Dossiers médicaux de 4,2 millions de New-Yorkais exposés : quatre États concluent un accord de 10 millions de dollars

La procureure générale de New York, Letitia James, a annoncé le 6 novembre un accord avec les procureurs généraux du Connecticut, du Michigan et du New Jersey, clôturant une enquête conjointe sur une fuite de données de mars 2023 chez Perry Johnson & Associates (PJ&A) et quatre sociétés affiliées. Les fichiers exposés contenaient des dossiers concernant plus de 13,3 millions de personnes, dont environ 4,2 millions de résidents de New York. Le montant affiché de l’accord est de 10 millions de dollars, mais les sociétés ne doivent payer que 300 000 dollars de pénalités et de frais sous 14 jours — New York recevra 100 000 dollars — tandis que les 9,7 millions restants sont suspendus et ne deviendront exigibles que si les sociétés violent l’accord ou si leurs déclarations financières s’avèrent matériellement inexactes.

Des pirates entrés avec les identifiants d’un employé ; aucun double facteur pour l’accès distant

L’enquête a établi qu’en mars 2023, des pirates ont accédé aux systèmes de PJ&A en utilisant les identifiants d’un employé de sa division de codage, et que l’accès distant concerné ne comportait pas d’authentification à double facteur. Les fichiers divulgués contenaient des noms, des dates de naissance, des adresses, des numéros de sécurité sociale, des numéros de compte hospitalier, des diagnostics, des informations d’assurance et des données cliniques issues de fichiers de transcription médicale, comme des résultats d’analyses de laboratoire et de tests diagnostiques et des noms de médicaments. PJ&A fournissait des services informatiques de codage, de facturation et de transcription à des établissements de santé dans tout le pays. Les procureurs ont indiqué que les sociétés étaient insolvables et inactives à la date d’entrée en vigueur de l’accord, ce qui explique que l’essentiel du montant soit suspendu.

Réformes de sécurité exigées ; aucun formulaire de réclamation pour les victimes

L’accord exige également que les sociétés maintiennent des politiques et pratiques rigoureuses en matière de sécurité de l’information et de conservation des données, notamment un renforcement des contrôles d’accès, de la réponse aux incidents et du traitement des dossiers de santé sensibles. À noter : aucun formulaire de réclamation, portail d’admissibilité ou service de surveillance n’est prévu — il s’agit d’une mesure d’exécution des États, et non d’un régime d’indemnisation des victimes, tandis que des poursuites privées distinctes ont été regroupées en contentieux multidistrict fédéral en janvier 2024. Mme James a pris plusieurs mesures d’exécution en matière de données de santé cette année : 2,7 millions de dollars auprès d’un réseau de santé pédiatrique et d’une société informatique en octobre, et 2,3 millions de dollars plus des réformes auprès de Labcorp en septembre.

(Sources : procureure générale de New York ; Recording Law ; BeInSure.)