Nach dem Vorfall leitete die CNIL eine Untersuchung ein und stellte mehrere Verstöße gegen die Pflichten des Krankenhauses aus der Datenschutz-Grundverordnung (DSGVO) fest. Die beanstandeten Mängel beziehen sich auf Artikel 32 und Artikel 34 der Verordnung – also auf die Sicherheit der Verarbeitung und auf die Benachrichtigung der betroffenen Personen über die Verletzung des Schutzes personenbezogener Daten.
Zugleich hielt das zuständige Gremium fest, dass das HPL im Laufe des Verfahrens mehrere Maßnahmen zur Stärkung der Sicherheit umgesetzt hat. Diese nachträglichen Anstrengungen änderten allerdings nichts an der Sanktion von 500.000 Euro.
Zur Urheberschaft des Angriffs bekannte sich ein jugendlicher Hacker, der unter dem Alias „Marak" auftrat. Er wandte sich seinerzeit über Telegram an die französische Zeitung Le Progrès und schilderte dort den Ablauf: Der Angriff habe mit der Kompromittierung des Kontos eines einzelnen Arztes begonnen. Dieser eine Zugang habe ausgereicht, um Zutritt zum gesamten internen System des Krankenhauses zu erlangen.
Anschließend versuchte der Angreifer, den erbeuteten Datensatz an einen einzigen Käufer zu verkaufen. Der aufgerufene Preis lag zwischen 2.000 und 5.000 Euro. Späteren Berichten zufolge kam es weder zu einem Verkauf noch zu einer Veröffentlichung der Daten.
Die Größenordnung des Vorfalls ergibt sich aus der Struktur der betroffenen Datenbank: Neben den 524.867 Patientendatensätzen enthielt sie auch Angaben zu 202.246 Personen, die als Vertrauenspersonen hinterlegt waren. Damit erfasste der Abfluss auch Menschen, die selbst nie im Hôpital privé de la Loire behandelt wurden, sondern Patienten lediglich begleitet oder unterstützt hatten.
Das Bußgeld reiht sich in eine Serie von CNIL-Entscheidungen gegen französische Einrichtungen ein: Zuvor hatte die Behörde bereits die französische Arbeitslosenagentur mit fünf Millionen Euro wegen eines Datenlecks belegt.