聯合醫院逾五萬病人資料外洩　私隱署指醫管局違反私隱條例已發執行通知

即时港闻

发布： 2026-10-30 17:34

撰文：無綫新聞

聯合醫院4月五萬多名病人資料外洩，私隱專員公署完成調查，指醫管局違反《私隱條例》，已發執行通知。

私隱專員公署新聞稿

個人資料私隱專員公署（私隱專員公署）今日發表有關基督教聯合醫院（聯合醫院）資料外洩事故的調查結果。

背景

是次調查源於醫院管理局（醫管局）於 2026 年 4 月 3 日向私隱專員公署提交的資料外洩事故通報。醫管局表示，其恆常監察系統偵測到九龍東醫院聯網一個供應商系統的病人資料被外洩至暗網（外洩事件）。相關系統為聯合醫院使用的圍術期護理資訊系統，用以支援手術室的護理工作流程。系統儲存外科手術病人的麻醉及圍術期資料紀錄，以及員工的帳戶資料，系統由一間服務提供者開發，並由一間承辦商（承辦商）負責維護。

調查顯示，在外洩事件發生時，相關承辦商的一名任職系統開發員的員工（該員工）在未獲醫管局授權的情況下匯出外洩事件所涉及的個人資料。該員工其後涉嫌干犯「有犯罪或不誠實意圖而取用電腦」而被捕。醫管局現階段未能確定該員工從相關系統匯出受影響個人資料的確實方法，但確認承辦商可於取得醫管局的批准後透過遠端方式或在現場進行維護時存取資料。

醫管局透過與相關承辦商簽訂的服務合約，明文規定承辦商須採取所有切實可行的步驟及保安措施，以防止個人資料受未獲准許或意外的查閱或使用。合約亦規定，承辦商不得在未獲醫管局事先授權的情況下匯出機密資料，包括可識別病人身分的資料，合約並要求承辦商遵從醫管局指定的資訊保安文件所載的要求。醫管局認為，有關未獲授權的資料匯出違反服務合約所訂明的責任。

根據醫管局提供的資料，外洩事件合共影響56,243 名資料當事人，包括55,761名病人及482名九龍東醫院聯網的現職或離職員工。受影響的個人資料包括病人的姓名、香港身份證號碼、性別、出生日期、醫院登記號碼、手術程序詳情、預約日期，以及員工的姓名及職級／職系（簡稱）。

在外洩事件發生後，醫管局已通知受影響的人士、終止與相關承辦商訂立的合約，並採取多項補救措施，包括在有關系統以可阻截檔案傳輸並保存完整審計紀錄的軟件取代原有的遠端存取平台、記錄遠端支援的工作時段、增設端點及資料保障措施、加強對承辦商存取權限的管理、修訂及完善對承辦商系統進行的風險評估，以及建立並維持承辦商系統的中央清單，以加強對承辦商的監督。

調查結果

私隱專員公署感謝醫管局配合公署的調查，並提供所要求的資訊及文件。公署就外洩事件共進行了三次查訊，並審視了醫管局提供的資料。此外，公署人員曾與醫管局代表進行兩次會面，以了解外洩事件的詳情，公署人員亦就外洩事件到訪聯合醫院，對相關的資訊系統進行實地視察。公署亦考慮了醫管局就外洩事件採取的跟進及補救工作。

綜觀個案情況，不論有關承辦商員工基於何種原因及以何種方法從相關系統匯出受影響的個人資料，醫管局作為資料使用者，有法定責任根據《個人資料（私隱）條例》（《私隱條例》）下有關個人資料保安的保障資料第4(1)原則，採取所有切實可行的步驟保障儲存於相關系統內的個人資料。個人資料私隱專員（私隱專員）鍾麗玲認為，醫管局與承辦商所簽訂的合約條文僅屬保障受影響的個人資料的基本方法。因應病人資料的高度敏感性，醫管局作為資料使用者，應採取更為有效的措施，確保承辦商於聯合醫院相關系統存取資料時，受到嚴謹及足夠的監督、監察及管控。

經評估醫管局於外洩事件發生時對相關系統所採取的行政及技術性措施後，私隱專員鍾麗玲認為醫管局的以下缺失是導致外洩事件發生的主因（詳見附件一）：─

對承辦商的存取資料及活動監察不足；
承辦商管理的系統欠缺以角色為本的存取管控；及
保安風險評估及審計不足。

基於以上缺失，私隱專員認為醫管局未有採取所有切實可行的步驟，以確保涉事的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反了《私隱條例》的保障資料第 4(1)原則有關個人資料保安的規定。

私隱專員已向醫管局送達執行通知，指示其採取措施以糾正違規事項，以及防止類似違規情況再次發生。

私隱專員希望藉此個案提醒持有大量個人資料的機構，在委託資料處理者維護資訊系統時，應採取以下機構性及技術性措施，確保個人資料安全：

透過嚴謹的合約條款規範資料處理者：訂立合約，明確訂明強制性的個人資料保安措施、就違反合約或未獲授權匯出資料訂定清晰的罰則、保留視察或審計權利，並要求即時通報事故；
建立獨立的監察及監督機制：獨立保管系統及資料匯出紀錄、規定承辦商定期提交活動報告，並要求內部資訊科技人員在承辦商職員接觸實體系統硬件時採取嚴謹的監察措施；
實施最小權限原則及嚴格的存取管控： 嚴格按照「有需要知道」原則限制承辦商的存取權限、避免讓承辦商持續擁有可全面存取敏感個人資料的管理員權限，並透過角色為本的存取管理停用或嚴格限制資料匯出功能；
保留主要行政擁有權及基礎設施控制權：優先由機構直接管理儲存大量個人資料的系統，並確保主要管理員憑證由內部人員掌握，避免將伺服器的全部控制權交予外部承辦商；及
定期進行保安風險評估及審計：定期就外判的高風險系統進行針對性保安風險評估，並規定承辦商定期提交獨立的保安審計報告，以核實其是否符合資料保安標準。

附件一

基督教聯合醫院資料外洩事件
導致發生事件的缺失

對承辦商的存取資料及活動監察不足

調查發現，醫管局制訂的「資訊保安政策」規定須定期檢視資訊系統日誌資料，以識別未獲授權或可疑的活動。然而，醫管局解釋由於相關系統由承辦商負責維護，因此醫管局並無持有系統的存取或資料匯出日誌。此外，沒有證據顯示醫管局曾要求承辦商檢視相關日誌，或就其維護期間所執行的指令、存取的檔案或傳輸的資料提交報告。

醫管局對相關系統的行政控制有限，醫管局的資訊科技人員並無登入相關伺服器的登入憑證，而需依賴承辦商管理相關伺服器。此外，在外洩事件發生前，醫管局並無規定承辦商的維護人員進入聯合醫院的伺服器機房時，須由醫管局的資訊科技人員陪同。在缺乏監督的情況下，有關安排造成可預見的風險，即在獲授權進入處所進行維護工作期間，可能出現未經授權的活動或敏感病人資料被傳送的情況，而未能及時被發現。

總括而言，醫管局對相關承辦商存取系統資料及承辦商於聯合醫院的活動的監察並不足夠。醫管局應透過適當的日誌記錄、監察及檢視，以及實地監督，擔當更積極的監察及監督角色。

承辦商管理的系統欠缺以角色為本的存取管控

醫管局解釋，承辦商須為相關系統提供支援及維護服務，當中可能包括系統設置及實施、更新和修補及相關備份、系統升級、系統應用程式的故障審視，以及維修或更換系統伺服器等硬件。為方便承辦商執行上述工作，醫管局認為承辦商有必要存取系統資料庫內的所有資料，包括個人資料。醫管局亦承認，承辦商在技術上可從相關系統匯出資料，但表示承辦商只可在獲醫管局批准後方可匯出資料。

私隱專員認為，醫管局應實施適當措施，確保授予外部承辦商的存取權限得到妥善管理，而承辦商的個別員工有清晰權限，同時限制資料匯出功能，或對該功能施加額外的審批、管控及監察，包括採用以角色為本的存取管控、承辦商存取權限的管理，或端點及資料保障措施。鑑於由承辦商管理的相關系統欠缺以角色為本的存取管控，醫管局僅依賴合約規定承辦商不得在未經批准的情況下匯出資料，顯然不足以減低相關風險，並增加個人資料被未獲授權查閱或匯出的風險。

保安風險評估及審計不足

根據局方的「資訊保安政策」，醫管局須至少每兩年就高風險資訊系統進行一次保安風險評估。此外，資訊系統的審計須採用風險為本的方法，以確保員工遵從「資訊科技保安政策」，以及有效實施保安措施。作為替代安排，第三方承辦商須定期提交保安審計報告，以證明其已採取適當的保安措施。醫管局表示未有就屬於高風險資訊系統的受事件影響的系統進行獨立的風險評估，而醫管局於2024年進行的內部審計亦未有涵蓋相關系統及承辦商所提供的服務。此外，沒有資料顯示承辦商曾就醫管局透過合約委託其提供的服務提交任何審計報告。

醫管局既未有針對受影響系統及承辦商所提供的服務進行保安風險評估，亦未有就該等服務進行審計或取得承辦商提交的審計報告。這不但偏離醫管局本身的保安政策，亦未能達到其作為資料使用者應具有的資訊安全標準。由於缺乏相關評估及審計，醫管局未能有系統地識別、評估及減低與承辦商所提供服務的相關風險。