Alaska se ha sumado a un acuerdo entre 44 fiscales generales que obliga a Labcorp a pagar aproximadamente 2,29 millones de dólares y a reforzar la supervisión de los proveedores externos, tras una filtración de datos de una empresa de cobro de deudas médicas que afectó a 82.958 residentes de Alaska.
El Departamento de Justicia de Alaska anunció el acuerdo el 25 de septiembre. Funcionarios estatales indicaron que la filtración de datos ocurrida en 2019 en Retrieval-Masters Creditors Bureau, que operaba como American Medical Collection Agency, expuso potencialmente información perteneciente a más de 27,5 millones de personas en todo el país. Esta cifra incluye a 10,2 millones de pacientes de Labcorp y a los residentes de Alaska identificados por el estado.
Labcorp utilizó AMCA para cobrar facturas pendientes de pacientes y transfirió información de clientes para este fin. En un documento presentado ante la Comisión Federal de Valores (FEC), la compañía indicó que un usuario no autorizado tuvo acceso al sistema de AMCA desde el 1 de agosto de 2018 hasta el 30 de marzo de 2019. Los datos potencialmente afectados incluían nombres, direcciones, saldos, números de teléfono, fechas de nacimiento, médicos remitentes y fechas de servicio. También es posible que se haya visto comprometida información sobre seguros médicos y algunos números de la Seguridad Social, pero Labcorp afirmó que las pruebas solicitadas, los resultados de laboratorio y la información de diagnóstico no se almacenaban en el sistema afectado.
La filtración se produjo en la agencia de cobranza, no en los sistemas de Labcorp. Labcorp declaró que dejó de enviar nuevas cuentas a AMCA y suspendió el trabajo del proveedor tras recibir la notificación. La postura de Alaska en el acuerdo es que la subcontratación no eximió a Labcorp de su responsabilidad de evaluar y supervisar al contratista que manejaba información confidencial de pacientes.
El acuerdo va más allá del pago financiero. Según los términos interestatales, Labcorp debe ampliar su programa de gestión de riesgos de proveedores, establecer informes internos sobre incidentes de seguridad de proveedores y limitar el intercambio de datos, teniendo en cuenta los requisitos de cobro de deudas. Asimismo, debe considerar a las agencias de cobro como una categoría de proveedor especializada, mantener inventarios de contratos, exigir evaluaciones y auditorías de seguridad, segmentar los datos agregados de los clientes y conservar el derecho a rescindir el contrato por incumplimiento.
Un evaluador externo analizará el programa de seguridad de la información de Labcorp, centrándose en la gestión de proveedores. La empresa pagará 2.287.455 dólares a los estados participantes. El anuncio público de Alaska no especifica la asignación individual para cada estado, y el acuerdo con el gobierno no debe interpretarse como un programa de pago directo para todos los residentes afectados.
La acción coercitiva es independiente del litigio privado. Según la documentación presentada por Labcorp, la empresa llegó a un acuerdo en una demanda colectiva en marzo de 2026, sujeto a la aprobación judicial. El fiscal general de Connecticut describió dicho acuerdo propuesto como de 35 millones de dólares y afirmó que el acuerdo estatal complementa un acuerdo multiestatal de 2021 con AMCA, que incluía un pago de 21 millones de dólares suspendido debido a la quiebra de la agencia de cobranza.
Para los habitantes de Alaska, la importancia inmediata radica en la rendición de cuentas, más que en un nuevo proceso de reclamaciones. El acuerdo establece controles específicos sobre cómo un laboratorio nacional supervisa a las empresas que gestionan deudas médicas y datos personales relacionados. Además, proporciona a los fiscales generales estatales un marco legal vinculante para evaluar si Labcorp mejora la selección de proveedores, la minimización de datos, la notificación de incidentes y el cumplimiento de los contratos tras una filtración que afectó a decenas de miles de residentes de Alaska.
