主要变化
- 个人资料私隐专员公署就九龙东医院联网4月份发生的患者数据盗窃事件发布了调查报告。
- 警方以涉嫌有不诚实意图而取用电脑逮捕了一名承包商员工，刑事调查仍在进行中。
- 医院管理局实施了修订后的承包商监督政策，要求IT人员陪同、访问审计、基于角色的权限限制以及例行风险评估。
在香港特别行政区运营的公营医疗机构、IT服务承包商和隐私合规专业人员，均受到医院管理局（医管局）对重大数据隐私调查作出回应后修订的供应商管理和系统安全预期的影响。
2026年10月30日，医管局发表公开声明，接受个人资料私隐专员公署（私隐专员公署）发布的调查结果和建议。该调查针对九龙东医院联网（九龙东联网）4月发生的一起事件，当时例行监控检测到患者数据被盗并被非法上传至第三方平台。该数据泄露被认定为一起独立事件，与外部承包商对外围临床系统进行维护工作期间的访问控制管理有关。医管局此前已向执法部门报案，警方随后以涉嫌有不诚实意图而取用电脑逮捕了一名承包商员工。刑事调查仍在进行中。
为回应私隐专员公署的建议，医管局及九龙东联网实施了强化安全策略，规范承包商在系统维护期间的访问。所需措施包括：
1. 现场陪同与记录：强制要求现场访问系统的承包商人员由获授权的医院IT人员陪同，并对身份、目的、操作时间以及带入或带出的设备记录完整日志。
2. 访问审计：建立例行数据访问审计，并要求承包商定期提交审计报告，详细说明异常、未授权或可疑活动。
3. 严格访问控制：严格根据角色和功能重新配置访问权限，将系统使用限制为获授权人员，并禁止在未经特定批准的情况下导出数据。
4. 独立安全风险评估：联网IT部门与医管局总办事处资讯科技及医疗信息部之间定期开展联合安全风险评估与审计。
医管局确认九龙东联网此前已向受影响的患者和员工进行了通知并道歉。展望未来，医管局意图保持持续的系统监控、执行定期测试，并与私隐专员公署、执法部门及专业网络安全机构保持沟通，以保护个人资料。
受影响对象
香港特别行政区的公营医疗设施、IT承包商、系统维护服务提供商及患者。
跨境背景
适用于在香港特别行政区运营、负责管理关键公共基础设施数据访问权限和技术人员的国际IT供应商及维护服务提供商。
后续关注事项
- 由个人资料私隐专员公署（私隐专员公署）直接发布的官方更新或执法指令。
- 香港警务处关于对承包商员工进行刑事调查的声明或正式法律结果。
本文仅提供一般性信息，不构成法律意见。必要时请查阅官方文本并根据您的具体情况寻求专业建议。