（香港文匯報 記者 聶曉輝）香港個人資料私隱專員公署昨日發表兩份調查報告，包括網上交易平台Carousell Limited因缺失而導致包括逾32萬名香港用戶在內的260萬名用戶的個人資料遭洩漏。私隱專員鍾麗玲批評Carousell犯了根本性的失誤，且事隔8個月才發現保安漏洞，令人非常失望，違反了《私隱條例》下保障資料原則有關個人資料保安的規定。私隱專員已向Carousell送達執行通知，指示該公司於兩個月內採取一系列措施以糾正其違反事項，以及防止有關違規情況再次發生，否則會構成刑事罪行。
Carousell的用戶在註冊賬號時須提供電郵地址、所在地區和流動電話號碼，亦可選擇一併提供姓名、個人頭像、性別、出生日期等額外資料。
事隔8個月始發現漏洞
鍾麗玲昨日在記者會上表示，Carousell於去年10月26日向公署通報，指一個網上論壇聲稱可出售260萬名該平台用戶的個人資料，包括324,232個香港用戶賬號的個人資料。公署調查後發現，Carousell於去年1月開始進行系統遷移，並於同月推出一個使用者應用程式介面。該平台稱由於人為錯誤，在該系統遷移過程中不慎遺漏添加過濾器，導致該應用程式介面推出時顯示了額外無意被公開的個人資料。
直至同年9月15日，Carousell為一項新功能進行標準覆檢時才發現該保安漏洞，並已即時修復，分析結果顯示，該應用程式介面在1月至9月間未有被異常濫用的情況。然而，Carousell於去年10月13日注意到有人於「暗網」放售260萬名Carousell用戶的個人資料，並於同月21日確認有逾32萬名香港用戶受影響，已即時通知涉事用戶。
據Carousell調查所得，黑客於去年5月和6月通過一個來自緬甸的互聯網服務供應商的IP地址，擷取了46個Carousell用戶賬號的資料，並依此追蹤大量其他用戶的賬號以獲取相關個人資料。
無風險評估 欠缺覆檢偵測措施
鍾麗玲認為事件源於Carousell的一系列缺失導致，包括未有在系統遷移前進行私隱影響評估、不全面的編碼覆檢程序、欠缺與編碼覆檢程序相關的書面政策，以及欠缺有效的偵測措施等。
公署指出，Carousell有廣泛的國際業務和服務的龐大活躍用戶數量，公眾會合理地期望Carousell集團投入足夠資源確保其資訊系統的穩健安全，但事件揭示了Carousell在保障由其集團持有的個人資料的安全方面犯了根本性的失誤，令人非常失望。若當時有實施一般風險及安全評估和措施，相關事件應可避免發生。
保障個人資料「不作為」令人失望
鍾麗玲認為，Carousell沒有採取所有切實可行的步驟，以確保個人資料受到保障、不受未獲准許的或意外的查閱、處理、刪除、喪失或使用所影響，因而違反《私隱條例》。私隱專員已向Carousell送達執行通知，指示該公司於兩個月內採取一系列措施以糾正其違反事項，包括訂定政策及程序，確保香港用戶數據安全，以及當引入重大系統前要先進行私隱影響評估及安全評估，和聘請獨立資料安全專家檢視網站和程式是否涉及其他保安漏洞等。
由於Carousell集團總部位於新加坡，公署已根據與新加坡個人資料保護委員會簽訂的諒解備忘錄，向該委員會提供了是次調查報告。
鍾麗玲呼籲市民上網或使用社交媒體時，不要隨便公開提供個人資料，以及採用雙重認證功能及使用保安性較強的密碼，「最好盡量只提供基本資料，不要以為私人賬號就一定無事發生。」
管理僱員資料 同時保障私隱
為協助僱主及人力資源管理人員了解他們在保障個人資料私隱方面的責任及按照《私隱條例》的要求處理人力資源管理相關的個人資料，私隱專員公署已更新《人力資源管理︰常問問題》資料單張，內容涵蓋在人力資源管理方面與《私隱條例》相關的常問問題。
（來源：香港文匯報A07：要聞 2023/12/22）
