聯合醫院逾五萬病人資料外洩 私隱專員裁定醫管局違例
HK01 · 4 SOURCES1 day ago2 MIN
Summary
個人資料私隱專員公署於十月二十九日公布聯合醫院資料外洩事故的調查結果，裁定醫管局違反《個人資料（私隱）條例》。事故發生於今年四月三日，醫管局的恆常監察系統偵測到九龍東醫院聯網一個供應商系統的病人資料被外泄至暗網，受影響人數達五萬六千二百四十三人，包括五萬五千七百六十一名病人及四百八十二名員工。私隱專員鍾麗玲認為，醫管局對承辦商監管不足、欠缺保安風險評估等缺失是導致事故的主要原因，已向醫管局送達執行通知，指示其採取措施糾正違規事項及防止類似情況再次發生。
Key Points
- 醫管局恆常監察系統於四月三日凌晨約二時發現懷疑未經授權將病人資料取走並於第三方平台泄漏的個案，隨即於早上報警及通報私隱專員公署
- 受影響資料包括病人姓名、香港身份證號碼、性別、出生日期、醫院登記號碼、手術程序詳情、預約日期，以及員工姓名及職級或職系
- 私隱專員公署進行三次查訊、兩次會面及實地視察，確認醫管局存在三項缺失：對承辦商存取資料及活動監察不足；承辦商管理的系統欠缺以角色為本的存取管控；以及保安風險評估及審計不足
- 涉案承辦商的一名系統開發員在未獲授權下匯出資料，其後涉嫌干犯「有犯罪或不誠實意圖而取用電腦」被捕
- 醫管局接納調查結果，九龍東醫院聯網已即時採取一系列措施，包括要求承辦商人員現場存取系統時必須由獲授權的醫院資訊科技人員陪同
Why It Matters
今次裁決確認醫管局作為資料使用者，須對儲存於資訊系統內的個人資料承擔法定責任，即使資料外洩涉及承辦商員工的違法行為，機構本身亦須確保有足夠的監督及管控機制。考慮到病人資料的高度敏感性，今次事件對本港所有公共醫療機構的外判資訊系統管理具有重要的警示作用，私隱專員公署的執法行動顯示政府對保障市民個人私隱的決心 。
今次裁決確認醫管局作為資料使用者，須對儲存於資訊系統內的個人資料承擔法定責任，即使資料外洩涉及承辦商員工的違法行為，機構本身亦須確保有足夠的監督及管控機制。考慮到病人資料的高度敏感性，今次事件對本港所有公共醫療機構的外判資訊系統管理具有重要的警示作用，私隱專員公署的執法行動顯示政府對保障市民個人私隱的決心 。