私隱專員公署公佈Canvas資料外洩調查結果 四教育機構逾15萬人受影響未涉違例

個人資料私隱專員公署（下稱公署）今日公佈有關網上教學管理平台Canvas資料外洩事故的調查結果。調查證實，該事故共影響四間教育機構，逾15萬人的個人資料可能因此外洩，但私隱專員鍾麗玲經調查後認為，並無證據顯示涉事機構在保障個人資料方面違反《個人資料（私隱）條例》（下稱《私隱條例》）的規定。 公署指出，是次事故經通報涉及七間教育機構，惟經深入調查後，實際受影響的機構為香港城市大學（城大）、香港科技大學（科大）、香港演藝學院以及香港建造學院。外洩的個人資料包括姓名、電郵地址、學生編號，以及部分人士所修讀的課程等敏感資訊。 調查結果亦顯示，涉事四間教育機構在採用Canvas平台前，已採取一系列預防措施，包括進行事前評估、透過合約規範第三方服務供應商的責任，並建立相關的審查機制，以確保轉移至平台的個人資料受到妥善保障。 私隱專員鍾麗玲強調，根據現有證據，未發現城大、科大、香港演藝學院及香港建造學院在使用Canvas平台的過程中，未有採取所有切實可行的步驟以保障所持有的個人資料。因此，她判斷是次事故不涉及違反《私隱條例》的相關規定。 然而，鍾麗玲仍向涉事機構提出多項建議，旨在進一步提升數據安全防護水平，包括重新審視資料外洩的風險評估、加強監管第三方平台所採取的保安措施、審視並盡量減少平台上儲存的個人資料量、鼓勵啟用賬户的多重認證功能，以及訂定清晰的存取權限和資料保留時限等，以應對日益嚴峻的網絡安全挑戰。