會員登入 |
漏洞多 罰則輕 個人資料欠保障 2018.12.05
20082 20082

封面專題

今日香港+全球化

主題:生活素質+全球化帶來的影響與回應




答案︰A


解說


私隱指個人、並與公眾無關等資料,個人姓名、電話、地址、身分證號碼、病歷等都是《個人資料(私隱)條例》所保護的資料。國泰航空於十月底公布今年三月乘客私隱外泄,940萬名乘客資料如護照號碼、信用卡號碼被不當取覽。由於現時本港法例不會強制機構通報私隱外泄問題,即使不遵守私隱專員發出的執行通知補救,最多只會被判處罰款港幣五萬元及監禁兩年。近年資訊發達,個人資料被置於大數據處理,惟網上保安漏洞處處,公眾不滿罰則太輕無阻嚇力,個人資料安全岌岌可危。









國泰外泄乘客資料事件

國泰航空於十月底公布,三月時系統發現可疑黑客活動,國泰及港龍航空940萬名乘客的個人資料未獲授權取覽,包括乘客姓名、出生日期、電話、電郵、實際地址、護照號碼、信用卡號碼及過往的飛行記錄資料等。事件引起公眾譁然,質疑系統保安不力,以及太遲公開事件及報警,國泰解釋調查需時,為免公眾無謂恐慌才延遲公布,否認蓄意隱瞞。

通報機制是「無牙老虎」?

現行法例下,個人資料受《個人資料(私隱)條例》保障,然而條例罰則輕,被質疑是「無牙老虎」。

‧第一,現時私隱條例不設強制通報要求,個人資料外泄時,資料使用者毋須通知私隱專員及受影響人士。過去政府曾檢討條例通報機制,但私隱專員僅建議資料使用者在發生事故後盡快通報,惟指引無約束力,只靠資料使用者「自爆」,如他們借機瞞天過海,受影響者只能蒙在鼓裏。

‧第二,根據條例,違反保障資料原則並非刑事罪行,但如相關人士或機構違反個人資料私隱公署的補救指令,私隱公署調查後可轉介警方檢控,一經定罪,最高罰款港幣五萬元及監禁兩年。由於資料外泄牽連甚廣,立法會議員楊岳橋直指罰款額僅五萬元,沒有阻嚇力,「一張國泰商務機票啊,都唔知買唔買到?」

資料外泄事例與影響

互聯網使用例如網上理財、抽獎等變得愈來愈普及,企業掌握眾多個人資料,不過,如管理或保安不善,這類企業資料庫便成不法分子覬覦對象。以香港為例,過去一年已發生多宗資料外泄事件。

香港私隱外泄事件簿

‧香港寬頻系統被黑客入侵

電訊網絡商香港寬頻四月表示遭黑客入侵,涉及38萬名客戶,當中有4.3萬張信用卡資料被盜。香港寬頻事發後三日發通告交代,並報警處理。

‧大型跑步活動網頁登記系統保安漏洞

指定銀行信用卡客戶可於網上報名「LINE Friends Run 2018 HONG KONG」跑步活動,不過11月初時,有應用程式開發公司發現該網上報名系統有漏洞,參賽者部分資料暴露人前。主辦機構即時停止報名系統,確認無泄露信用卡資料和敏感資料。

‧電子錢包電郵被盜用

由滙豐銀行推出的P2P電子轉帳應用程式「PayMe」於11月初公布部分用戶電郵被盜,共有20個帳戶遭未經授權登入轉帳,涉款港幣10萬元。全港有過百萬名「PayMe」用戶,滙豐表示已主動聯絡受影響客戶並賠償,同時已上報事件予香港金融管理局。

盜用資料 影響政經

‧商業詐騙

2010年八達通公司被揭發自2002年起將約200萬客戶的個人資料售予第三者,並收取超過四千萬元,事件暴露個人資料隨時被企業當成資產出售的危機。近年「釣魚」電話盛行,由於不法之徒掌握市民大量個人資料,容易冒充其他公司騙財。雖然電話號碼、地址、信用卡號碼等資料可以更改,但最大問題為身分證號碼外泄,騙徒可以此認證信用卡,甚至冒認借貸,後果不堪設想。

‧政治工具

資料外泄事件多與商業詐騙有關,但facebook劍橋分析事件卻令公眾擔心個人資料處理不當,會被用作操縱選舉和影響政治的工具。今年三月,網上社交平台facebook被揭發超過5,000萬帳戶的資料疑遭第三方數據分析公司劍橋分析挪用,以心理分析應用程式為幌子取得用戶資料,其後在選舉期間針對用戶喜好貼出廣告,試圖影響選情。

保護個人資料:法例+科技

法例:歐盟私隱新法

歐盟私隱新法《通用資料保護規例》(GDPR)於今年五月實施,嚴格規定機構要妥善保障客戶個人資料,條例最重要之處為設立通報機制和訂立阻嚇性罰則,如歐盟公民的資料外泄,涉事機構須於72小時內通知歐洲資料保護機構及當事人;罰款方面,最高罰款額為企業全球營業額的百分之四或二千萬歐羅(約1.8億港元),以價高者為準。此外,機構須清楚詢問當事人是否同意提供具體個人資料,當事人亦可要求機構刪除其資料。

今年九月初,英國航空訂票網站遭黑客入侵,外泄通過信用卡付款的客戶的個人及財務數據,達38萬筆交易受牽連。與國泰航空延遲七個月才公布事件不同,英航於事發後兩日公開事件,並承諾賠償客戶損失。假如國泰事件涉及歐盟公民,國泰即違反GDPR,罰款隨時不是香港的五萬元,而是高達40億港元。

科技:區域鏈能解決問題?

科技發展日新月異,近年金融業提倡於交易上應用「區域鏈」技術,通過加密的電子記帳,省卻傳統由第三方處理交易。雖然區域鏈有助減少可疑交易和降低交易成本,用戶資料亦毋須儲存於公司雲端,但應用區域鏈亦有私隱外泄隱憂,如區塊鏈資料不可竄改,寫入個人資料將不能刪除,而系統使用者可依交易記錄推算交易者身分。長遠來說,區塊鏈具潛力,惟廣泛應用仍面對眾多挑戰。





Mindmap:資料外泄的監管與影響



參考資料

‧香港個人資料私隱專員公署
https://www.pcpd.org.hk/cindex.html

學習教材

議題分析


這議題的本質是甚麼?


隨科技應用日漸廣泛,網絡罪行層出不窮,然而網絡資料外泄事件時有發生,反映機構保護資料不力;與外國如歐盟相比,本港現行保護個人資料條例阻嚇力不足,未能推動機構積極保障用戶個人資料。

這議題包含哪些相關概念?

(例)
個人資料私隱公署(Office of the Privacy Commissioner for Personal Data, Hong Kong)

個人資料私隱專員公署成立於1996年,為獨立法定機構,負責推廣、監察及監管,並促使市民遵從個人資料私隱條例,確保市民的個人資料私隱得到保障。現任私隱專員為黃繼兒。

網絡釣魚(Phishing)

網路釣魚為詐騙手段,不法分子通過垃圾電郵、網站或電話等,偽裝成不同的機構,意圖套取用戶個人資料,例如用戶名稱、密碼和信用卡號碼等。

試舉出與議題相關的關鍵詞。

(例)
‧資料外泄 Data leakage
‧區域鏈 Block Chain
‧黑客 Hacker
‧歐盟 European Union
‧劍橋分析 Cambridge Analytica
‧《個人資料(私隱)條例》 Personal Data (Privacy) Ordinance

你對此議題的見解為何?

請填寫:

這議題是否重要?其發展有何影響?

請填寫:

資料回應題

細閱以下資料,然後回答問題。

資料一

香港個人資料私隱專員公署的數據顯示,2014年收到206宗涉及使用資訊及通訊科技的侵犯私隱投訴,較2013年的93宗上升超過1倍,以下是一些商戶蒐集個人資料的常見手法:

社交媒體:商戶通過社交媒體,邀請用戶向朋友推薦產品,從而獲得有潛力客戶群的聯繫方法,並借社交媒體了解用戶的個人資料、興趣及對品牌的忠誠度等。

網上行為追蹤:通過追蹤技術工具,例如小型文字檔案(cookies)、伺服器記錄(server logs)等,了解用戶瀏覽網站習慣,例如瀏覽某網站的次數、瀏覽該網站前後到訪過的其他網站,及用戶IP地址所屬的國家等。

會員登記:通過用戶的登記資料、瀏覽記錄及購買活動,商戶可以定出日後銷售或推廣的方法。

有獎遊戲/市場調查:以獎賞吸引用戶參加問答遊戲或市場調查,讓商戶了解人口的特徵、使用喜好、習慣及取向等資料。

資料來源:摘自《選擇》月刊第463 期14-5-2014

資料二

理工大學應用社會科學系於今年2月至6月,全港中學抽樣調查,訪問2120位中學生,男女生比例各佔一半,以了解他們對網絡欺凌的態度。調查顯示,有一成二受訪者曾在網上搜查別人資料,當中各有一半是網上搜查自己喜歡(like)的人,及不喜歡(hate)的人的資料;主要搜查內容,超過九成為別人的姓名,約七成為個人照片、影片及生日,近六成為就讀學校名稱,約五成為感情狀況。陳高凌明言,學生對傳統個人資料保護意識反而相當強,包括身分證號碼、銀行戶口,均不是被用作攻擊的資料;反而社交性資料,如個人資料照片、關係上認識的朋友等資料則經常被搜尋及用作網絡欺凌。

資料來源:摘自一則新聞4-9-2018

多角度思考

1.
資料一反映了甚麼私隱危機?(4分)

2.你認為不同持份者可採取哪些措施去保障個人私隱?(8分)

建議答題方向

1.
商戶通過不同網上途徑蒐集個人資料和喜好,放入大數據中分析,市民不知不覺間私隱被侵犯。

2.
政府:訂立更有阻嚇力的法規,嚴懲企業挪用客戶個人資料、設立強制通報機制,規定企業於資料外泄後盡快通知當局和受影響人士;
企業:增配人手於網絡保安、如遇資料外泄要即時通知客戶;
個人:注意網絡安全、不隨意開啟可疑電郵和網站、社交網站訂私隱設定、慎用公共WiFi、懷疑資料外泄要報警求助;
教育界:教授網絡安全知識。

延伸回應題

細閱以下資料,然後回答問題。

資料一



資料二

德州聖安東尼奧市一名前空軍Devin Kelly發動教堂內槍擊,造成26人死亡及20多人輕重傷。兇手本人也在混亂中身亡。為偵辦本案,美國聯邦調查局(FBI)取得兇手持有的iPhone,但因蘋果的保密機制,根本無法破解密碼。若FBI錯過第一時間的解決方法,可能讓本案錯過解鎖的「黃金期」。因為iPhone的指紋辨識Touch ID在手機未使用48小時內就會失效。如果在事發當天警方將兇嫌手指按上Touch ID鍵,就可以立即解鎖。

2015年加州聖伯納迪諾(San Bernardino)市發生14死的槍擊案,當時兇手也是使用iPhone。FBI也是在一開始弄巧成拙造成無法取得iCloud的手機資料備份,後來要求蘋果在手機內植入可解密的後門,遭到蘋果以保護用戶隱私為由拒絕,雙方為此甚至對簿公堂。

資料來源:摘自一則新聞9-11-2017

多角度思考

1.
利用資料二,解釋資料一漫畫所反映的概念。(6分)

2.「國家安全比公民權利更重要」,你在多大程度上同意這句說話?解釋你的答案。(10分)

建議答題方向

1.
資料二指出蘋果手機的保密機制或延誤警方找尋綫索,反映個人私隱與社區治安有衝突。資料一中,市民被置於監牢中看電視,周圍被閉路電視監視,「現在你安全了,不會受恐怖襲擊影響。」一句正反映市民要犧牲個人自由去換取安全的概念。

2.同學可自由作答,言之成理即可。作答時首要準確定義兩者,指出當中衝突之處,並加以比較。國家安全可泛指以軍事保衞領土和政治獨立,亦可指國土內部,對政權有形(恐怖襲擊)和無形(言論)的威脅;公民權利則為個人不受國家侵犯的思想、宗教、人身、言論等自由。就資料二所反映,國家安全和公民權利最大衝突在於個人私隱,國家是否可借公眾安全為由「入侵」市民的私領域?同學可環繞此大題作答,同時宜引現實例子輔證。

載自2018年12月5日《S-file通識大全》

文:馮日里 圖:星島圖片庫
TOP