医院管理局4月时曾通报一宗意外泄露5.6万人资料至暗网的事故。私隐专员公署今日（30日）公布调查报告并表示，相关事件涉及超过5.5万名病人，受影响资料包括身份证号码、性别、生日及手术程序详情等。

公署指出，事件涉及资讯系统承办商员工在未获授权下汇出个人资料，医管局现时仍未能确定该员工汇出资料的确实方法。私隐专员钟丽玲认为，医管局对承办商监管不足，亦未做妥保安风险评估等工作，这些缺失是事件主因，因而违反了《私隐条例》，已向医管局送达执行通知，指示其采取措施以纠正违规事项，以及防止类似违规情况再次发生。

医管局于今年4月3日向私隐专员公署通报外泄事件，并表示其恒常监察系统侦测到九龙东医院联网一个供应商系统的病人资料被外泄至暗网。相关系统为联合医院使用的围术期护理资讯系统，用以支援手术室的护理工作流程。系统储存外科手术病人的麻醉及围术期资料纪录，以及员工的帐户资料，系统由一间服务提供者开发，并由一间承办商负责维护。

外泄事件合共影响56,243 名资料当事人，包括55,761名病人及482名九龙东医院联网的现职或离职员工。受影响的个人资料包括病人的姓名、香港身份证号码、性别、出生日期、医院登记号码、手术程序详情、预约日期，以及员工的姓名及职级／职系（简称）。

调查显示，在外泄事件发生时，相关承办商的一名系统开发员在未获当局授权的情况下，汇出涉事资料。该员工其后涉嫌干犯“有犯罪或不诚实意图而取用电脑”而被捕。

报告指出，医管局现阶段未能确定该员工从相关系统汇出受影响个人资料的确实方法，但确认承办商可在取得医管局的批准后透过远端方式或在现场进行维护时存取资料。医管局称，合约规定承办商须采取保安措施，以防止个人资料受未获准许或意外的查阅或使用；以及不得在未获授权下汇出可识别病人身分的资料。医管局认为，汇出未获授权的资料违反服务合约所订明的责任。

私隐专员公署评估后指，不论有关承办商员工基于何种原因及以何种方法从相关系统汇出受影响的个人资料，医管局作为资料使用者，有法定责任保障储存于相关系统内的个人资料。

个人资料私隐专员（私隐专员）钟丽玲表示，医管局与承办商所签订的合约条文仅属保障受影响的个人资料的基本方法。因应病人资料的高度敏感性，医管局作为资料使用者，应采取更为有效的措施，确保承办商于联合医院相关系统存取资料时，受到严谨及足够的监督、监察及管控。

钟丽玲认为，导致外泄事件发生的原因包括医管局对承办商的存取资料及活动监察不足；欠缺足够的保安风险评估及审计；以及承办商管理没有根据使用者的职位或身分来限制权限。

私隐专员认为医管局未有采取所有切实可行的步骤，以确保涉事的个人资料受保障而不受未获准许的或意外的查阅、处理、删除、丧失或使用所影响，违反了《私隐条例》，已向医管局送达执行通知，指示其采取措施以纠正违规事项，以及防止类似违规情况再次发生。

医管局回应表示，非常重视公署对医管局在个人资料保障方面提出的具体建议，案件发生后，九龙东医院联网已即时采取一系列措施，推行全方位策略以加强资讯系统保安及对外判承办商的监管，包括公署所建议的步骤。

新措施包括加强监管承办商存取权限、按职能配置资料存取权限、限制获授权人员及获批准情况下的使用，并仅可在特定获批准的情况下允许资料汇出；以及严格要求所有承办商人员现场存取系统时，必须由获授权的医院资讯科技人员陪同，并记录承办商人员的身分、存取目的、操作时间，以及带进及带离的设备等。

医管局发言人强调，一直高度重视资讯系统安全和个人资料私隐，会继续全天候监察各资讯系统的运作情况，如果发现任何异常情况，会即时采取合适应变措施保障病人及员工私隐。

九龙东医院联网医院包括边间？

．基督教联合医院
．将军澳医院
．灵实医院

医管局资料外泄是什么事？

．医管局2026年4月4日就怀疑有病人资料于第三方平台泄漏事件作出声明
．医管局恒常监察系统于2026年4月3日凌晨二时许发现一宗怀疑未经授权将病人资料取走并于第三方平台泄漏的个案，随即于早上报警及通报个人资料私隐专员公署，医管局会全面配合警方调查及行动。
．事件涉及的56,000多名病人来自九龙东医院联网
．外泄资料包含病人姓名、性别、身份证号码、医院档案号码和手术内容等资料

医管局资料外泄病人可怎办？医管局资料外泄热线是什么？

．医管局会尽快透过“HA Go”应用程式、邮寄及电话方式通知受影响病人
．九龙东医院联网已设立热线5215 7326供病人就事件查询，热线运作时间为星期一至日，早上九时至下午六时；病人亦可于非热线运作时间留言查询，职员会尽快回复。