联合医院逾五万病人资料外泄 私隐专员裁定医管局违例
HK01 · 4 SOURCES1 day ago2 MIN
Summary
个人资料私隐专员公署于十月二十九日公布联合医院资料外泄事故的调查结果，裁定医管局违反《个人资料（私隐）条例》。事故发生于今年四月三日，医管局的常规监察系统侦测到九龙东医院联网一个供应商系统的病人资料被外泄至暗网受影响人数达五万六千二百四十三人，包括五万五千七百六十一名病人及四百八十二名员工。私隐专员钟丽玲认为，医管局对承办商监管不足、欠缺保安风险评估等缺失是导致事故的主要原因，已向医管局送达执行通知，指示其采取措施纠正违规事项及防止类似情况再次发生。
Key Points
- 医管局常规监察系统于四月三日凌晨约二时发现怀疑未经授权将病人资料取走并于第三方平台泄露的个案，随即于早上报警及通报私隐专员公署
- 受影响资料包括病人姓名、香港身份证号码、性别、出生日期、医院登记号码、手术程序详情、预约日期，以及员工姓名及职级或职系
- 私隐专员公署进行三次查询、两次会面及实地视察，确认医管局存在三项缺失：对承办商存取资料及活动监察不足；承办商管理的系统欠缺以角色为本的存取管控；以及保安风险评估及审计不足
- 涉案承办商的一名系统开发员在未获授权下导出资料，其后涉嫌干犯「有犯罪或不诚实意图而取用电脑」被捕
- 医管局接纳调查报告，九龙东医院联网已即时采取一系列措施，包括要求承办商人员现场存取系统时必须由授权的医院资讯科技人员陪同
Why It Matters
今次裁决确认医管局作为资料使用者，须对储存于资讯系统内的个人资料承担法律责任，即使资料外泄涉及承办商员工的违法行为，机构本身亦须确保有足够的监督及管控机制。考虑到病人资料的高度敏感性，今次事件对本港所有公共医疗机构的外判资讯系统管理具有重要的警示作用，私隐专员公署的执法行动显示政府对保障市民个人私隐的决心 。
今次裁决确认医管局作为资料使用者，须对储存于资讯系统内的个人资料承担法律责任，即使资料外泄涉及承办商员工的违法行为，机构本身亦须确保有足够的监督及管控机制。考虑到病人资料的高度敏感性，今次事件对本港所有公共医疗机构的外判资讯系统管理具有重要的警示作用，私隐专员公署的执法行动显示政府对保障市民个人私隐的决心 。