醫管局接納私隱報告加強保安

醫院管理局回應個人資料私隱專員公署調查報告，接納其結果及建議，並就今年四月九龍東醫院聯網病人資料被盜取事件，加強資訊系統保安及外判承辦商監管措施。醫管局已主動向警方及公署報告，警方拘捕一名承辦商職員。

醫院管理局（醫管局）發言人今日（十月三十日）表示，知悉個人資料私隱專員公署（公署）早前就今年四月九龍東醫院聯網一宗懷疑病人資料被盜取及非法上載至第三方平台的事件完成調查，並於今日發表調查報告。醫管局接納有關調查結果及建議，並會嚴肅跟進和採取適當行動。本局亦會持續加強資訊系統保安，確保醫院運作、病人服務和個人資料安全獲得嚴格保障。

本年四月，醫管局的恒常監察系統發現九龍東醫院聯網發生一宗懷疑病人資料被盜取的事件。事件屬個別個案，涉及周邊醫療系統的外判承辦商進行維護工作時存取資料的管理問題，導致部分病人資料被盜取。本局非常重視今次事件，隨即主動向警方及公署報告，警方其後以「不誠實使用電腦」罪名拘捕一名承辦商的職員。

本局一直全力配合警方及公署的調查工作。由於警方仍在進行刑事調查，現階段不宜就相關案件進一步評論。就公署對醫管局在個人資料保障方面提出的具體建議，本局深表重視。在上述案件發生後，九龍東醫院聯網已即時採取一系列措施，並進行了全面檢討，推行全方位策略以加強資訊系統保安及對外判承辦商的監管。

有關措施包括：嚴格要求所有承辦商人員現場存取系統時，必須由獲授權的醫院資訊科技人員陪同，並記錄承辦商人員的身分、存取目的、操作時間，以及帶進及帶離的設備；定期審查涉事資訊系統的資料存取，並要求承辦商定期向醫管局提交審查結果報告，匯報任何異常、未經授權或可疑活動；加強監管承辦商的存取權限、按職能配置資料存取權限、限制獲授權人員及獲批准情況下的使用，並僅可在特定獲批准的情況下允許資料匯出；聯網資訊科技部門會聯同醫管局總辦事處資訊科技及醫療信息部根據醫管局《資訊保安政策》，定期就有關系統進行獨立保安風險評估及審查。

九龍東醫院聯網早前已透過不同渠道，通知及向所有受事件影響的病人和員工致歉。發言人強調，醫管局一直高度重視資訊系統安全和個人資料私隱。本局會繼續全天候監察各資訊系統的運作情況，如果發現任何異常情況，會即時採取合適應變措施保障病人及員工私隱。

本局亦會與公署等執法機構及專業網絡保安機構保持緊密聯繫，交流保安資訊及情報，持續提升系統保安，加強內部培訓、資料管理政策及指引，定期進行測試和檢討，並採取與時並進的保安技術及方案，以有效防止任何不法行為。