Info Cloud
Brand Hong Kong

最新消息

友情链接

GovHK 香港政府一站通 在香港发展数据中心 数字政策办公室
主页 > 云服务供应商 > 作业指引 > 云服务供应商在云上处理个人识别资料的信息安全及私隐保障备忘事项

Share Icon分享


备忘事项

 

下表列出当涉及个人识别资料时，在信息安全及私隐保障方面的良好作业模式。本列表为云服务供应商提供高层次的指引，以供在推行管理、运作及技术措施时参考使用。

 

保护个人识别资料的良好作业模式 云服务供应商 担任资料使用者 的角色 云服务供应商 担任资料处理者 的角色
政策管理    
  • 遵守《个人资料（私隐）条例》，特别是保障资料原则[1]。
 ✓ ✓
  • 了解及遵从收集和储存个人识别资料所在的司法管辖区所适用的私隐法例，因为云可能超越香港特别行政区的司法管辖权范围。
 ✓ ✓
  • 进行私隐影响评估[2]，以助识别及侦测任何对私隐造成的风险，包括在云上收集及储存的个人识别资料，在未获授权或无意的情况下被查阅、修改、处理、删除或作出其他用途。
 ✓ ✓
  • 在机构内部制订及执行清晰的保护资料或私隐保障政策，以符合收集、处理及储存个人识别资料所在的司法管辖区的个人资料私隐法例。
 ✓ ✓
  • 定期进行风险评估及检讨，以确保有关安全风险受到妥善管理。
 ✓ ✓
  • 制订妥善的合约条款(或至少评估合约条款的需要)，以规管有关保护个人识别资料的行为。
 ✓ ✓
收集（保障资料第1原则）    
  • 以公平和合法的方式收集个人资料，而这些资料只可作与云服务功能和活动直接相关的用途。
 ✓  
  • 只可在有实际需要时收集个人资料。所收集的资料不应超越原有收集的目的。
 ✓  
  • 每当在网上收集个人识别资料时，必须向有关人士提供收集个人资料声明。
 ✓  
  • 通知客户有关其个人资料会作何种用途，以及该等资料可能转移予何人。
 ✓  
保留及准确性（保障资料第2原则）    
  • 保持个人资料准确、适时更新和稳妥，而保留期不应超过实际需要。
 ✓  
  • 客户所交托的个人资料的保留期不应超过实际需要。
   ✓
使用及处理（保障资料第3原则）    
  • 须先征求和取得客户的同意，才可将他们的个人资料作资料收集目的以外的用途。
 ✓  
  • 切勿将客户交托的个人资料作任何未经客户同意的用途。
   ✓
安全防护 - 程序和步骤（保障资料第4原则）    
  • 记录储存于云上的个人识别资料的种类。
 ✓  
  • 编制一份储存了个人识别资料的软件系统及位置清单，以助有效地进行监察。
 ✓  
  • 避免把个人识别资料储存于过多不同的应用程序及位置，因此举可能增加安全风险，并会加重监察及侦测未获授权查阅资料方面的工作。
 ✓ ✓
  • 订出一份认可计算机设备清单，包括可用以管理云端操作的移动设备及其相应的安全要求。
 ✓ ✓
  • 制订有关申请及审批资料查阅权的正式程序及详细步骤。
 ✓ ✓
  • 制订快速应变通讯方法以处理安全事故（包括怀疑被入侵的事故）。
 ✓ ✓
  • 定期覆检计算机／网络设备的记录和审计追踪记录，以检查是否存在异常情况和可能出现的攻击。
 ✓ ✓
  • 透过持续监察及安全保证覆检，不断改善资料保护措施。
 ✓ ✓
安全防护 - 技术措施（保障资料第4原则）    
  • 为个人识别资料加密或提供加密功能，让客户为其储存在云上的个人识别资料加密。无论在甚么情况下加密，都要小心保护加密密钥。
 ✓ ✓
  • 为透过开放网络传输的个人识别资料加密。
 ✓ ✓
  • 应用或提供严格的认证方法，例如双重认证，确保客户通过认证才可查阅云上的个人识别资料。
 ✓ ✓
  • 在网络通讯闸安装保安装置，例如防火墙、入侵侦测／防御系统，以保护云服务免受外来攻击。
   ✓
  • 确保计算机设备：
    • 已安装防病毒软件及最新的计算机病毒定义档案，启动实时侦测功能和对系统进行定期全面扫描；以及
    • 使用中的操作系统及软件已安装最新安全修补程式。
   ✓
  • 定期检查系统安全漏洞，在切实可行情况下尽快实行补救措施。
   ✓
  • 定时进行资料备份及测试资料复原程式。
 ✓ ✓
  • 计算机设备内的个人识别资料未被完全删除之前，禁止重用或弃置该计算机设备。
   ✓
遵行规定（保障资料第5原则）    
  • 可以透过私隐政策声明，告知客户在保护其个人资料上所作出的承诺及推行的相关措施。
 ✓ ✓
查阅与改正（保障资料第6原则）    
  • 开发及利用记录管理系统以处理客户查阅及改正个人资料的要求。
 ✓  
分判商的管理    
  • 只有在提供所需服务的情况下，才可以把客户的个人识别资料向分判商披露。分判商不得使用个人识别资料作任何其他用途。
 ✓ ✓
  • 对于处理储存在云上的个人识别资料的分判商或任何第三方，规定他们须制订适切的信息技术安全机制及相关程序。
 ✓ ✓
  • 监察所有可查阅储存于云上的个人识别资料的分判商，并备存一份载列该等分判商的清单。
 ✓ ✓
员工管理    
  • 就储存在云上的个人识别资料而言，应订明员工在资源控制上所担任的工作和职责。例如，指定一名管理人员负责执行决策，授权查阅储存在云上的个人识别资料。
 ✓ ✓
  • 指派员工处理储存在云上的个人识别资料及采用职务分工原则。
 ✓ ✓
  • 制订严格的密码政策及确保员工没有共用帐户。
 ✓ ✓
  • 根据个别员工的职责，定期覆检他们的查阅权限，以确定或重新确定其是否适合进行查阅。例如，当机构内某名员工离职或调任到机构的其他单位，该员的所有查阅权限及帐户必须予以撤销。
 ✓ ✓
  • 向负责处理储存在云上的个人识别资料的员工提供充足的指导及培训。
 ✓ ✓

 

 

[1] 参考 http://www.pcpd.org.hk/sc_chi/data_privacy_law/6_data_protection_principles/principles.html 有关《个人资料(私隐)条例》的保障资料原则

[2] 参考 https://www.pcpd.org.hk/english/resources_centre/publications/files/InfoLeaflet_PIA_ENG_web.pdf 有关个人资料私隐专员公署出版的《私隐影响评估》资料单张

上一页
页首

中华人民共和国香港特别行政区政府

数字政策办公室
Caring Organisation 同心展关怀
遵守2A级无障碍图示，万维网联盟（W3C）- 无障碍网页倡议（WAI） Web Content Accessibility Guidelines 2.0