Manage My Health数据泄露最终报告:Northland患者受冲击最大

Final report into Manage My Health inquiry a wake-up call for agencies

隐私专员公署(Office of the Privacy Commissioner)10月29日发布了关于Manage My Health(MMH)2025年12月网络安全泄露事件的第二份也是最终调查报告。

隐私专员迈克尔·韦伯斯特(Michael Webster)表示:“这次泄露事件造成的影响,应该给各机构在如何处理个人信息方面敲响警钟。”

韦伯斯特说:“这次事件印证了我们一直强调的一点:各机构必须清楚自己收集和保存了哪些信息、为什么需要这些信息,以及如何处理这些信息。同时还要为处理隐私泄露事件制定完善的应对预案。”

“如果机构要在危机发生时才临时制定危机管理方案,只会让客户和员工承受更大压力,”他说。“好的预案不可能面面俱到,但能让机构更快采取行动,及时为客户提供清晰的信息和支持。”

隐私专员特别指出以下几点,是所有机构(不仅限于卫生领域)都应该做好的。

妥善管理客户账户

如果客户没有完成注册流程(例如设置密码或激活账户),就不算授权机构进一步收集和保存该账户中的信息。任何以“授权”作为收集、使用或披露个人信息法律依据的机构,都应确保向个人提供的信息清晰准确,让他们完全理解自己所同意的内容。

为闲置账户和已故用户账户制定清晰流程

所有运营客户账户的机构都应建立识别和管理“闲置账户”的流程。隐私专员公署一般要求机构在账户闲置12个月后与账户持有人核实是否希望保留账户,除非有特定法律或理由要求保留。机构还应为账户持有人去世后的个人代表制定清晰流程,并确保代表能够找到相关操作信息。

妥善处理隐私泄露事件

所有机构都应重新梳理《隐私法》(Privacy Act)规定的泄露通报触发条件,包括准确理解“严重伤害”门槛。没有健全流程来识别受影响人员或评估和处理泄露事件,不能成为延迟通报的理由。“合理时限”的判断标准不仅取决于机构实际能做到什么,还取决于在当时情况下一个合理的机构本应能做到什么。

使用第三方时明确信息责任归属

如果代表另一机构处理信息的机构做出了未经对方同意的设计决定,该机构将独自承担相应隐私原则的合规责任。

对Northland社区的影响

尽管2025年12月的这次泄露事件给新西兰各地民众带来了不小的焦虑,但报告指出,承受冲击最大的是Northland地区民众以及为他们提供服务的全科诊所(GP practices)。

韦伯斯特说:“受Manage My Health泄露影响的人员中,九成是Northland医院的患者,这意味着该地区的毛利患者、家庭(whānau)和医疗服务受到了不成比例的影响。”

报告详细分析了此次事件对受影响人员及其全科诊所的影响,并就新西兰卫生局(Health NZ)和Manage My Health应采取哪些措施以恢复Northland民众(尤其是从毛利视角te ao Māori出发)对医疗门户网站和医疗服务的信任提出了建议。

“这次事件表明,民众所受到的伤害不止于文件被盗,”隐私专员说。

“举例来说,一些在Manage My Health门户网站上存有高度敏感信息(包括性侵、家庭暴力和司法介入记录)的患者,即使他们的记录完全没有受到波及,也面临二次创伤的风险。”

“此外,最初无法确定哪些信息被黑客访问、哪些没有,也加剧了民众的焦虑,”韦伯斯特说。

此次事件严重损害了民众对医疗门户网站的信任,而这类平台虽然只是现代医疗信息体系中的一小部分,却至关重要。

“全科诊所、基层医疗组织(Primary Health Organisations)和全科医生行业团体反映,一些患者已开始要求获取纸质版而非电子版信息。”

“一些患者现在对使用门户网站或其他数字技术也更加谨慎,即使他们本人并未受到此次泄露事件的影响,”韦伯斯特说。

第二阶段调查的完成标志着Manage My Health泄露事件调查的结束。第一阶段调查认定新西兰卫生局和Manage My Health均违反了《隐私法》,两家机构均已被发出合规通知(compliance notices),后续将按通知要求进行处理。

隐私专员公署还收到了约50起相关投诉,这些投诉将按常规争议解决流程处理。

编译:此刻新西兰