仏CNILが私立病院に制裁金50万ユーロ — 72万人超の診療データ漏えい、VPNなし・多要素認証なし・検知なしの三重の不備を認定

フランスのデータ保護当局であるCNIL（情報処理および自由に関する国家委員会）は2026年9月3日、Hôpital Privé de la Loire（ロワール私立病院）に対して50万ユーロの制裁金を科したと公表した。同病院は2025年夏のサイバー攻撃で72万人を超える人々のデータを漏えいさせており、CNILは基本的なセキュリティ対策の欠如が被害の拡大を招いたと認定した。

72万人超の診療データが流出 — 2025年夏の攻撃

CNILの公表によると、攻撃者は2025年夏に同病院の電子カルテシステム（DPI：dossier patient informatisé）に接続し、診療を受けた人々のデータを集約するシステムから大量のデータを窃取した。漏えいしたデータは、患者524,867人分（一部に健康データを含む）と、患者が指定した「信頼できる第三者（tiers de confiance）」202,246人分に及ぶ。2つを合わせると727,113人に達する。

漏えいを受けてCNILが立入検査を実施したところ、欧州一般データ保護規則（GDPR）上の複数の義務違反が明らかになった。制裁を決定したCNILの「制限付合議体（formation restreinte）」は2026年7月21日付の審議（SAN-2026-009）で制裁を議決し、9月3日に公表した。制裁額の算定では、セキュリティの基本的原則の軽視、対象者の人数、漏えいしたデータの性質、同病院の財務能力が考慮されたとCNILは説明している。

認定された不備 — VPNなし・権限制御なし・検知なし

CNILがGDPR第32条（個人データのセキュリティ確保義務）違反として認定した不備は、次の3点である。

第一に、外部利用者向けの認証が脆弱だった。開業医などの病院外部の利用者が電子カルテに接続する際、仮想私設網（VPN）も多要素認証も使われていなかった。攻撃者はこの弱点を突いてシステムに侵入したとCNILは指摘している。

第二に、アクセス権の管理が不適切だった。診療チームの概念が反映されておらず、実際に診療に関わる医療従事者だけが対象患者の情報に触れられる仕組みになっていなかった。そのため攻撃者は、1つの利用者アカウントの認証情報だけで病院の全患者のデータに到達できた。

第三に、不審な活動を検知する仕組みがなかった。電子カルテ内の不審な動きをリアルタイムまたはそれに近い短時間で検知し、警告を発する対策が講じられていなかった。その結果、攻撃者は数日間にわたってシステム内を探索し、大量のデータを抽出できた。CNILは、この検知の欠如が漏えいの規模を拡大させたと指摘している。

CNILは、リスクを完全に除去することは不可能だとしても、適切な対策を講じれば発生確率と被害の深刻さを下げられると強調した。そのうえで、扱うデータの件数と性質に照らせば、同病院の対策は機密性を確保するのに不十分だったと結論づけた。

関係者20万人への通知漏れ — GDPR第34条違反も認定

CNILはさらに、GDPR第34条（データ漏えい時の本人への通知義務）違反も認定した。同病院は漏えいの影響を受けた患者には通知したが、データも窃取された「信頼できる第三者」202,246人には直接の通知を行っていなかった。CNILは、この通知漏れにより、関係者が攻撃の内容と想定される影響、被害を抑える手段を理解する機会を奪われたと指摘した。

一方でCNILは、手続きの進行中に同病院がセキュリティ強化の対策を複数講じたことも記録している。そのうえで、対策の種類に応じて3か月から15か月の期限内に残りの対策を完了するよう命じた。

日本の医療機関への示唆 — 電子カルテの守りは「入口・権限・検知・通知」

今回の決定は日本の医療機関にも直接関係する教訓を含む。CNILが問題視したのは高度な攻撃への対応ではなく、外部接続の認証強化（VPNと多要素認証）、診療に関わる者に絞った権限制御、異常を短時間で捉える監視、漏えい時の関係者を含む通知という基本的な4点である。電子カルテのように大量の要配慮個人情報を集約するシステムでは、1つのアカウントの侵害が全患者の漏えいにつながり得ることを本件は示している。CNILは併せて、ログ記録に関する勧告や2024年の大規模漏えい事例の教訓も公開しており、対策の参考になると案内している。

出典

• CNIL, “Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE” (2026-09-03) — https://www.cnil.fr/fr/sanction-hopital-prive-loire