（2013年10月24日）個人資料私隱專員公署（「公署」）調查兩宗有關香港警務處（「警務處」）涉嫌經Foxy共享軟件 (「Foxy」) 1意外洩漏市民個人資料的事故，結果確定事件屬於人為錯失，警務處作為資料使用者，未有違反《個人資料(私隱)條例》（「條例」）。
2. 個人資料私隱專員蔣任宏指出：「一旦資料檔案經過Foxy 網絡外洩，基本上無有效的方法可以將資料挽回。雖然Foxy 的開發商經已結業，但迄今全球至少有40萬人的電腦仍啟動著Foxy軟件。這些用家必須了解其Foxy版本如何運作，並加以適當的設定，以保護資料檔案。市民現時若需要下載這軟件，只能到非官方渠道下載，這是非常冒險的，因所得的版本有可能是惡意程式，或遭加工而招致無法控制的資料外洩事故。」
背景
3. 本署於2008年8月接獲市民投訴，指警務處涉嫌將載有其個人資料的警務處文件經Foxy外洩。前任私隱專員調查後總結時裁定警務處在該個案中違反條例的保障資料第4原則（資料保安原則），未有採取切實可行的預防措施以保障投訴人的資料避免因未經獲准許或意外而遭查閱。遂發出執行通知指令警務處予以糾正。警務處其後在2009年8月實施改善措施，包括警隊電腦的USB接頭只容許使用經認可的USB記憶體；制定資訊保安的規定及指引；加強安全設施及支援；提高警隊成員對資訊保安的認識等提高警隊成員對資訊保安的認識等工作。
事故1
4. 傳媒於2011年8月報導，有多份載有個人資料的警務處文件經Foxy於互聯網上可以搜尋得到。這個案中的大部份文件都已在2008年至2009年的調查中所涵蓋。今次只有一份外洩文件是新發現的，屬於警員職位申請者的回條，載有一名投考人士的姓名及身份證號碼等個人資料。外洩的原因相信是由於該投考人士安裝了Foxy在他的私人電腦。因此，這事故與警務處無關。
事故2
5. 傳媒於2012年9月報導， 210份證人口供、警務處內部備忘錄、表格及書信文件，涉及證人及被逮捕人士的姓名、香港身份證號碼、地址及檢控的內容等個人資料，經Foxy於互聯網上外洩。
6. 調查發現，事故中的警員從2007年起在未經上級批准的情況下，偶爾使用其私人USB記憶體從警隊電腦中下載文件至其私人電腦，並用該電腦處理公務；警務處確實沒有在該部門的電腦系統安裝任何分享軟件包括Foxy. 該警員報稱不曾使用他的私人電腦上網，亦沒有讓其他人使用，因此該電腦儲存的文件沒可能因Foxy而外洩文件。
7. 2011年中該警員將該電腦出售。警務處認為有可能有人從該出售的電腦，把硬磁碟機內已清除的文件復原，當中個人資料從而外洩。
專員的調查結果
8. 事故2中的資料外洩可追溯至2009年8月前，該警員未經上級批准已私自將部門文件下載至其私人電腦。因此，正如本署在2008年至2009年對該個案所作的結論一樣，專員認為警務處當時未有採取所有切實可行的步驟，防止這類不恰當行為發生，因而違反了第4原則的規定。
9. 然而，專員考慮到警務處其後在2009年實施的改善措施充備，應足夠可提升其人員達至合乎保障個人資料規定的水平。事故2的個案，乃屬該警員沒有跟從警務處2009年已修訂的恆常規定所引致。
10. 而該警員亦承認知悉該等規定，他出席了相關的培訓課程。事故2中，假如該警員於2011年出售該電腦前之時依照警隊的規定將其交予單位資訊科技保安主任檢查，以及在出售前移除硬磁碟機／使用許可軟件清除資料，資料外洩應不會發生。
11. 在第4原則之下，資料使用者有責任「須採取所有切實可行的步驟」以確保個人資料的安全。該原則並無對資料使用者施以「零事故」的絕對要求。 該警員在2009年後未經批准和授權而持續使用該電腦作公務用途，及於出售該電腦前沒有使用許可的軟件穩妥地清除所有與公務有關的資料，則屬個別警員的人為錯失，並不構成警務處再次違反第4原則。因此，專員認為沒有理據再次向警務處發出執行通知，以指令該部門加強資料保安措施。
建議
12. 鑑於該些文件所載的個人資料的重要性及敏感性，專員敦促警務處在符合條例最低要求之餘作出改善，以避免同類事件再次發生。
13. 事故二揭示了個別警務人員在2009年改善措施生效前使用私人的USB記憶體儲存公務資料／文件的做法，及未獲批准而持續使用私人電腦處理公務，在多年之後仍然可能導致警務處資料（其中可能包含個人資料）外洩。有關警務人員可能考慮到早前已違規私下使用私人電腦及USB記憶體，可能會遭受紀律處分，選擇不按照規定行事，反而選擇私下採取其他辦法去處理問題。
14. 專員建議警務處可用正式或非正式的方法去處理上述兩難情況，惟任何方法都應合乎警務處的運作性質及機構文化而釐訂，方為有效。因此，專員只能為警務處提出方向性的建議，而不能指定具體的措施。
15. 專員的建議包括： (i) 宣傳部門的「個人電腦清洗」程式，協助警務處人員用作檢查及清除其個人電腦所載有的個人資料／機密資料。(ii) 設立諮詢熱線向有需要的人員以不記名方式提供支援。 (iii) 促進警務人員之間的個案分享及經驗交流，藉以加深警務人員對個人資料保護的認知及網上資訊外洩可能造成的嚴重後果等。
結論
16. 專員在總結調查時稱：「資料使用者有責任採取合理的保安措施，保護個人資料免遭遺失﹑未經授權的查閱﹑毀壞﹑使用﹑修改或披露。值得留意的是，很多資料保安的事故，都是由人為錯失釀成的。即使是完備的私隱政策和嚴格的保安措施，都有可能因為個別員工的鹵莽或粗心大意而拖跨。機構應為員工提供全面的內部培訓和提高保障私隱的意識，這是至為重要。建立尊重私隱的機構文化，是推動整個機構致力實踐的重要前提。」
17. 蔣任宏補充說:「機構在收集和管理個人資料方面，無論資料以何種形式保存，都經常面對資料保安的風險。隨著電腦運算速度提升， 桌面和流動裝置均可提供便捷的上網服務聯繫世界，大大增加了個人資料流動的範圍和流量及保存數據的能力，進而增加了資料洩漏的風險。網上私隱陷阱層出不窮，資料使用者和資料當事人都應以Foxy共享軟件而導致的禍害，引以為鑑 。」
調查報告： http://www.pcpd.org.hk/tc_chi/resources_centre/publications/files/R13_15218_c.pdf
單張：《明智使用電腦及互聯網》www.pcpd.org.hk/tc_chi/resources_centre/publications/files/computer_wisely_c.pdf
－完－
1 Foxy 是一個點對點分享軟件，由台灣一間資訊科技公司開發。由於Foxy一經安裝後會在用家不了解的情況下自動啟動，強制將用家電腦上資料分享夾的檔案分享，供其他Foxy的用戶搜尋和下載。用戶無法完全停止分享，也不會知悉誰人下載了檔案。了解更多：www.cuhk.edu.hk/itsc/chinese/security/gpis/tipsfoxy.html
編輯垂注：
1. 個人資料私隱專員公署為獨立法定機構，負責監察《個人資料(私隱)條例》（「條例」） 的 施 行。使命是採取推廣 、 監察及督導措施 ， 促使各界人士遵守條例， 以確 保個人資料私隱得到保障。
2. 任何收集和使用（包括披露和轉移）個人資料 的人士必須遵從條例中的六項保障資料原則，以確保個人資料：
3. 違反保障資料原則本身不會直接構成刑事罪行，但專員可向資料使用者發出執行通知，指令他糾正違反的情況，若案件牽涉罪行，則會將案件轉介給警方作刑事調查。違反執行通知屬觸犯刑事罪行，一經定罪最高罰款港幣五萬元和監禁兩年。
4. 若查訊或調查發現有初步證據顯示案件涉及刑事罪行，私隱專員可將案件轉介給警方進行調查或檢控。