國泰航空及其全資子公司港龍航空驚爆約940萬名乘客的個人資料外洩，甚至曾有乘客資料曾被不當取覽，令外界震驚的，不單是資料外洩，而是竟然早於今年3月已察覺有可疑報告，再於5月證實事件，竟然延誤長達逾半年，才於前晚透過發出公司公告對外報告，並且於昨天才向警方報案。由此可見，香港在監管個人資料的法例相當落後，未能規管企業的通報責任，讓肇事機構毋須在某個時限內公開交代。經過今次事件，政府必須研究修例，堵塞漏洞。

在科網世代，市民難言擁有可保護私隱，早已有心理準備個人資料被盜取，關鍵只在於洩漏多與少。國泰初步發現乘客外洩的資料，包括護照號碼及身份證號碼等，這些資料足以供犯罪集團用作從事不法勾當，性質嚴重。然而，國泰早於今年3月已發現有異，卻相隔足足7個月才交代，做法無法令人接受。

最荒誕是國泰航空顧客及商務總裁盧家培昨天仍在死撐，指要小心處理，以免引起無謂恐慌，故用了較長時間了解事件並作出配套準備，到周三（24日）晚上才發出公告。我們不接受這解釋，因為資料既然已外洩，就應盡快公布，讓市民自己先提高警誡心，以免被騙。今時今日，國泰仍抱持這態度來發放資訊，是本末倒置，僅以企業利益角度來考慮。

除了對市民隱瞞外，執法部門亦然，一個企業被人盜取如此重要資料，竟然長達七個月後才報警，恐怕網絡上任何證據也會被刪掉或在更多人接觸下，增加警方調查困難。同時，在報案後，又未有立即安排警方介入調查，拖延時間，看來「報警」這個動作也是行禮如儀，不期望警方查明真相。

在事件發生後，香港個人資料私隱專員黃繼兒表示，非常關注情況，會主動聯絡相關航空公司，並就事件展開循規審查。事實上，公署可做的不多，根據法例，違反保障資料的原則不會直接構成刑事罪行，但私隱專員可以向有關資料使用者發出執行通知，指令其停止進行違規行為，以及採取必要補救措施。如果違反執行通知的規定，即屬犯法，可被判處罰款或監禁，一經定罪，可被判處最高罰款港幣5萬元及監禁2年。

若有人認為其個人資料私隱受侵犯而蒙受損失，包括情感傷害，可根據條例向相關的資料使用者申索，以彌補損失。私隱專員可代其提出法律程序以尋求補償，並給予法律協助。不過，舉證相當困難。

《個人資料(私隱)條例》主要規管收集個人資料、直銷等行為，未能對應近年屢見不鮮的黑客攻擊。歐盟兩年前通過《通用數據保障條例》（GDPR），今年5月正式生效，明確將保護資料的責任放在企業身上。條例規定若有資料外洩，資料保管者要盡可能於72小時內通知歐洲監管機構；涉敏感資料的話，更須通知當事人。GDPR的做法包括禁止未經許可下分拆資料給第三方、資料當事人可反對被彙編（profiling）個人資料等。

以今次事件為例，只要國泰的940萬乘客中有歐盟公民，便亦須受條例約束。由是觀之，國泰延遲五個月才公布消息，相當大可能已經違規，或要面臨歐盟懲罰。經過今次國泰事件，政府應討論修例，令《個人資料(私隱)條例》與時並進，針對企業理應承擔保護資料的法律責任，包括通報監管機構及受影響客戶。