法国CNIL对卢瓦尔私立医院罚款50万欧元：72万余人数据遭窃，院方未通知患者指定的"可信第三方"

事件源于2025年夏季的一次入侵：攻击者登录该院的计算机化病历系统（dossier patient informatisé），触达约52.5万名患者的记录（其中部分含健康数据），以及20.2万名由患者指定的"可信第三方"（tiers de confiance），合计超过72.7万人受影响。

CNIL指出三项基础性安全缺失：一是外部远程访问病历系统既无VPN也无多因素认证，成为攻击者入口；二是授权策略未落实"诊疗团队"概念，一个被攻陷的账号即可读取全院患者数据；三是缺乏实时或近实时的异常活动检测能力，攻击者在系统内探查数日未被发现，加重了泄露规模。

处罚的另一项依据来自GDPR第34条：医院虽通知了患者，却未向那20.2万名数据同样被盗的"可信第三方"直接告知。CNIL强调，向数据主体告知的义务指向所有受影响的个人，而非仅机构自身的患者或客户。

CNIL要求医院在3至15个月内完成整改，并指出虽然任何组织都无法彻底消除风险，但恰当的安全措施能够同时降低事件发生的概率与严重程度。该决定对"因他人填写而进入系统的被动数据主体"保护具有示范意义，检测能力与预防措施同样会被纳入执法考量。