CNIL、健康データ漏えいを受けてロワール私立病院に50万ユーロの制裁金

フランスのデータ保護当局であるCNIL（情報処理・自由全国委員会）は、サイバー攻撃により患者52万4,867人および信頼できる第三者20万2,246人に関する個人データが漏えいしたことを受け、ロワール私立病院（Hôpital Privé de la Loire）に50万ユーロの制裁金を科しました。

本件は医療提供者に関する事案です。医療機関のセキュリティ上の不備は、機微な健康情報や連絡先情報を大規模にさらすおそれがあります。CNILは、同病院の認証措置、アクセス制御、セキュリティ監視、および漏えいに関する通知・情報提供に不備があったと認定しました。

この決定は、医療機関がユーザーの本人性を実効的に確認し、システムへのアクセスを権限を有する者に限定し、不審な活動を検知するとともに、適切なデータ漏えい通知を行わなければならないことを示しています。組織のセキュリティ対策やインシデント対応体制の複数の部分に弱点がある場合、EUのデータ保護規則に基づき、多額の行政制裁を受ける可能性があります。