時事脈搏 | 2024-08-08 12:29

私隱署裁定芭蕾舞團資料外洩事故違反私隱條例

個人資料私隱專員公署完成對香港芭蕾舞團有限公司(芭蕾舞團)資料外洩事故的調查，並於今日發表調查結果。個人資料私隱專員鍾麗玲認為導致外洩事件發生的主因，包括相關伺服器的運作軟件已過時、相關伺服器在服務供應商進行系統遷移過程中被不必要地曝露於互聯網等，並裁定違反了芭蕾舞團《私隱條例》的保障資料第4(1)原則有關個人資料保安的規定。

調查發現，芭蕾舞團的網絡最初於去年9月15日遭黑客入侵。由於當時芭蕾舞團的一組伺服器的運作軟件已屬過時，黑客遂利用該伺服器的漏洞，成功進入芭蕾舞團的網絡。黑客於去年9月17日利用一個系統管理員賬戶，放置勒索軟件「LockBit」，導致儲存在芭蕾舞團資訊系統內的檔案被加密，黑客並竊取了系統內的資料及檔案。

調查亦發現，芭蕾舞團無法確實受影響檔案內的資料。根據芭蕾舞團的估算，受外洩事件影響的人士數目可能為37840名，包括芭蕾舞團的僱員、求職者、門票訂購者、客席藝術家、活動參加者、捐款者、贊助者及供應商。涉及的個人資料包括姓名、香港身份證號碼、護照號碼、相片、出生日期、地址、電郵地址、電話號碼、健康資料、銀行戶口號碼及/或信用卡號碼(不包含安全碼)、僱傭資料及學歷資料。

經考慮外洩事件的情況及調查所獲得的資料，鍾麗玲認為，相關伺服器的運作軟件已過時，並存在多項嚴重的遠端程式碼執行漏洞，而芭蕾舞團沒有任何關於保安修補或更新其伺服器的政策或程序，這突顯了芭蕾舞團在定期保安修補及更新方面的明顯缺失。

鍾麗玲裁定，芭蕾舞團沒有採取所有切實可行的步驟，以確保涉事的個人資料受保障，而不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反了《私隱條例》的保障資料第4(1)原則有關個人資料保安的規定。

私隱專員已向芭蕾舞團送達執行通知，指示其採取措施以糾正違規事項，以及防止類似違規情況再次發生。