網上教育平台Canvas遭黑客組織攻擊，全球2.75億名用戶受影響，香港有7間教育機構向個人資料私隱專員公署通報資料外泄事故。私隱公署今日（20日）公布調查結果指外泄事件實際只影響四間教育機構，包括香港城市大學、香港演藝學院、香港建造學院及香港科技大學，而據前三者提供資料，截至目前受外泄事件影響的學生及員工逾15萬名，涉及姓名、電郵地址、用戶名稱、所修讀課程訊息等個人資料。

私隱公署指，四間教育機構的外泄事件源於第三方平台漏洞，相關機構內部系統不受事件影響，而調查發現相關機構在使用 Canvas前已進行事前評估、採取合約規範及建立審查機制，以確保被轉移的個人資料受保障。因此，私隱專員鍾麗玲認為四間教育機構不涉及違反《私隱條例》情況。

私隱公署指調查源於七間教育機構於今年5月6日至11日期間通報資料外泄事故，表示可能受第三方網上教學管理平台Canvas遭黑客入侵（外泄事件）一事所影響，包括香港城市大學、香港演藝學院、香港建造學院、香港科技大學、香港藝術學院、香港理工大學及香港教育城有限公司。

7間教育機構通報外泄事件　實際只影響城大、演藝、建造學院及科大

私隱公署經考慮外泄事件的情況及調查所獲得資料，外泄事件實際只影響四間教育機構，包括香港城市大學、香港演藝學院、香港建造學院及香港科技大學，該些機構自2014年起陸續使用 Canvas 作教學用途。

相關機構內部系統不受事件影響　使用Canvas前有確保個人資料受保障

私隱公署指綜合來說，四間教育機構外泄事件源於第三方平台漏洞，而相關機構內部系統不受外泄事件影響。調查發現，相關機構在使用Canvas前已進行事前評估、採取合約規範及 建立審查機制，以確保被轉移的個人資料受保障。

因此，個人資料私隱專員鍾麗玲認為無證據顯示四間教育機構在使用Canvas過程中沒有採取所有切實可行的步驟保障所持有的個人資料，因而不涉違反《私隱條例》。

然而，私隱專員公署已建議涉事機構重新審視資料外洩的風險、加強監管第三方平台所採取的保安措施、審視及盡量減少平台上儲存的個人資料、啟用帳戶的多重認證功能，以及訂定清晰的存取權限和資料保留時限等，以確保資料安全。

城大：用Canvas前已評估　內部系統未受影響

城大表示，私隱專員公署確認城大在使用 Canvas前已事前評估、採取合約規範及建立審查機制，以確保被轉移的個人資料受保障。

校方指，內部系統完全未受影響，並設有強制多重認證保護，第三方無法憑基本帳戶資料登入。事件涉及約十四萬個帳戶紀錄，其中約三萬四千個為師生使用中的帳戶，其餘為非活躍封存帳戶。相關資料僅限於基本資料，如姓名、學生編號及電郵地址，絕不涉及敏感個人資料。

大學早前已採取行動，通知受影響用戶並提供防範建議，並會積極落實公署的建議。