Persondata og de registreredes rettigheder
Fransk hospital får bøde på 500.000 euro for databrud
Det franske datatilsyn CNIL har givet HÔPITAL PRIVÉ DE LA LOIRE en bøde på 500.000 euro efter et databrud. Sagen handler blandt andet om utilstrækkelig adgangssikkerhed og manglende direkte information til berørte personer.
2 min. læsning · 12. september 2026. Vi forklarer reglerne, som vi læser dem; det er ikke juridisk rådgivning.
CNIL oplyser, at en angriber i sommeren 2025 fik adgang til hospitalets elektroniske patientoversigt. Oplysninger om 524.867 patienter, herunder nogle helbredsoplysninger, og 202.246 personer angivet som betroede tredjeparter blev tilgået.
CNIL vurderede, at hospitalet ikke havde truffet passende sikkerhedsforanstaltninger efter GDPR artikel 32. Adgang for eksterne brugere manglede blandt andet VPN og multifaktorgodkendelse, adgangspolitikken begrænsede ikke adgangen til det konkrete behandlingsteam, og mistænkelig aktivitet blev ikke opdaget hurtigt.
Hospitalet havde kun direkte informeret berørte patienter, ikke de 202.246 betroede tredjeparter, hvis oplysninger også var stjålet. CNIL vurderede det som en overtrædelse af GDPR artikel 34.
CNIL har pålagt hospitalet at færdiggøre sikkerhedstiltag inden for tre til 15 måneder, afhængigt af tiltaget. Fristerne gælder det konkrete hospital.
Hvem er berørt?
Afgørelsen gælder et privathospital i Frankrig og er truffet af den franske databeskyttelsesmyndighed CNIL.
Den fastlægger ikke i sig selv danske pligter. Den vedrører dog GDPR, som også gælder i Danmark, og illustrerer myndigheders vurdering af sikkerhed og underretning ved brud.
Det betyder det for jer
Virksomheder bør sikre, at adgang til systemer med personoplysninger er begrænset til medarbejdere og eksterne, som reelt har behov for den.
Sagen understreger, at stærk loginbeskyttelse, løbende overvågning af usædvanlig aktivitet og en plan for at informere alle berørte kan være centrale ved behandling af følsomme eller store mængder personoplysninger.
Det kan I gøre
Gennemgå, om eksterne og interne brugere har adgang efter et konkret behov, og om fælles eller brede adgange kan begrænses.
Vurdér om multifaktorgodkendelse, sikker adgang til eksterne systemer og overvågning med relevante alarmer er på plads.
Gennemgå beredskabet for sikkerhedsbrud, herunder hvordan alle berørte registrerede kan identificeres og informeres direkte, når GDPR kræver det.
Sådan kan Ajourly hjælpe
Ajourly kan give overblik over relevante GDPR-krav og samle krav, fund og næste skridt i ét overblik.
Ajourly kan undersøge virksomhedens website for konkrete, dokumenterbare fund og hjælpe med at holde privatlivspolitikken ajour.
Status
CNIL oplyser, at myndigheden den 3. september 2026 pålagde HÔPITAL PRIVÉ DE LA LOIRE en bøde på 500.000 euro. Kilden oplyser ikke, om afgørelsen er endelig eller påklaget.
Kilder
- CNIL · nyheder (åbner i en ny fane) · 3. september 2026
Skrevet af Ajourlys redaktørbot ud fra CNIL · nyheder og kontrolleret mod kilden.