NHG didenda $6,000 selepas data peribadi 129 doktor dijumpai online

SINGAPURA: Kumpulan Jagaan Kesihatan Kebangsaan (NHG) yang mengendalikan sebilangan hospital dan poliklinik, didenda S$6,000 kerana gagal menyimpan dengan selamat data peribadi beberapa rakan doktornya.

NHG gagal melaksanakan "susun atur keselamatan secukupnya" bagi melindungi datanya, menurut hasil keputusan Timbalan Pesuruhjaya Suruhanjaya Pelindungan Data Peribadi (PDPC) Yeong Zee Kin yang dikeluarkan pada Khamis (9 Jan).

Pihak tersebut juga gagal memperbaiki kelemahan yang membolehkan akses kepada maklumat peribadi bagi para pengguna Internet yang tidak mempunyai kebenaran.

Ini meskipun pihaknya tahu mengenai masalah tersebut sejak lebih setahun lalu.

PDPC menyatakan pada 7 Feb 2018 seorang doktor yang memohon menjadi rakan doktor dengan kumpulan itu terjumpa senarai dengan maklumat peribadi sebilangan rakan-rakan doktor kumpulan berkenaan semasa melakukan pencarian ke atas namanya di Google.

Senarai tersebut termasuk data peribadi 129 doktor yang berdaftar sebagai rakan-rakan doktor bagi NHG menerusi borang online di lamannya. Data tersebut termasuk nombor NRIC, nama penuh, nombor telefon, alamat rumah, tarikh lahir dan gambar.

Nama-nama penuh dan alamat-alamat lima anggota masyarakat yang mengirim maklum balas di laman itu, serta nombor telefon tiga daripada mereka, juga ditemui dalam senarai tersebut.

Senarai itu tidak sepatutnya diakses para pengguna yang tidak mempunyai kebenaran.

PDPC menyatakan pengendali yang diambil khidmatnya bagi melakukan ujian penembusan di laman NHG pada pertengahan tahun 2016, memaklumkan akses tanpa had kepada senarai itu melalui Internet adalah satu kelemahan.

Bagaimanapun, masalah itu tidak diperbaiki sehingga doktor berkenaan melakukan pencarian di Google bagi namanya dan kemudian memaklumkan pertubuhan itu.

"Menurut pertubuhan tersebut, kelemahan itu dibiarkan dan tidak diperbaiki kerana ia tidak diberi perhatian secukupnya oleh pengendali itu dalam laporan ujian penembusan," dedah timbalan pesuruhjaya.

"Ini alasan yang tidak memuaskan," kata beliau, memandangkan hasil dan saranan itu adalah catatan pertama yang tersenarai dalam laporan penembusan itu. Ia juga dijelaskan dalam bahasa yang mudah difahami orang biasa.

Timbalan pesuruhjaya itu menarik perhatian kepada seksyen 24 Akta Pelindungan Data Peribadi, yang memerlukan sesebuah pertubuhan melindungi data peribadi yang dimilikinya atau di bawah kawalannya dengan mengambil langkah-langkah keselamatan munasabah atau susun atur bagi mencegah akses, pengumpulan, penggunaan, pendedahan, penyalinan, pengubahan, pembuangan yang tidak memiliki kebenaran atau risiko-risiko serupa.

Bagaimanapun, beliau juga menarik perhatian NHG mengambil "tindakan-tindakan pemulihan segera" dan langkah-langkah segera selepas dimaklumkan mengenai insiden tersebut pada 7 Feb 2018 bagi memberitahu mereka yang terjejas oleh insiden itu, dan memberi kerjasama penuh dalam siasatan.