些不足之处包括：
外部用户（包括私人执业医生）可以在没有 VPN 或多因素认证的情况下访问系统。
不充分的访问控制允许被入侵的账户访问所有医院患者的记录。
医院缺乏实时或近实时监控和警报，使攻击者能够在数天内探索系统并提取大量数据而未被发现。
医院通知了受影响的患者，但未直接通知数据也被盗的 202,246 名可信第三方。
上述违规行为涉及 GDPR 的第 32 条和第 34 条。委员会还指出，HPL 在诉讼过程中采取了多项安全强化措施。
一名使用化名"Marak"的少年黑客宣称对此负责，当时通过 Telegram 联系了法国媒体 Le Progrès，并表示攻击始于一名医生账户的入侵，这使得他能够访问 HPL 的整个内部系统。
该黑客试图以 2,000 至 5,000 欧元的价格将窃取的数据出售给单一买家，不过后来有报道称这些数据既未被出售也未公开。