MMH数据泄露调查收尾:合规通知后Northland信任仍待重建

隐私专员公署(Office of the Privacy Commissioner)10月29日发布关于Manage My Health(MMH)2025年12月网络安全泄露事件的第二份也是最终调查报告。报告指出,受此次泄露影响的人员中,九成是Northland医院的患者,意味着该地区的毛利患者、家庭(whānau)和医疗服务受到了不成比例的影响。隐私专员迈克尔·韦伯斯特表示,这次泄露造成的影响应给各机构敲响警钟,机构必须清楚自己收集和保存了哪些信息、为何需要,并为隐私泄露事件制定完善的应对预案。

此次最终报告是在第一阶段调查结果的基础上完成的。9月23日,隐私专员公署因这起网络攻击期间存在安全漏洞,已向Manage My Health与新西兰健康局(Health NZ)分别发出合规通知,认定两家机构均违反了《隐私法》。如今第二阶段调查完成,标志着整起事件的调查工作画上句号,两家机构后续仍需按合规通知要求进行整改,隐私专员公署还收到了约50起相关投诉,将按常规争议解决流程处理。

报告特别分析了此次泄露对Northland受影响人员及其全科诊所(GP practices)的冲击。全科诊所、基层医疗组织和全科医生行业团体反映,一些患者已开始要求获取纸质版而非电子版信息,部分患者即使未受此次泄露影响,也对使用门户网站或其他数字技术变得更加谨慎。韦伯斯特指出,一些在Manage My Health门户网站上存有性侵、家庭暴力和司法介入等高度敏感记录的患者,即便记录未被波及,也面临二次创伤的风险;而最初无法确定哪些信息被访问,也加剧了民众的焦虑。

对生活在新西兰、尤其是Northland地区的读者而言,这起事件的调查程序已经走完,但整改仍在进行:Health NZ和Manage My Health需按9月23日收到的合规通知要求采取行动,恢复民众(尤其是从te ao Māori毛利视角出发)对医疗门户网站的信任;约50起相关投诉将继续走常规处理流程。隐私专员公署同时提醒,此次事件暴露的账户管理、闲置账户处理、泄露通报时限判断以及第三方信息责任归属等问题,不仅限于卫生领域,所有机构都应从中吸取经验。

参考来源

• Manage My Health数据泄露最终报告:Northland患者受冲击最大
• 隐私专员向Manage My Health与新西兰健康局发合规通知