醫院管理局4月時曾通報一宗意外泄露5.6萬人資料至暗網的事故。私隱專員公署今日（30日）公布調查報告並表示，相關事件涉及超過5.5萬名病人，受影響資料包括身份證號碼、性別、生日及手術程序詳情等。

公署指出，事件涉及資訊系統承辦商員工在未獲授權下匯出個人資料，醫管局現時仍未能確定該員工匯出資料的確實方法。私隱專員鍾麗玲認為，醫管局對承辦商監管不足，亦未做妥保安風險評估等工作，這些缺失是事件主因，因而違反了《私隱條例》，已向醫管局送達執行通知，指示其採取措施以糾正違規事項，以及防止類似違規情況再次發生。

醫管局於今年4月3日向私隱專員公署通報外泄事件，並表示其恆常監察系統偵測到九龍東醫院聯網一個供應商系統的病人資料被外泄至暗網。相關系統為聯合醫院使用的圍術期護理資訊系統，用以支援手術室的護理工作流程。系統儲存外科手術病人的麻醉及圍術期資料紀錄，以及員工的帳戶資料，系統由一間服務提供者開發，並由一間承辦商負責維護。

外泄事件合共影響56,243 名資料當事人，包括55,761名病人及482名九龍東醫院聯網的現職或離職員工。受影響的個人資料包括病人的姓名、香港身份證號碼、性別、出生日期、醫院登記號碼、手術程序詳情、預約日期，以及員工的姓名及職級／職系（簡稱）。

調查顯示，在外泄事件發生時，相關承辦商的一名系統開發員在未獲當局授權的情況下，匯出涉事資料。該員工其後涉嫌干犯「有犯罪或不誠實意圖而取用電腦」而被捕。

報告指出，醫管局現階段未能確定該員工從相關系統匯出受影響個人資料的確實方法，但確認承辦商可在取得醫管局的批准後透過遠端方式或在現場進行維護時存取資料。醫管局稱，合約規定承辦商須採取保安措施，以防止個人資料受未獲准許或意外的查閱或使用；以及不得在未獲授權下匯出可識別病人身分的資料。醫管局認為，匯出未獲授權的資料違反服務合約所訂明的責任。

私隱專員公署評估後指，不論有關承辦商員工基於何種原因及以何種方法從相關系統匯出受影響的個人資料，醫管局作為資料使用者，有法定責任保障儲存於相關系統內的個人資料。

個人資料私隱專員（私隱專員）鍾麗玲表示，醫管局與承辦商所簽訂的合約條文僅屬保障受影響的個人資料的基本方法。因應病人資料的高度敏感性，醫管局作為資料使用者，應採取更為有效的措施，確保承辦商於聯合醫院相關系統存取資料時，受到嚴謹及足夠的監督、監察及管控。

鍾麗玲認為，導致外泄事件發生的原因包括醫管局對承辦商的存取資料及活動監察不足；欠缺足夠的保安風險評估及審計；以及承辦商管理沒有根據使用者的職位或身分來限制權限。

私隱專員認為醫管局未有採取所有切實可行的步驟，以確保涉事的個人資料受保障而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，違反了《私隱條例》，已向醫管局送達執行通知，指示其採取措施以糾正違規事項，以及防止類似違規情況再次發生。

醫管局回應表示，非常重視公署對醫管局在個人資料保障方面提出的具體建議，案件發生後，九龍東醫院聯網已即時採取一系列措施，推行全方位策略以加強資訊系統保安及對外判承辦商的監管，包括公署所建議的步驟。

新措施包括加強監管承辦商存取權限、按職能配置資料存取權限、限制獲授權人員及獲批准情況下的使用，並僅可在特定獲批准的情況下允許資料匯出；以及嚴格要求所有承辦商人員現場存取系統時，必須由獲授權的醫院資訊科技人員陪同，並記錄承辦商人員的身分、存取目的、操作時間，以及帶進及帶離的設備等。

醫管局發言人強調，一直高度重視資訊系統安全和個人資料私隱，會繼續全天候監察各資訊系統的運作情況，如果發現任何異常情況，會即時採取合適應變措施保障病人及員工私隱。

九龍東醫院聯網醫院包括邊間？

．基督教聯合醫院
．將軍澳醫院
．靈實醫院

醫管局資料外泄是什麼事？

．醫管局2026年4月4日就懷疑有病人資料於第三方平台泄漏事件作出聲明
．醫管局恆常監察系統於2026年4月3日凌晨二時許發現一宗懷疑未經授權將病人資料取走並於第三方平台泄漏的個案，隨即於早上報警及通報個人資料私隱專員公署，醫管局會全面配合警方調查及行動。
．事件涉及的56,000多名病人來自九龍東醫院聯網
．外泄資料包含病人姓名、性別、身份證號碼、醫院檔案號碼和手術內容等資料

醫管局資料外泄病人可怎辦？醫管局資料外泄熱線是什麼？

．醫管局會盡快透過「HA Go」應用程式、郵寄及電話方式通知受影響病人
．九龍東醫院聯網已設立熱線5215 7326供病人就事件查詢，熱線運作時間為星期一至日，早上九時至下午六時；病人亦可於非熱線運作時間留言查詢，職員會盡快回覆。