國泰航空及港龍航空去年發現約940萬名乘客的個人資料，遭未獲授權取覽或查閱的資料外洩事故，香港個人資料私隱專員黃繼兒今日（6月6日）發表調查報告。私隱專員認為，國泰違反了《個人資料（私隱）條例》下有關個人資料保安及資料保留的資料保障原則。私隱專員又認為國泰除了違規之外，在數據管治上明顯地掉以輕心，未能達到受影響乘客和監管機構的期望。

私隱專員表示，在漏洞管理、採用有效的技術保安措施，以及資料管治方面，國泰沒有採取所有合理地切實可行的步驟，以保障受影響乘客的個人資料免受未獲授權的取覽或查閱，包括未能識辨某個廣為人知及可被加以利用的保安漏洞，亦未能識辨利用該漏洞的行為，同時沒有採取合理地切實可行的步驟在建立伺服器時進行適當的部署；只為伺服器每年進行一次漏洞掃描，就有效保障國泰資訊系統以面對不斷變化的數碼威脅的做法流於表面及過份鬆懈；沒有採取合理地切實可行的步驟，避免伺服器的管理員控制台埠曝露於互聯網，因此導致為攻擊者開啟一個入口；未有對涉及存取資訊系統內個人資料的所有遙距使用者實施有效的多重身份認證；在沒有採取有效的保安管控措施下，為了方便遷移數據中心而建立未經加密的數據庫備份檔案，因而導致受影響乘客的個人資料曝露予攻擊者；未有建立有效的個人資料庫存以涵蓋所有載有個人資料的系統；對風險的警覺性低，在2017年的保安事故發生後沒有採取合理地切實可行的步驟，以減低資訊系統被植入惡意軟件及被入侵的風險。

私隱專員根據《私隱條例》第50(1)條所賦予的權力，向國泰送達執行通知，指示國泰聘請獨立的資料保安專家徹底檢修載有個人資料的系統；為所有會存取載有個人資料的資訊系統的遙距使用者實施有效的多重身份認證，並承諾定期檢視遙距存取的權限；定期在伺服器及／或應用程式層面進行有效的漏洞掃描；聘請獨立的資料保安專家定期對網絡的保安進行檢視／測試；制定清晰的資料保留政策，訂明每個系統內的乘客資料的保留期限，即不超過將其保存以貫徹該資料被使用於的目的，並承諾實施有效措施以確保政策獲有效執行；從所有系統徹底銷毀亞洲萬里通會員計劃收集的所有不必要的香港身份證號碼。