Il prezzo dell'MFA mancante: la CNIL sanziona un ospedale francese per 500.000 euro
Un ospedale privato francese, mezzo milione di euro di sanzione, tre carenze tecniche che qualsiasi audit ISO 27001 avrebbe segnalato mesi prima. La CNIL non ha inventato nulla di nuovo: ha semplicemente messo un prezzo a controlli che esistono da anni e che troppe organizzazioni continuano a trattare come opzionali.
Il 3 settembre 2026 la CNIL, l'autorità francese per la protezione dei dati, ha sanzionato l'Hôpital Privé de la Loire per 500.000 euro. La vicenda, riportata dall'European Data Protection Board il 9 settembre, riguarda un accesso non autorizzato ai dati di 524.867 pazienti nell'estate del 2025 — non un attacco sofisticato, ma lo sfruttamento di lacune che la decisione descrive con una precisione quasi didattica.
Tre carenze, tre controlli mancati
La CNIL individua tre problemi tecnici alla radice della violazione.
Autenticazione debole. La procedura di accesso non prevedeva né una VPN né l'autenticazione a più fattori. In termini di ISO/IEC 27001:2022, è esattamente il perimetro del controllo A.8.5 — Secure authentication: un requisito che oggi si considera baseline in qualunque ambiente che tratti dati sanitari, non un livello di sicurezza avanzato.
Controllo accessi non segmentato. Il sistema non implementava il principio del "team di cura": una singola credenziale dava accesso ai dati di tutti i pazienti dell'ospedale, non solo a quelli effettivamente in carico all'operatore. È il need-to-know mancato — i controlli A.5.15 (Access control) e A.5.18 (Access rights) esistono proprio per prevenire questo scenario, ed è la carenza più costosa da correggere a posteriori, perché richiede di ridisegnare i permessi applicativi, non solo di aggiungere un fattore di autenticazione.
Nessun monitoraggio. L'ospedale non aveva strumenti per rilevare attività sospette né in tempo reale né nel breve periodo. Senza A.8.16 — Monitoring activities, un accesso anomalo su mezzo milione di cartelle cliniche può proseguire per settimane prima che qualcuno se ne accorga — ed è esattamente quello che sembra essere successo.
L'aggravante: dopo la scoperta
C'è un quarto elemento nella decisione, distinto dai controlli tecnici preventivi: l'ospedale non ha comunicato direttamente la violazione ai 202.246 "terzi di fiducia" designati dai pazienti — le persone che i pazienti stessi avevano indicato come referenti in caso di emergenza, e i cui dati erano stati compromessi insieme al resto. È la parte dell'art. 34 GDPR che riguarda la gestione della crisi, non la sua prevenzione: anche quando il danno è già fatto, la trasparenza verso gli interessati resta un obbligo autonomo, sanzionabile a sé.
Perché questo caso è un business case, non un titolo di giornale
Il punto utile di questa vicenda non è "un altro ospedale bucato" — è che il regolatore ha fatto, gratuitamente, il lavoro che normalmente tocca a un audit di gap analysis: ha preso tre controlli standard, ne ha verificato l'assenza, e ha quantificato in euro il costo di non averli attuati. Per chiunque tratti dati sensibili — sanità, ma anche PA, studi professionali, servizi finanziari — la domanda non è più teorica:
- I nostri accessi esterni richiedono MFA, senza eccezioni?
- I permessi applicativi seguono il need-to-know reale, o una singola credenziale amministrativa apre più di quanto dovrebbe?
- Se qualcuno accedesse in modo anomalo a mille cartelle in un'ora, ce ne accorgeremmo prima che lo scoprisse un giornale o un'autorità?
Se anche una sola di queste risposte è "non lo sappiamo con certezza", il gap esiste già — la CNIL ha solo mostrato quanto può costare lasciarlo aperto.
Fonti
Il tuo controllo accessi reggerebbe un audit come questo?
Facciamo gap analysis ISO 27001 e verifiche di conformità GDPR su autenticazione, controllo accessi e monitoraggio, per organizzazioni che trattano dati sensibili e non possono permettersi di scoprire i gap dopo un incidente.
Parla con noi →