新西兰隐私专员就Manage My Health泄露事件发出合规通知：Manage My Health与Health NZ同被认定安全控制不足

新西兰隐私专员Michael Webster于2026年9月23日向Manage My Health与Health NZ正式发出合规通知。Manage My Health运营新西兰最大的患者健康门户。2025年12月的网络攻击导致403730份Health NZ文档与22609份患者上传文档被暴露，影响近10万人，其中90%居住在北地大区。

该案调查分为两个阶段。2026年5月发布的第一阶段报告，识别出Manage My Health与Health NZ存在七个方面的安全控制缺陷。合规通知据此要求两家机构限期完成改进：Manage My Health须在2027年8月31日前达标，Health NZ的合规期限为2027年1月29日。

值得注意的是，本案未施加金钱罚款，专员强调的重点是以安全方式对待患者数据这一义务本身。取而代之的是具有法律约束力的合规通知与明确整改时限，这也与新西兰执法偏好纠正性措施而非高额罚款的一贯路径一致。

从企业视角看，本案再次印证一个执法逻辑：监管追责的落点是泄露发生前缺失的具体安全控制，即访问控制与多因素认证等可举证的措施，而非被入侵这一事实本身。对医疗、健康科技等处理敏感信息的机构而言，可举证的控制措施留存，比事后的补救说明更能决定合规结论。