新界總商會日前於尖沙咀美麗華酒店舉行「第十五屆董事會第十二次會議」,並邀請個人資料私隱專員(私隱專員)鍾麗玲大律師擔(dān)任主講嘉賓,專員以「企業(yè)怎樣防範(fàn)網(wǎng)絡(luò)攻擊」為題,向與會者分享近年因網(wǎng)絡(luò)攻擊造成的資料外洩真實案例,並講解加強網(wǎng)絡(luò)保安能力的實用措施。她亦於會上介紹個人資料私隱專員公署(私隱專員公署)發(fā)表的《人工智能(AI):個人資料保障模範(fàn)框架》與《僱員使用生成式AI的指引清單》。
新界總商會會長張德熙,事務(wù)委員會主席彭志宏,會務(wù)委員會主席周駿達(dá),副會長周華焯 何光耀、梁鐵夫、齊光華、李國強、區(qū)宇凡、張永德、宋玲鋆、廖齡儀,副主席黃志源、梁金塘、莊金寧、陳安立、馬沛強、黃凱斌 ,法律顧問譚健業(yè)、黃志剛,中醫(yī)顧問彭祥喜,立法會議員梁子穎,屬會青衣商會主席柳振錦等近90人出席。
鍾麗玲(右三)與新總首長合照。
資料外洩事故頻發(fā)
鍾麗玲分享到,資料外洩事故一般指資料使用者持有的個人資料懷疑或已經(jīng)遭到外洩,令有關(guān)資料當(dāng)事人的個人資料有被未獲準(zhǔn)許的或意外的查閱、處理、刪除、喪失或使用的風(fēng)險。私隱專員公署於2024年共接獲203宗資料外洩事故通報,較2023年的157宗增加近三成。其中涉及黑客入侵的事故由2022年的29宗,增加逾一倍至2023年的64宗,在2024年接獲的通報中,61宗涉及黑客入侵,佔整體資料外洩事故通報的30%。
《私隱條例》的相關(guān)規(guī)定
鍾麗玲提到,資料外洩事故可構(gòu)成違反《私隱條例》的保障資料第4原則,資料使用者須採取所有切實可行的步驟,確保由資料使用者持有的個人資料受保障而不受未獲準(zhǔn)許的或意外的查閱、處理、刪除、喪失或使用所影響。如資料使用者聘用(不論是在香港或香港以外聘用)資料處理者,以代該資料使用者處理個人資料,該資料使用者須採取合約規(guī)範(fàn)方法或其他方法,以防止轉(zhuǎn)移予該資料處理者作處理的個人資料被未獲準(zhǔn)許或意外地查閱、處理、刪除、喪失或使用。
資訊及通訊科技的資料保安建議
鍾麗玲表示,私隱專員公署於2022年8月發(fā)出《資訊及通訊科技的保安措施指引》,當(dāng)中資料保安建議措施有七大建議:資料管治和機構(gòu)性措施;風(fēng)險評估;技術(shù)上及操作上的保安措施;資料處理者的管理;資料保安事故發(fā)生後的補救措施;監(jiān)察、評估及改善;及其他考慮。
資料保安事故發(fā)生後的補救措施有八大建議,包括:停止並中斷連接受影響的系統(tǒng)、更改密碼或中止權(quán)限、更改系統(tǒng)配置、通知受影響人士並提供建議、通知私隱專員公署及其他執(zhí)法或監(jiān)管機構(gòu)、修補保安漏洞、在可行情況下掃描系統(tǒng)、汲取經(jīng)驗及教訓(xùn)。
人工智能對個人資料私隱的影響
鍾麗玲提到,有關(guān)人工智能對個人資料私隱的影響,私隱專員公署於2024年6月發(fā)出《人工智能(AI):個人資料保障模範(fàn)框架》(《模範(fàn)框架》),向採購、實施及使用任何種類的AI系統(tǒng)(包括生成式AI)的機構(gòu),就保障個人資料私隱方面提供有關(guān)AI管治的建議及最佳行事常規(guī)?!赌9?fàn)框架》內(nèi)容包括:AI策略及管治;進行風(fēng)險評估及人為監(jiān)督;實行AI模型的定製與AI系統(tǒng)的實施及管理;以及與持份者的溝通及交流。
頂圖:全場大合照。