Was sich geändert hat
- Die Datenschutzbeauftragte für personenbezogene Daten hat einen Untersuchungsbericht zu einem Diebstahl von Patientendaten im April im Kowloon East Cluster veröffentlicht.
- Die Polizei nahm einen Mitarbeiter eines Auftragnehmers wegen des Verdachts des Zugriffs auf einen Computer in unlauterer Absicht fest; die strafrechtlichen Ermittlungen dauern an.
- Die Hospital Authority hat überarbeitete Richtlinien zur Beaufsichtigung von Auftragnehmern umgesetzt, die die Begleitung durch IT-Personal, Zugriffsüberprüfungen, rollenbasierte Einschränkungen und routinemässige Risikobeurteilungen vorschreiben.
Öffentliche Gesundheitseinrichtungen, IT-Dienstleister und Datenschutz-Compliance-Experten in der Sonderverwaltungszone Hongkong sind von überarbeiteten Erwartungen an das Lieferantenmanagement und die Systemsicherheit betroffen, nachdem die Hospital Authority (HA) auf eine grosse Datenschutzuntersuchung reagiert hat.
Am 30. Oktober 2026 gab die HA eine öffentliche Erklärung ab, in der sie die vom Büro der Datenschutzbeauftragten für personenbezogene Daten (PCPD) veröffentlichten Feststellungen und Empfehlungen akzeptierte. Die Untersuchung befasste sich mit einem Vorfall im April im Kowloon East Cluster (KEC), bei dem eine routinemässige Überwachung den Diebstahl und das rechtswidrige Hochladen von Patientendaten auf die Plattform eines Drittanbieters feststellte. Die Verletzung wurde als isoliertes Ereignis identifiziert, das mit dem Zugriffskontrollmanagement während Wartungsarbeiten an einem peripheren klinischen System durch einen externen Auftragnehmer zusammenhing. Die HA hatte die Verletzung zuvor den Strafverfolgungsbehörden gemeldet, was zur Festnahme eines Mitarbeiters des Auftragnehmers durch die Polizei wegen des Verdachts des Zugriffs auf einen Computer in unlauterer Absicht führte. Die strafrechtlichen Ermittlungen dauern an.
Als Reaktion auf die Empfehlungen des PCPD haben die HA und der KEC eine erweiterte Sicherheitsstrategie für den Zugriff von Auftragnehmern während der Systemwartung umgesetzt. Die erforderlichen Massnahmen umfassen:
1. Begleitung vor Ort und Protokollierung: Verpflichtung, dass Personal von Auftragnehmern, das vor Ort auf Systeme zugreift, von autorisiertem IT-Personal des Krankenhauses begleitet wird, wobei umfassende Protokolle über Identität, Zweck, Betriebszeiten und eingebrachte oder ausgebrachte Geräte geführt werden.
2. Zugriffsprüfung: Einrichtung routinemässiger Datenzugriffsprüfungen und Verpflichtung der Auftragnehmer zur Einreichung regelmässiger Prüfberichte, in denen ungewöhnliche, unbefugte oder verdächtige Aktivitäten detailliert beschrieben werden.
3. Strikte Zugriffskontrolle: Neukonfiguration der Zugriffsrechte streng nach Rollen und Funktionen, Beschränkung der Systemnutzung auf autorisiertes Personal und Verbot von Datenexporten, ausser unter speziell genehmigten Umständen.
4. Unabhängige Sicherheitsrisikobeurteilungen: Durchführung regelmässiger gemeinsamer Sicherheitsrisikobeurteilungen und Audits zwischen den IT-Abteilungen der Cluster und der Abteilung für Informationstechnologie und Gesundheitsinformatik der HA-Hauptverwaltung.
Die HA bestätigte, dass der KEC die betroffenen Patienten und Mitarbeiter zuvor benachrichtigt und sich bei ihnen entschuldigt hat. Für die Zukunft beabsichtigt die HA, eine kontinuierliche Systemüberwachung aufrechtzuerhalten, regelmässige Tests durchzuführen und mit dem PCPD, den Strafverfolgungsbehörden sowie professionellen Cybersicherheitsgremien zusammenzuarbeiten, um personenbezogene Daten zu schützen.
Wer betroffen sein kann
Öffentliche Gesundheitseinrichtungen, IT-Auftragnehmer, Systemwartungsdienstleister und Patienten in der Sonderverwaltungszone Hongkong.
Grenzüberschreitender Kontext
Relevant für internationale IT-Anbieter und Wartungsdienstleister in der Sonderverwaltungszone Hongkong, die Datenzugriffsrechte und technisches Personal für kritische öffentliche Infrastrukturen verwalten.
Was als Nächstes zu prüfen ist
- Offizielle Aktualisierungen oder Durchsetzungsrichtlinien, die direkt vom Büro der Datenschutzbeauftragten für personenbezogene Daten (PCPD) veröffentlicht werden.
- Erklärungen oder formelle rechtliche Ergebnisse der Polizei von Hongkong bezüglich der strafrechtlichen Ermittlungen gegen den Mitarbeiter des Auftragnehmers.
Dieser Artikel dient der allgemeinen Information und stellt keine Rechtsberatung dar. Ziehen Sie den offiziellen Text zu Rate und holen Sie bei Bedarf eine auf Ihre Situation abgestimmte Beratung ein.