收銀／會員系統個人資料外洩點應變：外洩之後五步流程
一、外洩已經發生：第一時間要認清咩叫外洩
附表 1 保障資料原則第 4 原則（DPP4）訂明，資料使用者需要採取所有切實可行的步驟，保障個人資料免受未經授權或意外的查閱、處理、刪除、遺失或使用。考慮因素包括資料種類及外洩可能造成的損害、資料存放的實際地點、設備內置的保安措施、確保有權查閱人士的誠信、審慎及能力所採取的措施，以及確保資料安全傳送所採取的措施。以下條號引述以 e-Legislation 現行版本為準，數字來源會喺相關段落註明。
收銀／會員系統常見的個人資料存放位置，包括會員資料庫、訂單及送貨記錄、退款記錄、紙本收據、WhatsApp 訂單訊息、員工帳戶及權限，以及 POS 供應商作為資料處理者的系統。外洩情境類別，可以按私隱專員公署列出的原因對照：黑客入侵、文件或便攜裝置遺失、經電郵、郵遞或傳真意外披露、僱員不當行為、系統設定錯誤。
同預防要分開睇：post-65 集中在備份與網絡安全預防，今次集中在外洩已經發生之後的即時收集資料、控制、評估、通報、記錄五步，以及事後檢討。指引全名為《個人資料外洩事故處理及通報指引》，私隱專員公署於 2023-06-30 發出新聞稿公布，指引列出五個步驟。
二、第一步：即時收集重要資料
指引第一步係即時收集重要資料。通報內容範圍方面，HK Lawyer 對指引的整理列出：外洩日期、時間、持續時間及來源，涉及的個人資料種類，受影響資料當事人的類別及約數，損害風險評估。收集嗰陣，至少要答到邊個發現、幾時發現、邊個系統或者檔案受影響、幾多紀錄可能受影響、資料有冇加密、備份係咪可用。
記錄發現時間同發現人，之後每一步都要有時間線。時間線不止為咗通報表格而寫，之後評估、檢討、回應專員查詢，全部要靠呢條時間線還原經過。收集階段的記錄要準確，估算要註明係估算，確定咗的數字要註明來源同點算方法。
同時要保留外洩證據，以協助調查及採取糾正行動，呢一點屬於外洩通報表格列出的控制措施例子之一。警方科技罪案資料提醒，來自立法會文件：受害人在被騙或電腦被入侵後即時刪除電腦資料甚至重新安裝全部軟件，會銷毀相關證據。換句話說，避免急於「清乾淨」，控制同保留證據要並行。
三、第二步：控制外洩事故
指引第二步係控制外洩事故。外洩通報表格列出的控制措施例子包括：如外洩由系統故障引起，停止系統；更改使用者密碼及系統設定以控制查閱及使用；即時向內部或外部尋求技術意見或協助，以修補系統漏洞及／或阻止黑客入侵；停止或更改涉嫌導致或促成外洩的人士的查閱權；如身份盜竊或其他刑事活動已經或可能發生，通知有關執法機關。
收銀實務對照：停用可疑員工帳戶、更改管理員密碼、暫停受影響的會員查詢功能、檢查 POS 供應商作為資料處理者一方有冇同步控制。DPP2(3) 方面，《實務守則》第 6.25 段指出，資料使用者在香港境內或境外聘用資料處理者代其處理個人資料，需要採用合約或其他方法，防止資料處理者保存個人資料超過處理所需的時間，並確保資料處理者遵從保安要求。
控制階段要分清兩回事：「刪除不再需要的資料」同「刪除證據」並非同一樣嘢。第 26 條同 DPP2(2) 訂明，資料不再為目的所需要時需要刪除，過度保留與外洩風險有關。控制外洩嗰陣，刪除的對象係不再需要的資料，而非用嚟調查的證據，兩者需要分開處理。
四、第三步：評估損害風險
指引第三步係評估損害風險。外洩通報表格列出的損害評估例子包括：人身安全威脅，身份盜竊，金錢損失，羞辱或尊嚴受損、聲譽或關係受損，生意及就業機會損失。評估嗰陣，可以按呢個清單逐項睇，邊項適用、邊項不適用，都要寫低原因。
評估因素方面，Sidley 對指引的整理指出：個人資料的敏感程度及數量，受影響人士的損害風險，例如身份盜竊、生意損失或其他金錢損失。收銀場景對照：會員姓名加電話加送貨地址外洩，同只有訂單編號外洩，屬於不同級別的風險，評估嗰陣要講清楚邊種資料外洩咗。
評估結果決定通報的迫切程度同內容。評估結果要以書面記低，留作通報同記錄步驟的依據，而非停留於口頭判斷。
五、第四步：考慮發出外洩通報
指引第四步係考慮發出外洩通報。通報狀態要講清楚：香港現時沒有法定強制通報要求。指引立場係機構在知悉外洩事故後，在切實可行範圍內盡快通知私隱專員公署及受影響資料當事人，特別係外洩事故可能對受影響資料當事人造成實際損害風險的情況。指引沒有訂明 72 小時死線，引用嗰陣不要將其他司法管轄區的死線套用到香港。
通報渠道方面，私隱專員公署電子外洩通報表格（e-Data Breach Notification Form）係網上表格，附指引問題及多項選擇答案，隨 2023 年指引一併推出。之前通報需要下載表格再以電郵、傳真或郵遞提交。專員不接受口頭通報，呢一點來自 Lewis Silkin 對指引的整理。私隱專員公署查詢熱線為 2827 2827；公署地址為灣仔皇后大道東 248 號陽光中心 12 樓；辦公時間為星期一至五 08:45–17:40，星期六、日及公眾假期休息，以上三項均來自外洩通報表格。
通知受影響人士的方法包括電話、書面、親身。如受影響人士未能即時識別，或者外洩事故涉及公眾利益，公開公布可能更有效，以上來自 Lewis Silkin 對指引的整理。另外兩個渠道：警方反詐騙協調中心「防騙易」熱線 18222，全日 24 小時提供即時諮詢，來源為通訊事務管理局辦公室同警方資料；香港電腦保安事故協調中心（HKCERT）接受電腦保安事故報告，例如惡意軟件、網頁塗改、釣魚、詐騙、阻斷服務攻擊及其他網絡攻擊，來源為 GovHK。
六、第五步：記錄外洩事故同修訂消息點分清
指引第五步係記錄外洩事故。記錄屬於新加入的步驟，之前版本沒有。指引同時新增建議：機構訂立全面的書面外洩應變計劃，列出執行上述步驟的程序。記錄內容至少包括五步的經過、時間線、評估、通報決定同跟進安排，事後檢討亦要靠呢份記錄。
修訂狀態方面，截至 2026 年 9 月的整理（GCT Solutions，二手整理）指出，強制通報、行政罰款、直接規管資料處理者、明確保留責任、第 33 條可能生效等一攬子修訂建議，曾於 2024 年底暫停，討論在 2025 年及 2026 年繼續，沒有已通過的條文。2025 年 7 月立法會辯論方面，CMS 整理指出，廣泛支持全面檢視及分階段修訂條例，建議包括建立強制外洩通報機制。南華早報報道指出，私隱專員公署計劃在 2025 年內就強制通報及相關罰則諮詢立法會，分階段推行，屬於二手來源。
引用修訂消息嗰陣，要講清楚修訂屬於建議，屬於未立法，尚未成為已通過的條文。將建議寫成已通過的條文，會令商戶誤以為通報已經係法定強制要求，同現時指引下的自願通報安排混淆，呢個分別一定要寫得清清楚楚。
七、外洩數字：只引用已核實的曆年口徑
曆年 2024 年方面，私隱專員公署 DPOC 通訊指出，接獲 203 宗外洩通報，2023 年為 157 宗。外洩原因包括黑客入侵、文件或便攜裝置遺失、經電郵、郵遞或傳真意外披露個人資料、僱員不當行為、系統設定錯誤等。2023 年黑客入侵 64 宗，約佔當年通報的 41%。
算術按公署數字自行計算：203 減 157 等於 46，46 除以 157 等於 29.3%，與公署「增加近 30%」表述一致；64 除以 157 等於 40.8%，公署寫法約 41%。以上比例全部由公署公布的宗數直接計算得出，計算過程已經喺本段列出。
引用統計嗰陣要認清口徑：本節以上數字全部屬於曆年口徑，唔同統計期的數字唔可以直接比較，商戶引用嗰陣要註明統計期同來源，唔好將唔同口徑的數字撈埋一齊。
八、已公布執法個案的教訓同埋事後檢討
已公布執法個案方面，樂施會（Oxfam）調查：私隱專員公署認定違反 DPP4(1) 及 DPP2(2)，向樂施會發出執行通知，要求糾正缺失及防止類似事故，以上來自 Mayer Brown 對公署調查結果的整理。
南華體育會（SCAA）調查：私隱專員公署認定違反 DPP4(1)，發出執行通知。報道引述的促成因素包括事發時沒有啟用登入失敗鎖定功能，黑客可以不受阻地繼續暴力破解攻擊，管理員帳戶沒有多重認證，缺乏資訊保安政策及指引，缺乏定期風險評估及保安審計，缺乏離線備份方案，以上來自 Marketing-Interactive 對公署調查結果的報道，屬於二手來源。TE 信用資料庫（Softmedia）調查：私隱專員公署認定營運者沒有採取所有切實可行的步驟保障資料，另不當保留超過 50,000 條信用記錄超過需要時間，以上來自 Marketing-Interactive 報道，屬於二手來源。
事後檢討要對照五步：邊一步慢咗、邊一步無記錄、供應商作為資料處理者有冇同步跟進。收銀實務上，POS 只做付款方式記錄、分類對數，收款經八達通機、KPay、YedPay 等獨立渠道。POS 系統＋收銀鏡頭套裝 HK$4,950 買斷免月費，其他價錢需報價。查詢可致電或 WhatsApp +852 2186 8010，地址為新界沙田石門安麗街18號達利廣場1209室，每日 12:00–19:00。
外洩之後按指引五步處理：即時收集重要資料、控制外洩事故、評估損害風險、考慮發出外洩通報、記錄外洩事故，並訂立書面外洩應變計劃；香港現時沒有法定強制通報要求，指引沒有訂明 72 小時死線，修訂建議仍屬未立法；控制同保留證據要並行，評估結果要以書面記低；統計引用只用已核實的曆年口徑數字。
