醫管局九龍東聯網病人資料被盜：外判人員維護系統時，權限同樣需要嚴格管理

醫院管理局接納私隱專員公署就2026年4月九龍東醫院聯網懷疑病人資料被盜事件的調查報告。事件涉及外判承辦商在維護周邊臨床系統期間的資料存取管理。

2026年10月30日

事件及其後的調查

醫院管理局在2026年10月30日的新聞公報中表示，知悉個人資料私隱專員公署已完成調查，並於當日發表報告，內容涉及同年4月九龍東醫院聯網一宗懷疑病人資料被盜取，以及被非法上載至第三方平台的事件。醫管局接納調查結果及建議，並會跟進。

公報指，本年4月，醫管局的日常監察系統發現該宗懷疑事故。事件屬個別個案，涉及外判承辦商在周邊臨床系統進行維修期間的資料存取管理，導致部分病人資料被盜。醫管局已向警方及公署報告；警方其後拘捕一名承辦商職員，涉嫌不誠實使用電腦。聯網已透過不同渠道通知並向受影響病人及職員致歉。

醫管局表示，其後已加強對承辦商的監督，包括：承辦商人員到場存取系統時，須由獲授權的醫院資訊科技人員陪同，並記錄身分、目的、操作時間及進出設備；定期審核有關系統的資料存取記錄；按職能設定權限，只容許在核准情況下匯出資料；以及按資訊保安政策進行獨立風險評估。

即使不是醫院，不少公司也會請外間技術人員或供應商登入自己的系統做維修或更新。權限過寬、無人陪同、又沒有記錄誰在何時取出資料，同樣可能造成資料外洩。

公司可先檢視：外間人員登入時由誰批准和陪同、可看哪些資料、可否複製或匯出，以及工作完成後是否立即收回權限。

以上內容根據公開報道及官方公布整理，只供一般參考，並非法律意見。如需就公司本身的系統或保安安排查詢，歡迎聯絡我們。

您可以致電、使用 WhatsApp，或使用聯絡表格提交查詢。我們會了解情況後，建議合適的處理方法。