聯合醫院外洩資料｜私隱公署報告指監察嚴重不足 醫管局：已規定承辦商存取系統時必須有醫院IT人員陪同

個人資料私隱專員公署發表聯合醫院資料外洩事件的調查結果，私隱專員鍾麗玲指醫管局未採取所有切實可行的步驟保障個人資料保安，違反《個人資料（私隱條例）》保障資料第 4(1) 原則，並已向醫管局送達執行通知。醫管局則表示，已經要求承辦商人員現場存取系統時，必須由獲授權的醫院資訊科技人員陪同，並記錄承辦商人員的身分、存取目的、操作時間，以及帶進和帶離的設備。醫管局在4月3日向私隱公署通報，聯合醫院使用的圍術期護理資訊系統發生外洩資料事件，承辦商一名任職系統開發員的員工在未獲醫管局授權的情況下匯出外洩事件所涉及的個人資料。該員工其後涉嫌干犯「有犯罪或不誠實意圖而取用電腦」而被捕。事件影響56,243 名資料當事人，包括55,761名病人及482名九龍東醫院聯網的現職或離職員工。私隱公署發布調查結果，鍾麗玲認為醫管局對承辦商的存取資料及活動監察不足，承辦商管理的系統欠缺以角色為本的存取管控，保安風險評估及審計不足。她認為醫管局未有採取所有切實可行的步驟，以確保涉事的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反了《私隱條例》的保障資料第 4(1)原則有關個人資料保安的規定，並已已向醫管局送達執行通知。醫管局回應指，已經採取多項措施，包括嚴格要求所有承辦商人員現場存取系統時，必須由獲授權的醫院資訊科技人員陪同，並記錄承辦商人員的身分、存取目的、操作時間，以及帶進及帶離的設備。亦會定期審查涉事資訊系統的資料存取，並要求承辦商定期向醫管局提交審查結果報告，匯報任何異常、未經授權或可疑活動。此外，醫管局會加強監管承辦商的存取權限、按職能配置資料存取權限、限制獲授權人員及獲批准情況下的使用，並僅可在特定獲批准的情況下允許資料匯出。而聯網資訊科技部門會聯同醫管局總辦事處資訊科技及醫療信息部根據醫管局《資訊保安政策》，定期就有關系統進行獨立保安風險評估及審查。九龍東醫院聯網早前已透過不同渠道，通知及向所有受事件影響的病人和員工致歉。 HKET App已全面升級，TOPick為大家推出一系列親子、健康、娛樂、港聞及休閒生活資訊及影片。立即下載︰https://onelink.to/f92q4m追蹤TOPick WhatsApp頻道睇最新資訊︰http://tinyurl.com/3dtnw8f5