La CNIL, autoridad francesa de protección de datos, impuso el 3 de septiembre de 2026 una multa de €500.000 al Hospital Privado del Loira por no haber adoptado medidas de seguridad adecuadas para proteger la información de sus pacientes y algunos de sus familiares. El incidente se originó en el verano de 2025, cuando un atacante logró acceder al sistema de historia clínica electrónica de la institución.
El caso se desencadenó durante el verano boreal de 2025, cuando un actor no autorizado consiguió conectarse al sistema de registro electrónico de pacientes (EPR, por sus siglas en inglés) del hospital. La CNIL concluyó su investigación casi un año después y determinó que la entidad sanitaria incumplió las obligaciones de seguridad contempladas en el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, concretamente en lo relativo a medidas técnicas y organizativas proporcionales al riesgo que representa el tratamiento de datos de salud.
Datos confirmados sobre la sanción al Hospital del Loira
- Organismo sancionador: CNIL (Commission Nationale de l’Informatique et des Libertés), Francia.
- Monto de la multa: €500.000.
- Fecha de la resolución: 3 de septiembre de 2026.
- Período del incidente: verano de 2025.
- Sistema comprometido: registro electrónico de pacientes (EPR) del Hospital Privado del Loira.
- Afectados: pacientes del hospital y algunos de sus familiares, según se informó.
- Infracción principal: ausencia de medidas de seguridad apropiadas para datos de salud, categoría especial bajo el RGPD.
Qué se sabe y qué falta confirmar
La resolución de la CNIL establece con claridad la existencia de acceso no autorizado al EPR y la consecuente exposición de datos de salud, categoría especial que exige el nivel más alto de protección bajo el artículo 9 del RGPD. Lo que no ha trascendido públicamente hasta el momento es el volumen exacto de registros comprometidos, el vector de ataque utilizado por el intruso ni si la información fue exfiltrada o únicamente consultada de forma indebida. Tampoco se conoce si el hospital recurrirá la sanción ante los tribunales administrativos franceses.
El caso tiene resonancia directa en América Latina, donde el tratamiento de datos de salud enfrenta un entorno regulatorio en rápida evolución. En Brasil, la Lei Geral de Proteção de Dados (LGPD) clasifica los datos de salud como sensibles y la Autoridade Nacional de Proteção de Dados (ANPD) ha intensificado su actividad fiscalizadora sobre el sector sanitario desde 2024. En Argentina, la Agencia de Acceso a la Información Pública (AAIP) también considera los datos de salud dentro de las categorías que requieren protección reforzada bajo la Ley 25.326, aunque el techo de las sanciones locales —aún pendiente de actualización legislativa— dista significativamente de los montos que aplica la CNIL. En México, el INAI ha emitido criterios específicos sobre el tratamiento de datos clínicos bajo la LFPDPPP, pero la capacidad de enforcement en el sector privado de salud continúa siendo un punto débil estructural.
El próximo hito a seguir es la eventual publicación íntegra de la resolución en el registro oficial de la CNIL, que determinará si el hospital tiene plazo para adecuarse a medidas correctivas específicas o si la sanción económica agota el mandato de la autoridad.
