聯合醫院半年前逾5萬病人個資外洩 私隱公署：對承辦商監管不足

基督教聯合醫院早前發生一宗資料外洩事故，有關資料被洩漏至暗網，影響逾5萬人。私隱專員公署今日（30日）公布調查結果。

事件發生於今年4月。醫管局於4月3日通報該則資料外洩事故，局方的恆常監察系統偵測到聯合醫院使用的圍術期護理資訊系統的病人資料被外洩至暗網。系統儲存外科手術病人的麻醉及圍術期資料紀錄，以及員工的帳戶資料。

調查顯示，事發時系統承辦商的一名任職系統開發員的員工在未獲醫管局授權下，匯出涉事的個人資料。該員工其後涉嫌干犯「有犯罪或不誠實意圖而取用電腦」而被捕。醫管局現階段未確定被捕人從相關系統匯出資料的確實方法，但確認承辦商可於取得醫管局的批准後，透過遠端方式或在現場進行維護時存取資料。

醫管局的資料顯示，事件合共影響56,243人，包括55,761名病人及482名九龍東醫院聯網的現職或離職員工。受影響的個人資料包括病人的姓名、香港身份證號碼、性別、出生日期、醫院登記號碼、手術程序詳情、預約日期，以及員工的姓名及職級／職系（簡稱）。

在外洩事件發生後，醫管局已通知受影響的人士、終止與相關承辦商訂立的合約，並採取多項補救措施，包括在有關系統以可阻截檔案傳輸並保存完整審計紀錄的軟件取代原有的遠端存取平台、記錄遠端支援的工作時段、增設端點及資料保障措施、加強對承辦商存取權限的管理、修訂及完善對承辦商系統進行的風險評估，以及建立並維持承辦商系統的中央清單，以加強對承辦商的監督。

經評估後，私隱專員鍾麗玲認為醫管局的以下缺失是導致外洩事件發生的主因，包括對承辦商的存取資料及活動監察不足、承辦商管理的系統欠缺以角色為本的存取管控、保安風險評估及審計不足。

私隱專員認為醫管局未有採取所有切實可行的步驟，以確保涉事的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反了《私隱條例》的規定。私隱專員已向醫管局送達執行通知，指示其採取措施以糾正違規事項，以及防止類似違規情況再次發生。＠