V létě minulého roku se neznámému útočníkovi podařilo přihlásit se do databáze pacientů nemocnice
Hôpital privé de la Loire, ve které byly obsaženy veškeré osobní údaje všech pacientů, kteří v nemocnici
kdy podstoupili jakékoliv vyšetření nebo zákrok. Útočník tak získal data 524 867 pacientů a 202 246 osob
označených jako „důvěryhodné třetí osoby“.
Francouzský úřad pro ochranu osobních údajů („CNIL“) na základě svého vyšetřování rozhodl, že
nemocnice neimplementovala velmi základní bezpečnostní opatření, která mohla útok výrazně ztížit.
Především proces ověření identity při vstupu do databáze byl velmi jednoduchý, jelikož nepožadoval
využití VPN ani multifaktorové ověření identity. Přihlašovací údaje lékařů a jiných pracovníků obsahovaly
pouhou kombinaci přihlašovacího jména a hesla, což bylo v přímém rozporu se závaznými francouzskými
bezpečnostními standardy pro zdravotnictví.
Systém navíc nerozlišoval mezi jednotlivými pacienty – kdokoliv, kdo se do databáze dostal, měl přístup
ke všem pacientským datům, místo toho, aby doktoři a ostatní pečující osoby měli přístup jen ke svým
pacientům. Nemocnice také neměla žádná opatření, která by byla schopná podezřelou aktivitu v rámci
systému detekovat a upozornit na ni. Útočník se tak v systému mohl pohybovat několik dní bez toho,
aby byl odhalen, a podařilo se mu tak extrahovat velké množství dat. K odhalení incidentu došlo až ve
chvíli, kdy si jeden z lékařů všiml podezřelé aktivity účtu a upozornil vedení. Tímto nemocnice porušila
článek 32 GDPR uplatněním nedostatečných technických a organizačních opatření.
Nemocnice taktéž porušila článek 34 GDPR, jelikož o útoku byli poté informováni pouze pacienti
nemocnice, žádné oznámení nebylo ovšem zasláno osobám označeným jako „důvěryhodné třetí osoby“,
i přes to, že bezpečnost jejich osobních údajů byla narušena taktéž. Opomenutí zapříčinilo, že tyto osoby
neměly žádné informace o povaze útoku, a byly tak vystaveni dalším hrozbám, např. větší náchylnosti
k phishingovým útokům využívajícím jejich osobní údaje.
CNIL udělil pokutu ve výši 500 000 eur (cca 12 127 425 Kč), přičemž vzal v potaz, že nemocnice do
odhalení útoku neimplementovala žádná základní bezpečnostní opatření, vysoký počet poškozených
subjektů údajů, povahu ukradených dat a také její finanční schopnost pokutu zaplatit.