醫管局九龍東醫院聯網，今年4月有逾5.6萬名病人的資料外洩，包括5.5萬名病人及480多名現職及離職員工的資料。外洩資料包括病人姓名、身份證號碼、性別、出生日期、醫院登記號碼、手術程序詳情、預約日期，以及員工姓名和職級等。

私隱專員公署公布調查結果，裁定醫管局有3項缺失，包括對承辦商存取資料和活動監察不足、承辦商管理的系統欠缺以角色為本的存取管控，以及保安風險評估和審計不足，裁定醫管局未有採取所有切實可行的步驟，確保涉事資料受保障，因而違反《個人資料（私隱）條例》的規定。私隱專員鍾麗玲已向醫管局送達執行通知，指示局方採取措施，糾正違規事項，以及防止類似違規情況再發生。

病人資料高度敏感　應採取更有效措施

私隱公署表示，已指就事件進行3次查訊，並審視醫管局提供的資料，以及與局方代表進行兩次會面，和到訪聯合醫院，實地視察相關資訊系統，亦已考慮局方採取的跟進和補救工作。綜觀個案情況，公署認為，無論有關承辦商員工，基於甚麼原因和方法，從相關系統匯出受影響的個人資料，醫管局作為資料使用者，都有法定責任，根據《私隱條例》，採取所有切實可行的步驟，保障儲存在相關系統內的個人資料。

公署又指，因應病人資料的高度敏感性，醫管局作為資料使用者，應採取更有效的措施，確保承辦商在聯合醫院相關系統存取資料時，受嚴謹及足夠的監督、監察及管控。

醫管局：嚴肅跟進和採取適當行動

醫管局表示，接納有關調查結果及建議，會嚴肅跟進和採取適當行動，亦會持續加強資訊系統保安，確保醫院運作、病人服務和個人資料安全獲嚴格保障。局方又指，重視私隱公署對醫管局在個人資料保障方面提出的具體建議，指在事件發生後，九龍東醫院聯網已採取一系列措施，並全面檢討，推行全方位策略，加強資訊系統保安，及對外判承辦商的監管，並已通知及向所有受影響病人和員工致歉。

醫管局指，已採取的措施包括嚴格要求所有承辦商人員，在現場存取系統時，必須由獲授權的醫院資訊科技人員陪同，並記錄相關人員的身分、存取目的、操作時間，以及帶進和帶離的設備；定期審查涉事資訊系統的資料存取，並要求承辦商定期提交審查結果報告，匯報任何異常、未經授權或可疑活動等。