香港寬頻洩客戶資料違例 私隱專員下令糾正

涉事資料庫因人為疏忽而被保留下來

個人資料私隱專員黃繼兒就香港寛頻去年4月中旬發生客戶資料庫遭入侵，導致近38 萬名客戶及服務申請者的個人資料外洩事件展開調查，發表調查報告。基於調查發現，香港寬頻在個人資料保留、刪除等方面違反了有關規定，私隱專員決定向香港寬頻送達執行通知，以糾正違規情況及防止事故重演。

香港寬頻行政總裁楊主光去年就38萬名客戶的資料外洩道歉。資料圖片

調查發現， 涉事資料庫本應在 2012 年完成系統遷移後被刪除，卻因人為疏忽而被保留下來，並繼續連接內部網絡。 公司遺忘了涉事資料庫的存在，期間亦沒有更新資料庫的修補程式及將資料作加密處理； 公司在系統遷移後沒有作全面及審慎的檢查，以致未有適時刪除涉事資料庫； 公司在事發前沒有仔細考量舊客戶個人資料的保留期限和制定資料保留的內部指引，以及保留舊客戶的資料時間過長。

私隱專員認為，香港寬頻沒有採取所有切實可行的步驟，刪除已不再需要的涉事資料庫，加上保留舊客戶的個人資料時間過長，因而違反《私隱條例》第26（資料刪除）和《私隱條例》附表 1 的保障資料第 2(2)原則（資料保留）。私隱專員送達執行通知，以糾正及防止違規情況。

私隱專員指令公司， 制定清晰的程序，訂明系統遷移後，刪除不再需要的資料庫內的個人資料的步驟、時限和監察措施；制定清晰的資料保留政策，訂明客戶及服務申請者個人資料的保留期限，不得超過將其保存，以貫徹該資料被使用於或會被使用於的目的所需的時間；制定清晰的資料保安政策，訂明定期檢視用戶權限及遠程接達服務的保安措施；實施有效的措施，確保有關員工知悉和執行上述政策及程序；根據制訂的資料保留政策，刪除所有超過保留期限的客戶及服務申請者的個人資料。

私隱專員公署發表2023年工作報告，共接獲157宗個人資料外洩事故通報，創歷年新高。

(圖片來源:星島日報)

當中48宗來自公營機構、109宗來自私營機構，較2022年的105宗大幅增加近5成，事故涉及黑客入侵、遺失文件或便攜代裝置、經電郵、郵遞或傳真意外披露個人資料等。公署亦提到，涉及黑客入侵的資料外洩事故由2022年的29宗，大幅增加超過一倍至64宗。

(圖片來源:星島日報)

公署表示，在去年共收到3500多宗投訴個案，較2022年下跌約7%，主要由於在過往一年處理的「起底」個案大幅減少，近92%的投訴個案涉及投訴私營機構或個別人士。

至於打擊「起底」行為，公署表示，去年共處理756宗「起底」個案，較2022年1764宗大幅減少57%。在公署接獲的525宗「起底」投訴中，「起底」主因包括金錢糾紛、家人及感情糾紛等。公署共展開30次拘捕行動，共31人被捕。