邊境服務局承包商數據外泄 隱私專員指涉138萬張車牌圖像
【明報專訊】聯邦隱私專員辦公室周四發表詳細調查報告，指加拿大邊境服務局(The Canada Border Services Agency，CBSA)承包商發生的數據外泄事故，涉及多達138萬張車牌圖像和相關信息，較局方原本聲稱只約9,000張多出超過150倍。
報告指，原因是邊境服務局管理車牌信息的方式不一致，以及缺乏安全措施，此外，合同內未有列明條款足以確保該局的私營部門合作伙伴妥善保護有關信息。該報告早在5月已完成，但包含在隱私專員杜弗雷斯(Philippe Dufresne)年度報告中，周四才呈交國會。
2019年媒體報道邊境服務局及其美國同儕使用的第三方承包商遭到網絡攻擊，該監管機構隨即啟動投訴並着手調查。邊境服務局當時向隱私專員表示，該次事故涉及從安省康和(Cornwall)邊境關卡入境旅客處收集的為數約9,000張車牌照片。
有關調查卻發現，在是次事故中外泄的車牌圖像檔案數量多達138萬張，包括複製檔案。
該報告指，其中約1.1萬張被上載到暗網，即只有通過專門的網絡瀏覽器才能接觸的隱藏網站。它還發現圖像檔案包括元數據，當中包含跟車牌有關的相關省或州當局、拍攝日期和時間、以及代表邊境關卡的數字代碼和車道編號。
邊境服務局向專員表示，局方不認為車牌圖像屬於個人信息，但有關報告卻稱，該局的評估沒有顧及相關元數據顯示時間、地點和日期。專員辦公室亦指，根據《隱私法》(Privacy Act)，該等檔案屬於涉事個人的私人信息，儘管諸如醫療紀錄和財務數據等一些個人信息，幾乎總是被視為具敏感性，但任何個人信息都可能屬於敏感資料，這取決具體情況。
隱私專員辦公室最終得出結論，其發起的投訴是有根據的，因為邊境服務局違反隱私法關於信息披露的規定。它建議邊境服務局重新審查該局跟服務供應商的合約，以明確表明車牌圖像檔案屬個人信息，因此需要「對儲存、使用、接觸和銷毀採取適當的保護措施」。
專員說，此案是一個重要教訓，即無論數據是由政府機構還是由代表其行事的合約第三方處理，私隱義務均適用。基於邊境服務局對調查的回應及接納有關建議，專員認為投訴已圓滿解決。
