新聞稿

個人資料私隱專員公署（私隱專員公署）完成對市區重建局資料外洩事故的調查，並於今日發表調查結果。此外，私隱專員公署亦同時發布《雲端運算指引》。
 
（一）市區重建局（「市建局」）個人資料外洩事故
 
調查源於市建局於2024年5月13日向私隱專員公署通報資料外洩事故，表示市建局存放於雲端平台的市民個人資料可在毋須輸入帳戶及密碼的情況下被瀏覽（「外洩事件」）。
 
背景
 
就衙前圍道／賈炳達道業權收購發展計劃的簡報會，市建局使用雲端平台ArcGIS Online附設的電子表格平台（「該電子表格平台」）製作了兩份電子表格，並於2024年5月2日將有關電子表格上線，以供出席簡報會的業主、租客和商戶填寫資料進行登記。根據市建局，在制定電子表格的過程中，市建局已經多次進行安全檢查。2024年5月3日，市建局在接獲警方通知指涉事表格的部分資料有潛在外洩風險後，立即停用ArcGIS Online雲端平台並刪除儲存於當中的個人資料。市建局其後了解到登記出席簡報會人士的個人資料可在毋須輸入帳戶及密碼的情況下被瀏覽，並於5月13日向私隱專員公署通報。
 
受外洩事件影響的人士為199名已回覆出席簡介會的業主及租戶，所涉及的個人資料包括聯絡電話號碼、聯絡人姓名及業權或通訊地址等個人資料。
 
就外洩事件，市建局與提供該電子表格平台的承辦商進行聯合調查，並從而得知該電子表格平台的軟件有不同版本，而新版本軟件於2022年7月起供下載，當中一項有關數據分享的預設值在新舊版本軟件中並不相同。在新版本軟件的預設值下，用戶需作出額外多項設定才可讓平台使用者在不需要登入的情況下查閱已輸入的數據。可是，市建局用於製作涉事表格的軟件屬其早前已下載並安裝的舊版本軟件，故上述新版本軟件用以加強保護用戶數據的相關預設值並沒有被套用於涉事表格。另一方面，市建局確認基於局方人員對該電子表格平台的版本未有足夠的認知及了解，故此在對電子表格進行測試的過程中並未仔細檢視有關的數據分享設定，亦未有就相關功能進行安全測試，導致是次外洩事件發生。市建局同意，如事發時局方所使用該電子表格平台的軟件為當時最新之版本，便不會發生外洩事件。
 
根據市建局所提供的資料，市建局在得知事件後隨即通知公眾，盡力確認並無任何市民的個人資料外洩，並將對公眾人士造成的影響或不便減至最低，亦致力從事件中汲取教訓，實施多項機構性及技術性的改善措施，以建立更穩健的私隱保安框架和保障個人資料企業文化，防止類似事件再次發生。
 
調查結果
 
私隱專員公署就外洩事件向市建局進行了五次查訊，亦兩度去信要求承辦商就外洩事件提供相關資料。公署感謝市建局及承辦商配合調查，並提供所要求的資訊及文件。經考慮外洩事件的情況及調查所獲得的資料，個人資料私隱專員（私隱專員）鍾麗玲認為市建局的以下缺失是導致外洩事件發生的主因：—
     
基於上述原因，私隱專員裁定市建局沒有採取所有切實可行的步驟以確保涉事的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反了《個人資料（私隱）條例》（《私隱條例》）的保障資料第4(1)原則有關個人資料保安的規定。
 
私隱專員已向市建局發出警告信，要求市建局採取措施加強保障所持有的個人資料，防止類似違規情況再次發生。

（二）《雲端運算指引》
 
隨著雲端運算的服務日見普及，私隱專員公署已同步更新《雲端運算指引》（《指引》），闡釋《私隱條例》適用於雲端運算的相關要求，協助採用雲端運算的機構加強保障個人資料私隱。
 
《指引》因應雲端運算服務的最新技術和趨勢，從服務及部署模式、標準服務及合約，以及外判安排等多方面，向機構提供建議措施以更好地保障個人資料私隱。主要的建議措施如下：—

• 服務及部署模式：
  • 雲端服務供應商可能會不時更新其雲端服務，以提供新服務特點或配置。因此，機構應留意有關更新，並作出相應行動，包括更新相關軟件及／或調整適當的配置等；
  • 私有雲端一般比公共雲端允許機構擁有更多控制權及私隱。擬使用公共雲端的機構應審慎考慮相關保障個人資料私隱的責任及安排，並作出相應的解決方法；
  • 使用「軟件即服務」（Software as a Service，簡稱為SaaS）服務模式的機構會較難直接控制他們所負責的個人資料。機構需要評估這種安排帶來的風險，並因應實際情況減低風險；
• 標準服務及合約：如雲端服務供應商的標準保安程度或所承諾的個人資料保障未能符合機構的要求，機構應要求供應商調整服務及協商合約條款。機構亦應決定以甚麼方式（如審計報告或聲明）核實雲端服務供應商承諾提供的資料保障及保安措施；
• 外判安排：如雲端服務供應商有外判安排，機構應確保獲得雲端服務供應商在合約內承諾，其保障及循規管控的水平同樣適用於其分包商；
• 其他：
  • 日誌記錄︰保留雲端服務供應商提供的審計追蹤記錄，並定期檢視日誌以偵測異常情況；
  • 適當的使用者配置：機構應充分了解配置的功能，確保雲端服務的使用權是按實際運作情況恰當地設定；
  • 傳輸及靜態加密：加密儲存於雲端的個人資料，可選擇提供靜態加密服務的雲端服務供應商；
• 啟用多重身份認證功能；及
• 刪除資料：機構應確保合約中有條文列明雲端服務供應商在機構作出要求後、或在合約完結或終止時，刪除或交還持有的個人資料予機構。

私隱專員鍾麗玲表示：「採用雲端運算的機構以及雲端服務供應商有共同責任確保雲端環境內的數據安全，包括儲存於雲端的個人資料的保安，並遵從《私隱條例》的相關要求。我鼓勵機構採取《指引》中的建議措施，例如加密儲存於雲端的個人資料、確保只有獲授權人士能存取雲端的個人資料、了解雲端供應商提供的最新功能或配置，以及確保與雲端服務供應商簽訂的合約中，有條文規定雲端服務供應商在合約完結時刪除或交還其持有的個人資料等。」
 
下載新版《雲端運算指引》：
https://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/IL_cloud_c.pdf

私隱專員公署發布新版《雲端運算指引》。
 

－完－