美国44州总检察长与Labcorp达成228.7万美元和解：第三方催收商AMCA泄露2750万人医疗债务信息

科罗拉多州总检察长Phil Weiser宣布，科罗拉多州与一个跨党派州总检察长联盟已与Laboratory Corporation of America（Labcorp）达成和解，解决针对其债务催收商American Medical Collection Agency（AMCA）2019年数据泄露事件的跨州调查。该泄露可能暴露全美逾2750万人的个人信息，其中Labcorp患者约1020万人，仅科罗拉多州居民就有130,522人。

多州联盟此前已于2021年与AMCA达成和解，当时因该公司破产申请被驳回而中止。本次和解要求Labcorp支付2,287,455美元给各州，其中科罗拉多州预计获得32,086美元。作为补充，Labcorp另就相关集体诉讼同意支付3500万美元和解金，该诉讼与其他AMCA客户覆盖实体的争议仍在进行。

和解的核心并非罚金而是供应商治理要求。Labcorp须完善信息安全计划的若干环节，包括制定包含供应商安全事件内部报告机制的事件响应计划；在兼顾催收方法律义务的前提下尽量最小化向供应商共享的数据；扩充供应商风险管理计划，设立专门团队、使用供应商评估工具并核实供应商合规情况。

针对债务催收商这一特殊供应商类别，和解增设专门要求：维护合同清单、通过合同强制网络安全标准、对常被催收商为多客户聚合的数据进行分段、要求催收商开展评估与审计，并在不合规时保留终止权。Labcorp还须聘请第三方评估机构开展以供应商风险管理为重点的信息安全评估。

Weiser表示，本案涉及的是Labcorp患者的敏感数据，企业虽可与供应商签约，但不能将数据安全法律义务转移给承包商或第三方；企业必须妥善审查供应商并确保共享给供应商的信息得到安全保护。本次调查由康涅狄格、佛罗里达、印第安纳、伊利诺伊、密歇根与得克萨斯六州总检察长牵头，共44个州及哥伦比亚特区参与。