私隱專員鍾麗玲表示,事故是由於消委會的缺失所致,沒有採取所有切實可行的步驟以確保個人資料受保障,違反了私隱條例的規定。
資料圖片
個人資料私隱專員公署完成有關消委會資料外洩事故的調查,私隱專員鍾麗玲表示,事故是由於消委會的缺失所致,沒有採取所有切實可行的步驟以確保個人資料受保障,違反了私隱條例的規定。她已向消委會送達執行通知,指示消委會糾正及防止類似違規情況再發生。
鍾麗玲指出,消委會的缺失包括沒有為遠端存取資料啟用多重認證功能、沒有妥善設定用作偵測及攔截網路安全威脅的軟件、欠缺足夠保安措施禁止或防止於測試伺服器內儲存個人資料、資訊保安政策有欠全面及具體,以及保障個人資料私隱及網絡安全意識不足。
資料圖片(圖片來源:星島日報)
私隱專員公署提出多項建議,以減低資訊系統被攻擊的風險,包括對遙距登入資訊及通訊系統使用多重身份驗證、設定穩健的網路保安框架、定期對資訊系統進行風險評估及保安審計、建立重視數據安全的企業文化及建立有效的培訓計劃,加強員工對資料私隱的意識和能力。
公署說,消委會資料外洩事故涉及超過450人,包括投訴人、資訊科技服務供應商員工,以及消委會現職和前員工的個人資料。消委會去年9月曾交代,電腦系統遭黑客入侵,被勒索50萬至70萬美元贖金,現職員工、前員工、家屬、《選擇》月刊訂購戶及投訴人等的資料可能外洩。
消委會高度關注連鎖健身中心「舒適堡」暫時全線結業的消息,截至下午4時共接獲34宗相關投訴,涉及總金額約190萬元 。消委會將密切留意事態發展,消費者如有需要可聯絡求助。
消委會。資料圖片
消委會認為有關商戶通告中提及的後續安排,對於消費者是有不明朗,促請有關商戶盡快主動聯絡受影響客戶,公布如何使用未兌換服務等安排。
消委會亦提醒,消費者可以先準備好相關消費交易紀錄,例如合約、單據、信用卡存根、與商戶的書信往來等,以便跟進處理。
消委會建議若消費者仍希望保持會籍,可等待新公司公布相關安排,看清楚合約條款和細則,再作決定,若不同意接受新公司提供服務或可能出現的條款變更,舊商戶及接手後的新公司有責任向消費者退款。另外,舊商戶與新公司須遵循《個人資料(私隱)條例》,轉移客戶資料作銷售用途前,應先徵詢客戶同意。
舒適堡
消委會又表示,若消費者不願意保持會籍,要求即時退款,並以設有退款機制的付款方法預繳費用,例如信用卡,可聯絡信用卡發卡公司及填寫指定表格,要求代為向商戶銀行討回預繳;但尚未使用服務之款項,最終能否成功取回款項視乎多種因素,包括簽賬日期、是否以信用卡分期付款等。
消費者提到商戶若未能成功易手,一旦遇上商戶結業或其他不可預計情況,消費者作為無抵押債權人,有機會無法兌現已購買的產品或服務、取得賠償或退還預繳款額及按金。
消委會提醒,預繳式消費存在一定的風險,決定購買前要三思。如必須預繳費用,應盡量減少預繳金額,訂立合約時需要求詳列服務內容,包括未能提供服務的取消條款等,並妥善保存所有報價單、收據等重要資料,用作提供佐證。