Wat er is gebeurd
Tussen juni en juli 2025 gebruikte een aanvaller de gecompromitteerde inloggegevens van een arts om binnen te komen in het elektronisch patiëntendossier van het Hôpital privé de la Loire. In vijf dagen haalde hij de gegevens op van 524.867 patiënten, voor een deel van hen inclusief gezondheidsgegevens, en van 202.246 personen die als vertrouwenspersoon waren aangewezen: in totaal meer dan zevenhonderdduizend mensen. Op 3 september 2026 legde de CNIL 500.000 euro op wegens schending van de beveiligingsplicht.
Het getal waar het om gaat is niet vijfhonderdduizend euro, en ook niet zevenhonderdduizend mensen. Het is drieënzeventig: patiëntendossiers die elke minuut werden weggehaald, vijf dagen achtereen, zonder dat er één alarm afging. Zo'n tempo lijkt op niets wat een mens werkend voortbrengt, en een systeem dat het niet van gewoon werk kan onderscheiden is geen bewaakt systeem.
- De toegang verliep met legitieme, elders gecompromitteerde inloggegevens van een arts: vanuit het systeem gezien was het een geautoriseerde aanmelding.
- Op het patiëntendossier stond geen multifactorauthenticatie aan, die deze gegevens op zichzelf waardeloos had gemaakt.
- Er was geen enkel instrument om afwijkende activiteit te detecteren: geen drempels, geen waarschuwingen, geen logs die iemand las.
- De CNIL gelastte een herziening van de toegangsautorisaties binnen vijftien maanden en een doeltreffende registratie van toegangen binnen drie, op straffe van 1.000 euro per dag vertraging.
De twee bevelen laten zien hoe de autoriteit de zaak heeft gelezen. Drie maanden voor de logs, vijftien voor de autorisaties: de verschillende termijnen zijn geen gunst, ze zijn een prioriteit. Nagaan wie wat mag zien in een ziekenhuis is lang werk en moet goed gebeuren; merken dat iemand het archief downloadt, moet je nú kunnen.
De vraag die je maandag aan de klant stelt
Niet «zijn we beschermd», daar is geen antwoord op. De vraag is: als iemand vannacht inlogde met de gegevens van een van jullie medewerkers en het archief begon te downloaden, hoelang zou het duren voordat iemand het merkte — en wie zou die iemand zijn, bij naam. Is het antwoord «dat zouden we in de logs zien», dan is de tweede vraag wanneer hij er voor het laatst in heeft gekeken. Een log die niemand leest is bewijs achteraf, geen beveiligingsmaatregel.
Art. 32 vraagt maatregelen die passen bij het risico, en bij een zorgarchief is het risico niet alleen dat iemand binnenkomt: het is dat hij ongezien binnenblijft. Preventie heeft een bekende grens — inloggegevens worden gestolen, en deze waren elders gestolen — terwijl detectie het enige is dat werkt nadat preventie al heeft gefaald. Het is het deel dat in begrotingen altijd tweede komt, en het is het deel dat de CNIL heeft gemeten.
Officiële bron:CNIL — Inbreuk op gezondheidsgegevens: boete van 500.000 euro voor het Hôpital privé de la Loire (03/09/2026)Officiële bron:CNIL — Health data breach: EUR 500,000 fine against Hôpital privé de la LoireZoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
