Qué ha ocurrido
Entre junio y julio de 2025 un atacante usó las credenciales comprometidas de un médico para entrar en la historia clínica electrónica del Hôpital privé de la Loire. En cinco días extrajo los datos de 524 867 pacientes, datos de salud incluidos para una parte de ellos, y de 202 246 personas designadas como persona de confianza: más de setecientas mil personas en total. El 3 de septiembre de 2026 la CNIL impuso una multa de 500 000 euros por incumplimiento del deber de seguridad.
La cifra que hay que mirar no es quinientos mil euros, y tampoco setecientas mil personas. Es setenta y tres: historiales extraídos cada minuto, durante cinco días seguidos, sin que saltara una sola alerta. Un ritmo así no se parece a nada que un ser humano produzca trabajando, y un sistema que no lo distingue del trabajo normal no es un sistema vigilado.
- La entrada se hizo con credenciales legítimas de un médico, comprometidas en otro sitio: desde el punto de vista del sistema era un acceso autorizado.
- En la historia clínica no estaba activa la autenticación multifactor, que habría hecho inútiles esas credenciales por sí solas.
- No existía ninguna herramienta capaz de detectar actividad anómala: ni umbrales, ni avisos, ni registros que alguien leyera.
- La CNIL impuso la revisión de las autorizaciones de acceso en quince meses y un registro eficaz de los accesos en tres, con una multa coercitiva de 1 000 euros por cada día de retraso.
Las dos órdenes muestran cómo leyó el caso la autoridad. Tres meses para los registros, quince para las autorizaciones: los plazos distintos no son una concesión, son una prioridad. Revisar quién puede ver qué en un hospital es un trabajo largo y hay que hacerlo bien; darse cuenta de que alguien está descargando el archivo es algo que se debe poder hacer ya.
La pregunta que llevar al cliente el lunes
No «¿estamos protegidos?», que no tiene respuesta. La pregunta es: si alguien entrara esta noche con las credenciales de uno de vuestros empleados y empezara a descargar el archivo, cuánto tiempo pasaría hasta que alguien se diera cuenta — y quién sería ese alguien, con nombre y apellido. Si la respuesta es «lo veríamos en los registros», la segunda pregunta es cuándo los miró por última vez. Un registro que nadie lee es prueba a posteriori, no una medida de seguridad.
El art. 32 exige medidas adecuadas al riesgo, y en un archivo sanitario el riesgo no es solo que alguien entre: es que se quede dentro sin ser visto. La prevención tiene un límite conocido — las credenciales se roban, y estas se habían robado en otro sitio — mientras que la detección es lo único que trabaja después de que la prevención ya ha fallado. Es la parte que en los presupuestos siempre llega segunda, y es la que la CNIL ha medido.
Fuente oficial:CNIL — Violación de datos de salud: sanción de 500 000 euros al Hôpital privé de la Loire (03/09/2026)Fuente oficial:CNIL — Health data breach: EUR 500,000 fine against Hôpital privé de la Loire¿Buscas una herramienta para tu trabajo de DPD?
DPO Workspace está creado por un DPD certificado. 30 días de prueba gratuita.
Empieza gratis
