新聞稿

個人資料私隱專員公署（私隱專員公署）完成對消費者委員會（消委會）資料外洩事故的調查，並於今日發表調查結果。事件源於消委會向私隱專員公署通報資料外洩事故（該資料外洩事故），表示其伺服器遭受到勒索軟件攻擊。該資料外洩事故導致消委會的數據遭受未獲准許的查閱，當中涉及超過450名人士的個人資料，包括投訴人、資訊科技服務供應商的員工、消委會的現職及已離職員工。
 
私隱專員公署多謝消委會在調查過程中所提供的各種資料及合作。調查結果顯示一個黑客組織取得消委會一個具管理員權限的帳戶憑證，隨後透過虛擬私有網絡進入消委會的網絡，並對消委會的伺服器及端點裝置進行勒索軟件攻擊。
 
根據調查所獲得的證據，個人資料私隱專員（私隱專員）鍾麗玲認為該資料外洩事故是由消委會的以下缺失所導致：
 

 
基於上述原因，私隱專員鍾麗玲認為消委會沒有採取所有切實可行的步驟以確保涉事的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反了《個人資料（私隱）條例》的保障資料第 4(1)原則有關個人資料保安的規定。
 
私隱專員已向消委會送達執行通知，指示消委會糾正其違反事項，以及防止類似違規情況再次發生。
 
隨著科技進步，採用資訊及通訊科技、混合工作模式及遠端存取資料已成為新常態。雖然科技發展帶來好處及便利，但同時亦無可避免地增加數據安全的風險。為應對網絡威脅，機構應定期檢視及加強其資訊系統的保安措施。私隱專員希望向使用資訊及通訊科技處理個人資料的機構作出以下建議：
 

 
下載《消費者委員會資訊系統遭勒索軟件攻擊》報告：
https://www.pcpd.org.hk/tc_chi/enforcement/commissioners_findings/files/r24_14749_c.pdf
 

私隱專員鍾麗玲發表消委會資料外洩事故的調查結果。

 

私隱專員鍾麗玲發表消委會資料外洩事故的調查結果。

 

私隱專員鍾麗玲（左）及首席個人資料主任（合規及查詢）郭正熙（右）講解消委會資料外洩事故的調查結果。