A primera vista parece una injusticia. Un hospital sufre un ciberataque, le roban los datos de más de medio millón de pacientes y, encima, la autoridad de protección de datos lo multa con 500.000 euros. ¿No es castigar a la víctima? La deliberación de la CNIL francesa contra el Hôpital privé de la Loire, hecha pública el 3 de septiembre, invita a esa reacción instintiva. Pero conviene detenerse, porque esa lectura malinterpreta cómo funciona el derecho de protección de datos. La ley no sanciona haber sido atacado. Sanciona no haber estado preparado para serlo. Y la diferencia, en materia de datos de salud, lo es casi todo.
Qué ocurrió
Los hechos son de manual, por desgracia. En el verano de 2025, un atacante accedió al sistema de historia clínica informatizada del hospital y, durante varios días, extrajo datos sensibles de salud sin que nadie lo detectara. El resultado: comprometidos los datos de 524.867 pacientes y de otras 202.246 personas designadas como allegados o personas de confianza. Es difícil imaginar una categoría de información más íntima que la que revela por qué, cuándo y de qué se ha tratado alguien médicamente.
La CNIL, en su deliberación SAN-2026-009, de 21 de julio de 2026, no reprocha al hospital que lo atacaran. Le reprocha las condiciones en que lo hicieron. Y aquí está la clave del asunto: la sanción se apoya, sobre todo, en el artículo 32 del Reglamento General de Protección de Datos, el que obliga a todo responsable de un tratamiento a aplicar medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos. La palabra que hace todo el trabajo es «apropiadas».
Lo que el hospital dejó sin hacer
Cuando uno lee los fallos concretos que la CNIL identifica, la sensación de injusticia se disipa. No hablamos de un ataque sofisticado imposible de prevenir, sino de puertas que, sencillamente, estaban abiertas. Los accesos externos al sistema no contaban ni con una red privada virtual ni con doble factor de autenticación, esa segunda comprobación —un código en el móvil, por ejemplo— que hoy es el mínimo higiénico para cualquier acceso remoto a información sensible. La política de permisos era inadecuada: los perfiles de acceso no estaban restringidos por equipo asistencial, de modo que se podía llegar a muchos más datos de los necesarios para cada función. Y no había mecanismos de detección de actividad sospechosa en tiempo real ni sistemas de alerta, razón por la cual un atacante pudo pasear por el sistema durante días exfiltrando historiales sin que saltara ninguna señal.
Esto es lo que el artículo 32 exige medir. La norma no impone una lista cerrada de medidas idénticas para todos, sino que gradúa la exigencia según el riesgo y, muy especialmente, según la naturaleza de los datos. Y los datos de salud son, en la arquitectura del Reglamento, una categoría especial —el artículo 9— sujeta a la máxima protección. Cuanto más sensible es el dato, más alto es el listón de lo «apropiado». Para una organización que custodia las historias clínicas de medio millón de personas, la ausencia de doble factor en los accesos externos no es un descuido menor: es, a ojos del regulador, un incumplimiento.
El segundo reproche: cuando pasa lo peor, hay que avisar
A la falta de seguridad se añade una segunda infracción que conviene no pasar por alto, porque completa el retrato. La CNIL aprecia también una vulneración del artículo 34, el que obliga a comunicar la violación de datos a las personas afectadas cuando esa brecha entraña un alto riesgo para sus derechos. No basta, cuando ocurre el desastre, con gestionarlo puertas adentro. Las personas cuyos datos de salud andan sueltos tienen derecho a saberlo, para poder protegerse frente a fraudes, suplantaciones o chantajes. Callar, o informar tarde y mal, es un incumplimiento autónomo que se suma al de la seguridad.
Mi lectura: la seguridad es una obligación, no una aspiración
A mi juicio, la enseñanza de esta sanción trasciende el caso francés y habla directamente a España y al resto de Europa, donde los hospitales llevan años en el punto de mira de los atacantes. El principio de responsabilidad proactiva que vertebra el Reglamento significa que la seguridad no es un objetivo que se persigue en la medida de lo posible, sino una obligación jurídica cuyo cumplimiento hay que poder demostrar. Ser víctima de un delito no exime de esa obligación; a lo sumo, la contextualiza. Y en el sector sanitario esa exigencia se cruza además con la Directiva NIS2, que considera a los hospitales entidades esenciales y les impone deberes reforzados de ciberseguridad y gobernanza. La presión regulatoria, por tanto, viene por dos frentes a la vez.
Dicho esto, no todo se resuelve con una multa, y sería ingenuo pensarlo. El trasfondo de estos casos es una fragilidad estructural: buena parte del sistema sanitario, público y privado, arrastra una infrainversión crónica en seguridad informática, con sistemas heredados, personal desbordado y presupuestos que priorizan —comprensiblemente— la asistencia sobre los cortafuegos. Sancionar a un hospital es necesario para que la seguridad del dato se tome en serio en el consejo de administración y no solo en el departamento de informática; pero el problema de fondo no lo arregla una sanción, sino una inversión sostenida que hoy muchos centros no pueden o no saben acometer. La multa es el síntoma visible de una dolencia mucho más extendida.
Queda, en todo caso, un mensaje nítido para cualquier organización que maneje datos sensibles, dentro y fuera de la sanidad. La pregunta que un regulador se hará el día después de una brecha no será «¿quién te atacó?», sino «¿qué habías hecho tú para ponérselo difícil?». Y a esa pregunta, medio millón de historiales exfiltrados durante días sin que nadie lo advirtiera es, por sí solo, una respuesta demoledora.
