联合医院5.6万病人员工资料外泄「暗网」 考试局国际考试系统遭攻击涉1.7万考生
发布时间：03:00 2026-10-31 HKT
个人资料私隐专员公署昨日发表基督教联合医院资料外泄事故调查报告，指出医管局在监督承办商、角色存取管控及保安审计方面存在3大缺失，违反《私隐条例》，导致超过5.6万名病人及员工资料被外泄至暗网。公署已向医管局送达执行通知，指示其采取纠正措施。医管局表示，接纳有关调查结果及建议，并会严肃跟进和采取适当行动。
是次调查源于医院管理局于今年4月3日向个人资料私隐专员公署通报的资料外泄事故。医管局恒常监察系统侦测到，九龙东医院联网一个由承办商维护的围术期护理资讯系统，其内部的病人及员工资料已被外泄至暗网。该系统主要用于支援手术室护理工作流程，储存了外科手术病人的麻醉及围术期资料，以及相关员工的帐户资料。
私隐署促医管局采取纠正措施
调查证实，涉事承办商一名任职系统开发员的员工，在未获医管局授权的情况下汇出系统内的个人资料，该名员工随后因涉嫌干犯「有犯罪或不诚实意图而取用电脑」而被捕。事故共影响56243人，当中包括55761名病人及482名九龙东医院联网的现职或离职员工。外泄资料包括病人的姓名、香港身份证号码、性别、出生日期、医院登记号码、手术程序详情与预约日期，以及员工的姓名和职级/职系。
个人资料私隐专员钟丽玲强调，医管局与承办商签订的合约仅属保障个人资料的基本手段。鉴于病人医疗资料具高度敏感性，医管局作为资料使用者，必须采取更具体的措施，确保承办商在存取系统资料时受到严谨的监督与管控。公署在评估医管局的行政及技术措施后，认为医管局存在3大缺失，因而违反了《私隐条例》保障资料第4（1）原则中有关个人资料保安的规定。
私隐署指，医管局并无为该高风险资讯系统进行独立的风险评估，内部的保安审计也未有涵盖相关系统，更从未要求承办商提交合规审计报告，偏离了其本身的保安政策。因应上述违规事项，私隐专员已正式向医管局送达执行通知，指示其立即采取纠正措施，防止同类事件再次发生。
另外，考试及评核局昨晚表示，发现涉及部分国际考试资讯系统的网络安全事故，约16,900名申请两项国际考试的内地居住人士之个人资料外泄，相关个人资料包括姓名、出生日期及电邮地址。考评局已报警及通报个人资料私隐专员公署，将全力配合调查和跟进工作。
