新聞稿

个人资料私隐专员公署（私隐专员公署）完成对消费者委员会（消委会）资料外洩事故的调查，并于今日发表调查结果。事件源于消委会向私隐专员公署通报资料外洩事故（该资料外洩事故），表示其伺服器遭受到勒索软件攻击。该资料外洩事故导致消委会的数据遭受未获准许的查阅，当中涉及超过450名人士的个人资料，包括投诉人、资讯科技服务供应商的员工、消委会的现职及已离职员工。
 
私隐专员公署多谢消委会在调查过程中所提供的各种资料及合作。调查结果显示一个黑客组织取得消委会一个具管理员权限的帐户凭证，随后透过虚拟私有网络进入消委会的网络，并对消委会的伺服器及端点装置进行勒索软件攻击。
 
根据调查所获得的证据，个人资料私隐专员（私隐专员）钟丽玲认为该资料外洩事故是由消委会的以下缺失所导致：
 

 
基于上述原因，私隐专员钟丽玲认为消委会没有采取所有切实可行的步骤以确保涉事的个人资料受保障而不受未获准许的或意外的查阅、处理、删除、丧失或使用所影响，因而违反了《个人资料（私隐）条例》的保障资料第 4(1)原则有关个人资料保安的规定。
 
私隐专员已向消委会送达执行通知，指示消委会纠正其违反事项，以及防止类似违规情况再次发生。
 
随着科技进步，采用资讯及通讯科技、混合工作模式及远端存取资料已成为新常态。虽然科技发展带来好处及便利，但同时亦无可避免地增加数据安全的风险。为应对网络威胁，机构应定期检视及加强其资讯系统的保安措施。私隐专员希望向使用资讯及通讯科技处理个人资料的机构作出以下建议：
 

 
下载《消费者委员会资讯系统遭勒索软件攻击》报告：
https://www.pcpd.org.hk/tc_chi/enforcement/commissioners_findings/files/r24_14749_c.pdf
 

私隐专员钟丽玲发表消委会资料外洩事故的调查结果。

 

私隐专员钟丽玲发表消委会资料外洩事故的调查结果。

 

私隐专员钟丽玲（左）及首席个人资料主任（合规及查询）郭正熙（右）讲解消委会资料外洩事故的调查结果。