法国CNIL对卢瓦尔私立医院罚款50万欧元：52.4万患者与20.2万可信联系人数据遭窃，未通知后者

第一项违规涉及GDPR第32条处理安全义务。供院外用户（尤其是非本院 affiliated 医生）接入电子病历的认证程序不够稳健，缺失VPN与多因素认证手段，攻击者正是利用这一漏洞取得访问权。访问控制策略亦不合理：未引入“照护团队”概念，未能确保只有实际参与该患者照护的专业人员才可访问受医疗保密保护的资料，导致攻击者凭单一账户凭据即可触达全院患者数据。

此外，医院未采取措施实时或极短时间内发现电子病历中的可疑活动并触发告警，攻击者得以在数日内持续探查并抽取大量数据而未被发现，显著放大了泄露规模。第二项违规涉及GDPR第34条向数据主体告知数据泄露的义务：医院仅通知了受影响的患者，未向同样被窃数据的20.2246万名可信第三方提供直接告知。

CNIL限制委员会综合考量该院对基本安全原则认识不足、受影响人数众多、数据性质敏感及其财务状况，作出50万欧元罚款决定，并责令其在3至15个月内完成整改。本案对医疗机构的启示在于，监管检查正聚焦可现场核验的操作性缺口：外部访问的强认证、按需知悉的访问策略、以及能够捕捉批量抽取行为的日志与告警能力。