懷疑急症室電腦系統可供未獲授權取覽 – 懷疑有醫護人員向執法機構披露病人的個人資料 – 保障資料第3及第4原則 – 《私隱條例》第58及59條的豁免條文
投訴內容
2019年發生社會事件期間，公署收到市民投訴，關注前往醫院求診的示威者的個人資料會否透過以下途徑外洩予執法機構：
經電腦系統
經醫護人員
針對以上可能引致病人資料外洩的原因，公署向有關醫院的管理機構（該機構）進行循規調查。
調查所得資料
關於電腦系統
公署在審閱該機構提供的資料後，信納其電腦系統並無與任何外界系統連接，以及執法機構並無權限自行登入該系統查閱病人資料。不過，公署發現，即使所有急症室的電腦均裝置了須以個人帳戶及密碼登入的新版系統，部分急症室的電腦同時仍保留可以部門共同帳戶及密碼登入，或可設定為自動登入的舊版系統。此做法的目的是為了節省登入系統的時間，利便急症室工作分秒必爭的需要。由於舊版系統不能追查登入者的身份及查閱資料活動，公署認為該機構沒有採取所有切實可行的步驟，確保病人的個人資料受保障而不受未獲准許的或意外的查閱、處理等所影響。
關於醫護人員
該機構對轄下三間醫院進行調查後，並沒有發現證據顯示在事件中，急症室的工作人員曾將求診者的病人資料向第三者（包括執法機構）披露。不過，從該機構提供有關上述調查的資料可見:
專員的意見
專員認為，調查所得資料顯示該機構未有在電腦的系統保安及急症室現場環境方面，採取所有切實可行的步驟，以確保病人個人資料受保障，而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，違反了《私隱條例》保障資料第4原則的規定。
另一方面，醫院收集求診者個人資料的原來目的，是為向求診者提供醫療救護服務。如院方將求診者個人資料披露予執法機構作與上述目的無關的用途，除非院方已取得求診者對此的同意，否則便違反保障資料第3原則的規定。同時，《私隱條例》訂明在某些特殊情況下，違規者可引用豁免條款，以致他們使用的個人資料可獲豁免不受保障資料第3原則的管限，例如把病人的身份及所在地告知第三者，以協助第三者可即時提供救援，從而避免對該病人或其他人的身體或精神健康造成嚴重傷害（《私隱條例》第59條）；披露的個人資料是用作偵測或防止罪行，或拘捕、檢控或拘留犯罪者（《私隱條例》第58條）。
雖然《私隱條例》訂明用作拘捕犯罪者的個人資料可獲豁免，不過，若醫院決定引用此項豁免的話，醫院有責任證明院方當時有合理理由相信，若不如此披露有關病人資料，便相當可能會損害有關的執法工作。
專員不評論執法機構的執法工作，以及任何個別被捕人士所牽涉的個案，包括《私隱條例》的豁免條文在個別個案中是否適用。專員認為，事件的關鍵問題在於院方有否制定機制或程序，確保身處於需要不時面對各方查詢的職員在代表院方行事時，妥善考慮執法機構索取個人資料的要求，例如在發放個人資料前，醫院應要求有關機構提供足夠資訊，包括索取資料的目的、所調查的案件的性質及所索取的資料如何與調查有關、為何若不提供該資料將會阻礙調查等，從而審視情況是否合乎引用有關豁免條款。
由於根據現有資料未能確定有關醫院在案發時有否向執法人員披露個人資料，故專員無法斷定該機構是否可根據《私隱條例》的條文而豁免於保障資料第3原則的管限。不過，調查所得的資料顯示，有關醫院一貫有應執法人員要求向其提供求診者病人標籤的做法。該機構亦沒有完善的監督機制或提供具體指引予職員，專員認為此舉未能為求診者的個人資料提供充分保障。
該機構的修正行動
除了將急症室大部份電腦中舊版系統移除，以及停止執法人員按其執法需要要求入院登記處提供病人標籤的做法外，在調查期間，該機構成立了專責小組檢視臨床系統安全風險，制定了多項加強保障求診者個人資料的策略，同時採取了即時的補救措施，包括在急症室範圍設定「公眾使用」、「臨床治理」及「職員專用」區域；加強電腦及顯示屏幕的私隱保障措施；以及向員工發出處理執法機構索取病人資料的指引。
執行通知
根據調查結果，專員向該機構發出執行通知，指示該機構在指定時間內完成以下加強保障病人資料的步驟︰
上載日期：2020年9月