Ce qui a changé
- Le Commissaire à la protection des données personnelles a publié un rapport d'enquête concernant un incident de vol de données de patients survenu en avril dans le réseau hospitalier Kowloon East.
- La police a arrêté un employé d'un prestataire sous le soupçon d'accès à un système informatique dans une intention malhonnête, l'enquête pénale étant toujours en cours.
- L'Hospital Authority a mis en œuvre des politiques révisées de surveillance des prestataires, exigeant l'accompagnement par du personnel informatique, l'audit des accès, des restrictions basées sur les rôles et des évaluations de risques de routine.
Les établissements de santé publics, les prestataires de services informatiques et les professionnels de la conformité en matière de protection de la vie privée opérant dans la RAS de Hong Kong sont concernés par les exigences révisées de gestion des fournisseurs et de sécurité des systèmes à la suite de la réponse de l'Hospital Authority (HA) à une enquête majeure sur la confidentialité des données.
Le 30 octobre 2026, l'HA a publié un communiqué officiel acceptant les conclusions et recommandations publiées par le Bureau du Commissaire à la protection des données personnelles (PCPD). L'enquête a examiné un incident survenu en avril dans le réseau hospitalier Kowloon East (KEC), où une surveillance de routine a détecté le vol et le téléchargement illégal de données de patients sur une plateforme tierce. La violation a été identifiée comme un événement isolé lié à la gestion du contrôle d'accès lors de travaux de maintenance effectués sur un système clinique périphérique par un prestataire externe. L'HA avait préalablement signalé la violation aux forces de l'ordre, ce qui a conduit à l'arrestation d'un employé du prestataire par la police, soupçonné d'avoir accédé à un système informatique dans une intention malhonnête. Les enquêtes pénales se poursuivent.
En réponse aux recommandations du PCPD, l'HA et le KEC ont mis en œuvre une stratégie de sécurité renforcée régissant l'accès des prestataires lors de la maintenance des systèmes. Les mesures requises comprennent :
1. Accompagnement sur site et journalisation : obligation pour le personnel des prestataires accédant aux systèmes sur site d'être accompagné par du personnel informatique hospitalier autorisé, avec enregistrement de journaux détaillés indiquant l'identité, le motif, les heures d'opération et le matériel introduit ou retiré.
2. Audit d'accès : instauration d'audits réguliers des accès aux données et obligation pour les prestataires de soumettre des rapports d'audit périodiques détaillant toute activité anormale, non autorisée ou suspecte.
3. Contrôle d'accès strict : reconfiguration des droits d'accès fondée strictement sur les rôles et les fonctions, limitation de l'utilisation du système au seul personnel autorisé et interdiction de toute exportation de données, sauf circonstances expressément approuvées.
4. Évaluations indépendantes des risques de sécurité : réalisation régulière d'évaluations et d'audits conjoints des risques de sécurité entre les services informatiques des réseaux hospitaliers et la Division de l'informatique et de l'informatique de santé du siège de l'HA.
L'HA a confirmé que le KEC avait préalablement informé et présenté ses excuses aux patients et au personnel touchés. À l'avenir, l'HA entend maintenir une surveillance continue des systèmes, effectuer des tests périodiques et assurer la liaison avec le PCPD, les forces de l'ordre et les organismes professionnels de cybersécurité afin de protéger les données personnelles.
Qui peut être concerné
Établissements de santé publics, prestataires informatiques, fournisseurs de services de maintenance informatique et patients dans la RAS de Hong Kong.
Contexte transfrontalier
Pertinent pour les fournisseurs informatiques internationaux et les prestataires de maintenance opérant dans la RAS de Hong Kong qui gèrent les droits d'accès aux données et le personnel technique pour des infrastructures publiques critiques.
Points à vérifier ensuite
- Mises à jour officielles ou directives d'application publiées directement par le Bureau du Commissaire à la protection des données personnelles (PCPD).
- Déclarations ou conclusions juridiques formelles de la Police de Hong Kong concernant l'enquête pénale visant l'employé du prestataire.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.