O Alasca aderiu a um acordo assinado por 44 procuradores-gerais, que exige que a Labcorp pague cerca de 2,29 milhões de dólares e reforce a supervisão de fornecedores externos, depois de uma violação de dados de uma empresa de cobrança de dívidas médicas ter afetado 82.958 residentes do Alasca.
O Departamento Jurídico do Alasca anunciou o acordo a 25 de setembro. As autoridades estaduais afirmaram que a violação de dados ocorrida em 2019 na Retrieval-Masters Creditors Bureau, que operava sob o nome de American Medical Collection Agency, expôs potencialmente informações pertencentes a mais de 27,5 milhões de pessoas em todo o país. Este total inclui 10,2 milhões de doentes da Labcorp e os residentes do Alasca identificados pelo estado.
A Labcorp utilizava a AMCA para cobrar as contas dos pacientes em atraso e transferia as informações dos clientes para esse fim. Num documento enviado à Comissão de Valores Mobiliários dos EUA (SEC), a empresa afirmou que um utilizador não autorizado teve acesso ao sistema da AMCA entre 1 de agosto de 2018 e 30 de março de 2019. Os dados potencialmente afetados incluíam nomes, moradas, saldos, números de telefone, datas de nascimento, médicos referenciadores e datas de atendimento. As informações dos planos de saúde e alguns números de Segurança Social também podem ter sido comprometidos, mas a Labcorp afirmou que os exames solicitados, os resultados laboratoriais e as informações de diagnóstico não eram armazenados no sistema afetado.
A violação ocorreu na agência de cobrança, e não nos sistemas da própria Labcorp. A Labcorp afirmou que deixou de enviar novas contas para a AMCA e suspendeu o trabalho da empresa de outsourcing após receber a notificação. A posição do Alasca no acordo é que a externalização não eximiu a Labcorp da responsabilidade de avaliar e supervisionar uma empresa externa que detém informações sensíveis dos doentes.
O acordo vai além do pagamento financeiro. De acordo com os termos multiestaduais, a Labcorp deve expandir o seu programa de gestão de riscos de fornecedores, estabelecer relatórios internos para eventos de segurança que envolvam fornecedores e limitar a partilha de dados, tendo em conta os requisitos de cobrança de dívidas. A empresa deve também tratar as empresas de cobrança de dívidas como uma categoria especializada de fornecedores, manter inventários de contratos, exigir avaliações e auditorias de segurança, segmentar dados agregados de clientes e preservar o direito de rescisão em caso de incumprimento.
Uma empresa de avaliação independente irá analisar o programa de segurança da informação da Labcorp, com foco na gestão de fornecedores. A empresa pagará 2.287.455 dólares aos estados participantes. O anúncio público do Alasca não especifica a atribuição individual para cada estado, e o acordo governamental não deve ser interpretado como um programa de pagamento direto para todos os residentes afetados.
A ação de execução é independente do litígio privado. O documento apresentado pela Labcorp refere que a empresa celebrou um acordo coletivo em março de 2026, sujeito a aprovação judicial. O procurador-geral de Connecticut descreveu a proposta de acordo coletivo como sendo de 35 milhões de dólares e afirmou que o acordo estadual também complementa um acordo multi-estado de 2021 com a AMCA, que incluía um pagamento de 21 milhões de dólares suspenso devido à falência da empresa de cobranças.
Para os residentes do Alasca, a importância imediata reside na responsabilização, e não num processo de queixas recentemente anunciado. O acordo estabelece controlos específicos sobre a forma como um laboratório nacional supervisiona as empresas que lidam com dívidas médicas e dados pessoais relacionados. Também oferece aos procuradores-gerais estaduais uma estrutura aplicável para avaliar se a Labcorp melhorou a seleção de fornecedores, a minimização de dados, a notificação de incidentes e o cumprimento de contratos após uma violação de dados que afetou dezenas de milhares de residentes do Alasca.
