州總檢長詹樂霞（Letitia James）24日宣布，與全美43名州總檢察長共同就醫療檢測公司 Laboratory Corporation of America（Labcorp）客戶資料外洩事件達成和解。Labcorp將向各州支付約230萬元，其中紐約州獲近9萬元，並須全面改革資料安全及第三方債務催收商管理制度。
據悉，這起資料外洩事件涉及Labcorp使用的債務催收公司American Medical Collection Agency（AMCA）。當局表示，事件可能導致全美逾2750萬人的個人資料遭到外洩，其中包括約1020萬名Labcorp病患。紐約州則約有42萬人受到影響。
根據詹樂霞辦公室，總部位於紐約州Elmsford的AMCA主要為實驗室及醫療檢測機構催收小額醫療債務。2018年8月1日至2019年3月30日期間，一名黑客侵入AMCA內部系統，取得客戶個人資料。
調查顯示，儘管負責處理付款的銀行曾多次就可能存在的資料安全問題發出警告，AMCA仍未及時發現系統遭到入侵。外洩資料包括社會安全號碼、支付卡資料，以及醫療檢測名稱和診斷代碼等敏感資訊。
詹樂霞表示，企業有責任保護客戶的私人資料，尤其是敏感醫療資訊。她指出，數以百萬計病患的私人健康資料因Labcorp未能充分保護客戶而可能遭到外洩；經過調查後，Labcorp將採取重大整改措施，以加強病患資料保護並防止類似事件再次發生。
根據和解協議，Labcorp將向參與和解的各州支付共228萬7455元，其中紐約州將獲得8萬9178元。
Labcorp同時須改善整體資訊安全計畫，並制定涵蓋供應商資料外洩內部通報機制的事故應變方案；同時在兼顧債務催收商履行法律義務的情況下，盡量減少與外部供應商分享的資料。
Labcorp也須擴大供應商風險管理計畫，包括設立專責團隊、使用工具評估供應商安全風險，以及確認供應商是否遵守相關規定。針對債務催收商，公司還須透過合約落實網絡安全標準、分隔不同客戶的資料，要求催收商接受評估及審計，並保留在對方違規時終止合作的權利。
此外，Labcorp須聘請第三方評估機構進行資訊安全評估，重點審查供應商風險管理措施。本報記者孟莎紐約報道