联合医院外泄5.6万人资料至暗网 私隐公署揭三大缺失 指医管局违反私隐条例已发执行通知

个人资料私隐专员公署今日（30日）发表基督教联合医院资料外泄事故调查报告，指出医管局在监督承办商、角色存取管控及保安审计方面存在三大缺失，违反《私隐条例》，导致超过5.6万名病人及员工资料被外泄至暗网。公署已向医管局送达执行通知，指示其采取纠正措施。医管局表示，当局接纳有关调查结果及建议，并会严肃跟进和采取适当行动。

承办商员工涉窃取5.6万人敏感资料 医管局报警并终止合约

是次调查源于医院管理局于2026年4月3日向个人资料私隐专员公署通报的资料外泄事故。医管局恒常监察系统侦测到，九龙东医院联网一个由承办商维护的围术期护理资讯系统，其内部的病人及员工资料已被外泄至暗网。该系统主要用于支援手术室护理工作流程，储存了外科手术病人的麻醉及围术期资料，以及相关员工的帐户资料。

调查证实，涉事承办商一名任职系统开发员的员工，在未获医管局授权的情况下汇出系统内的个人资料，该名员工随后因涉嫌干犯「有犯罪或不诚实意图而取用电脑」而被捕。事故共影响56,243人，当中包括55,761名病人及482名九龙东医院联网的现职或离职员工。外泄资料包括病人的姓名、香港身份证号码、性别、出生日期、医院登记号码、手术程序详情与预约日期，以及员工的姓名和职级／职系。

医管局在事故后已即时通知受影响人士，并全面终止与涉事承办商的合约。局方同时采取了多项补救措施，包括在有关系统以可阻截档案传输并保存完整审计纪录的软件取代原有的远端存取平台、记录远端支援的工作时段、增设端点及资料保障措施、加强对承办商存取权限的管理、修订及完善对承办商系统进行的风险评估，以及建立并维持承办商系统的中央清单，以加强对承办商的监督。

私隐专员指有三大保安缺失 违反《私隐条例》

私隐专员公署就外泄事件共进行了三次查讯，并审视了医管局提供的资料。此外，公署人员曾与医管局代表进行两次会面，以了解外泄事件的详情，公署人员亦就外泄事件到访联合医院，对相关的资讯系统进行实地视察。公署亦考虑了医管局就外泄事件采取的跟进及补救工作。

个人资料私隐专员钟丽玲强调，医管局与承办商签订的合约仅属保障个人资料的基本手段。鉴于病人医疗资料具高度敏感性，医管局作为资料使用者，必须采取更具体的措施，确保承办商在存取系统资料时受到严谨的监督与管控。公署在评估医管局的行政及技术措施后，认为医管局存在三大缺失，因而违反了《私隐条例》保障资料第4(1)原则中有关个人资料保安的规定。

首先，医管局对承办商的存取资料及活动监察严重不足。局方并无持有相关系统的存取或资料汇出日志，亦无要求承办商定期提交报告，甚至连内部资讯科技人员也缺乏伺服器的登入凭证。更甚者，在事故发生前，局方容许承办商维护人员在无人陪同下独自进入伺服器房，造成极大的安全漏洞。

其次，承办商管理的系统欠缺以角色为本的存取管控。医管局容许承办商全面存取系统资料库内的所有敏感个人资料，却未有对资料汇出功能施加任何额外的审批或管控，仅依赖合约规定承办商不得在未经批准的情况下汇出资料，显然不足以减低相关风险。

最后，局方的保安风险评估及审计工作亦存在不足。医管局并无为该高风险资讯系统进行独立的风险评估，内部的保安审计也未有涵盖相关系统，更从未要求承办商提交合规审计报告，偏离了其本身的保安政策。因应上述违规事项，私隐专员已正式向医管局送达执行通知，指示其立即采取纠正措施，防止同类事件再次发生。

私隐公署吁机构加强管理资料处理者 保障资讯安全

私隐专员公署借此个案提醒所有持有大量个人资料的机构，在委托外部承办商维护资讯系统时，必须实施更全面的组织与技术防范措施。机构应透过严谨的合约条款规范资料处理者，明确订立强制性的个人资料保安要求，并就违约或未获授权汇出资料设定清晰罚则。同时，机构应建立独立的监察机制，包括独立保管系统及资料汇出纪录，并在承办商职员接触实体系统硬件时进行严密监控。

此外，机构必须贯彻最小权限原则，严格按照工作需要限制承办商的存取权限，避免对其授予持续且全面的管理员权限，并透过角色为本的存取管理，停用或严格限制其资料汇出功能。在基础设施控制方面，应优先由机构内部直接管理储存大量个人资料的系统，确保主要管理员凭证掌握在内部人员手中，避免将控制权拱手相让。最后，机构必须定期就外判的高风险系统进行针对性保安风险评估，并要求承办商定期提交独立的保安审计报告，以核实其资料保安标准是否完全合规。

​医管局：九龙东医院联网已即时采取措施

​医管局就公署提出的具体建议表示深表重视。在上述案件发生后，九龙东医院联网已即时采取一系列措施，并进行了全面检讨，推行全方位策略以加强资讯系统保安及对外判承办商的监管，当中包括公署所建议的步骤，以防止不法分子藉著维护系统，非法存取病人及员工的个人资料。九龙东医院联网早前已透过不同渠道，通知及向所有受事件影响的病人和员工致歉。

​医管局严格要求所有承办商人员现场存取系统时，必须由获授权的医院资讯科技人员陪同，并记录承办商人员的身分、存取目的、操作时间，以及带进及带离的设备；定期审查涉事资讯系统的资料存取，并要求承办商定期向医管局提交审查结果报告，汇报任何异常、未经授权或可疑活动；

​医管局亦加强监管承办商的存取权限、按职能配置资料存取权限、限制获授权人员及获批准情况下的使用，并仅可在特定获批准的情况下允许资料汇出；及联网资讯科技部门会联同医管局总办事处资讯科技及医疗信息部根据医管局《资讯保安政策》，定期就有关系统进行独立保安风险评估及审查。

发言人强调，医管局一直高度重视资讯系统安全和个人资料私隐。本局会继续全天候监察各资讯系统的运作情况，如果发现任何异常情况，会即时采取合适应变措施保障病人及员工私隐。本局亦会与公署等执法机构及专业网络保安机构保持紧密联系，交流保安资讯及情报，持续提升系统保安，加强内部培训、资料管理政策及指引，定期进行测试和检讨，并采取与时并进的保安技术及方案，以有效防止任何不法行为。