機電署回應資料外洩,稱已採取措施強化私隱管理

　　《經濟通通訊社9日專訊》個人資料私隱專員公署今年4月底發現,機電工程署一個網上伺服器平台資料外洩,涉及前年疫情期間被圍封強檢的14幢大廈、逾1.7萬名市民的個人資料。私隱公署完成相關調查報告,裁定機電署違反《個人資料(私隱)條例》。機電工程署表示:已總結經驗,並致力建立一套更穩健的私隱保安框架和保障個人資料企業文化,避免類似事件再次發生。

*開發專用平台將個人資料儲存於該署伺服器內*

　　機電署表示,已採取一系列措施包括:強化私隱管理、全面檢視及加強處理個人資料的工作指引、加強員工培訓和對網上伺服器平台承辦商的監管,以及優化部門電腦支援系統,包括開發

專用平台將個人資料儲存於該署伺服器內。若外判服務涉及處理個人資料,該署亦會在合約完結後提醒承辦商須在期限內刪除相關資料,並會主動查核承辦商以確認已完成刪除個人資料的工作。

　　個人資料私隱專員鍾麗玲指,調查發現,機電署有4項缺失,包括未有就個人資料保存期間制訂書面政策、未有清楚向承辦商提出刪除相關資料的要求、沒有主動刪除相關個人資料,以及沒有適當跟進承辦商刪除資料的工作。她說,機電署從沒督促、查核或提醒承辦商刪除資料,亦沒有了解或監察承辦商有關行動的進度,強調署方不能被動等承辦商採取行動,或因信賴承辦商,而不查核實際工作情況及進度,因此已構成明顯缺失。

*採購條款列明服務期完結後承辦商須刪除相關資料*

　　機電署稱,一直非常重視資訊安全和個人資料私隱,並已制定相關的政策指引(包括個人資料保存期限制),定期向同事傳閱。至於就「圍封強檢」行動所涉及的網上伺服器平台服務,該

署與該承辦商的採購條款內,已列明於服務期完結後,承辦商會刪除相關資料;而署方亦已清楚通知承辦商服務期於2023年2月底完結。機電署得悉個人資料外洩後,即時向該承辦商深入了解伺服器平台的運作詳情,確保有關資料已完全被移除。(cl)