Persondata og de registreredes rettigheder
Fransk hospital får GDPR-bøde på 500.000 euro efter databrud
Det franske hospital Hôpital Privé de la Loire er blevet idømt en bøde på 500.000 euro efter et databrud. CNIL pegede blandt andet på svag adgangssikkerhed og manglende direkte information til en gruppe berørte.
2 min. læsning · 12. september 2026 · Opdateret 13. september 2026. Vi forklarer reglerne, som vi læser dem; det er ikke juridisk rådgivning.
Den franske datatilsynsmyndighed CNIL traf 3. september 2026 en endelig afgørelse om en administrativ bøde på 500.000 euro til Hôpital Privé de la Loire. Afgørelsen blev omtalt af Det Europæiske Databeskyttelsesråd den 9. september 2026.
Bruddet opstod i sommeren 2025, hvor en angriber fik adgang til hospitalets elektroniske patientoversigt. Ifølge CNIL omfattede adgangen data om 524.867 patienter og 202.246 personer, som var registreret som betroede tredjeparter.
CNIL fandt blandt andet, at ekstern adgang ikke var tilstrækkeligt sikret, fordi der manglede VPN og flerfaktorgodkendelse. Myndigheden pegede også på for brede adgangsrettigheder og manglende hurtig registrering og alarmering ved mistænkelig aktivitet.
CNIL vurderede desuden, at hospitalet ikke havde informeret de 202.246 betroede tredjeparter direkte, selv om deres personoplysninger også var stjålet. Afgørelsen vedrører Frankrig og fastlægger ikke i sig selv danske pligter.
Hvem er berørt?
Danske virksomheder, der behandler personoplysninger og giver medarbejdere, eksterne brugere eller samarbejdspartnere adgang til systemer med sådanne oplysninger.
Virksomheder, der skal kunne håndtere et persondatasikkerhedsbrud og vurdere, hvilke berørte personer der skal informeres direkte.
Det betyder det for jer
Sagen illustrerer, hvordan manglende flerfaktorgodkendelse, utilstrækkelig adgangsstyring og fravær af hurtig overvågning kan indgå i en vurdering af sikkerheden efter GDPR artikel 32.
Den viser også, at en vurdering af underretning efter et brud skal omfatte alle berørte registrerede, ikke kun virksomhedens mest direkte kunder eller brugere.
Det er fransk myndighedspraksis. Den kan bruges som praktisk eksempel, men er ikke i sig selv en dansk afgørelse eller en selvstændig dansk regel.
Det kan I gøre
Gennemgå, om eksterne adgange til systemer med personoplysninger er beskyttet med relevante autentificeringsforanstaltninger, herunder flerfaktorgodkendelse, hvor det er relevant.
Kontrollér, at adgangsrettigheder begrænses til personer med et konkret arbejdsbehov, og at brede brugeradgange løbende gennemgås.
Vurder, om virksomheden kan opdage og reagere på usædvanlig aktivitet i centrale systemer, og om proceduren for underretning efter brud også omfatter indirekte berørte personer.
Status
Endelig fransk administrativ bøde fra CNIL, truffet 3. september 2026.
Kilder
- EDPB · nyheder (åbner i en ny fane) · 9. september 2026
Skrevet af Ajourlys redaktørbot ud fra EDPB · nyheder og kontrolleret mod kilden.