紐約 420 萬人病歷外洩　四州與涉事公司達成千萬美元和解

紐約州檢察長詹樂霞 11 月 6 日宣布，與康涅狄格、密歇根及新澤西三州檢察長就 Perry Johnson & Associates（PJ&A）等五家公司達成和解，了結對 2023 年 3 月一宗醫療數據外洩案的聯合調查。外洩資料涉及逾 1330 萬人，包括約 420 萬名紐約居民。和解總額最高為 1000 萬美元，但五家公司首期只需在 14 天內支付 30 萬美元罰款及費用，紐約州分得 10 萬美元；其餘 970 萬美元暫緩執行，只有在公司違反和解條款或其財務陳述被證實嚴重失實時才須繳付。

黑客憑員工帳號入侵　遠程存取無多重認證

調查發現，2023 年 3 月黑客利用一名 PJ&A 編碼部門員工的帳號進入公司系統，而相關遠程存取未設多重身份認證。外洩的數據庫檔案包含姓名、出生日期、住址、社會安全號碼、醫院帳號、診斷、保險資料，以及醫療轉錄檔案中的臨床資料，如化驗與診斷檢測結果、藥物名稱。PJ&A 當時為全美醫療機構提供編碼、計費及轉錄等資訊科技服務。檢方指出，涉事公司在和解生效日時已資不抵債並停止營運，這也是大部分款項暫緩執行的背景。

須落實保安改革　受害人無索償表格

和解協議同時要求涉事公司維持嚴格的資訊保安及資料保存政策與措施，包括加強存取控制、事故應變及敏感健康紀錄的處理。值得留意的是，是次和解不設索償表格、索償資格網站或受害人監察福利，屬州政府執法和解，而非針對受害人的集體賠償；另有私人訴訟已於 2024 年 1 月合併為聯邦多區訴訟處理。詹樂霞今年以來已多次就醫療數據保安執法：10 月向一間兒科醫療網絡及資訊科技公司追討 270 萬美元，9 月則向 Labcorp 追討 230 萬美元及要求整改。

（來源：紐約州檢察長辦公室；Recording Law；BeInSure。）