纽约 420 万人病历外泄　四州与涉事公司达成千万美元和解

纽约州检察长詹乐霞 11 月 6 日宣布，与康涅狄格、密歇根及新泽西三州检察长就 Perry Johnson & Associates（PJ&A）等五家公司达成和解，了结对 2023 年 3 月一宗医疗数据外泄案的联合调查。外泄资料涉及逾 1330 万人，包括约 420 万名纽约居民。和解总额最高为 1000 万美元，但五家公司首期只需在 14 天内支付 30 万美元罚款及费用，纽约州分得 10 万美元；其余 970 万美元暂缓执行，只有在公司违反和解条款或其财务陈述被证实严重失实时才须缴付。

黑客凭员工帐号入侵　远程存取无多重认证

调查发现，2023 年 3 月黑客利用一名 PJ&A 编码部门员工的帐号进入公司系统，而相关远程存取未设多重身份认证。外泄的数据库档案包含姓名、出生日期、住址、社会安全号码、医院帐号、诊断、保险资料，以及医疗转录档案中的临床资料，如化验与诊断检测结果、药物名称。PJ&A 当时为全美医疗机构提供编码、计费及转录等资讯科技服务。检方指出，涉事公司在和解生效日时已资不抵债并停止营运，这也是大部分款项暂缓执行的背景。

须落实保安改革　受害人无索偿表格

和解协议同时要求涉事公司维持严格的资讯保安及资料保存政策与措施，包括加强存取控制、事故应变及敏感健康纪录的处理。值得留意的是，是次和解不设索偿表格、索偿资格网站或受害人监察福利，属州政府执法和解，而非针对受害人的集体赔偿；另有私人诉讼已于 2024 年 1 月合并为联邦多区诉讼处理。詹乐霞今年以来已多次就医疗数据保安执法：10 月向一间儿科医疗网络及资讯科技公司追讨 270 万美元，9 月则向 Labcorp 追讨 230 万美元及要求整改。

（来源：纽约州检察长办公室；Recording Law；BeInSure。）