聯合醫院5.6萬病人員工資料外洩「暗網」 考試局國際考試系統遭攻擊涉1.7萬考生
發佈時間：03:00 2026-10-31 HKT
個人資料私隱專員公署昨日發表基督教聯合醫院資料外洩事故調查報告，指出醫管局在監督承辦商、角色存取管控及保安審計方面存在3大缺失，違反《私隱條例》，導致超過5.6萬名病人及員工資料被外洩至暗網。公署已向醫管局送達執行通知，指示其採取糾正措施。醫管局表示，接納有關調查結果及建議，並會嚴肅跟進和採取適當行動。
是次調查源於醫院管理局於今年4月3日向個人資料私隱專員公署通報的資料外洩事故。醫管局恆常監察系統偵測到，九龍東醫院聯網一個由承辦商維護的圍術期護理資訊系統，其內部的病人及員工資料已被外洩至暗網。該系統主要用於支援手術室護理工作流程，儲存了外科手術病人的麻醉及圍術期資料，以及相關員工的帳戶資料。
私隱署促醫管局採取糾正措施
調查證實，涉事承辦商一名任職系統開發員的員工，在未獲醫管局授權的情況下匯出系統內的個人資料，該名員工隨後因涉嫌干犯「有犯罪或不誠實意圖而取用電腦」而被捕。事故共影響56243人，當中包括55761名病人及482名九龍東醫院聯網的現職或離職員工。外洩資料包括病人的姓名、香港身份證號碼、性別、出生日期、醫院登記號碼、手術程序詳情與預約日期，以及員工的姓名和職級/職系。
個人資料私隱專員鍾麗玲強調，醫管局與承辦商簽訂的合約僅屬保障個人資料的基本手段。鑑於病人醫療資料具高度敏感性，醫管局作為資料使用者，必須採取更具體的措施，確保承辦商在存取系統資料時受到嚴謹的監督與管控。公署在評估醫管局的行政及技術措施後，認為醫管局存在3大缺失，因而違反了《私隱條例》保障資料第4（1）原則中有關個人資料保安的規定。
私隱署指，醫管局並無為該高風險資訊系統進行獨立的風險評估，內部的保安審計也未有涵蓋相關系統，更從未要求承辦商提交合規審計報告，偏離了其本身的保安政策。因應上述違規事項，私隱專員已正式向醫管局送達執行通知，指示其立即採取糾正措施，防止同類事件再次發生。
另外，考試及評核局昨晚表示，發現涉及部分國際考試資訊系統的網絡安全事故，約16,900名申請兩項國際考試的內地居住人士之個人資料外洩，相關個人資料包括姓名、出生日期及電郵地址。考評局已報警及通報個人資料私隱專員公署，將全力配合調查和跟進工作。
