Pe 24 septembrie 2026, o coaliție de 44 de procurori generali din Statele Unite a anunțat închiderea investigației privind o breșă de date printr-un acord cu Laboratory Corporation of America. Suma: 2.287.455 de dolari către statele participante. Anul breșei: 2019. Locul breșei: nu la Labcorp, ci la firma care se ocupa de recuperarea creanțelor sale.
Ce s-a întâmplat, pe scurt
- Breșa din 2019 a avut loc la Retrieval-Masters Creditors Bureau, care își desfășura activitatea sub numele American Medical Collection Agency — furnizorul de recuperare creanțe folosit de Labcorp.
- Potrivit comunicatelor procurorilor generali, incidentul a expus potențial informațiile personale a peste 27,5 milioane de persoane din Statele Unite, dintre care 10,2 milioane erau pacienți Labcorp.
- Acordul multistatal a fost anunțat în septembrie 2026, la șapte ani după breșă.
- Separat, și relatat ca distinct de acordul cu procurorii, Labcorp a acceptat un acord de 35 de milioane de dolari într-un proces colectiv, care continuă cu alte companii care foloseau același furnizor.
Șapte ani. Merită reținut ca element de calibrare, nu ca reproș: consecința contractării unui furnizor care nu își protejează datele nu se încheie când se închide tichetul de incident, și nici în anul următor.
Partea utilă: ce anume au fost obligați să schimbe
Amenda este anecdotică pentru un cititor din România. Lista de remedieri, nu — pentru că este, practic, o listă de control pentru supravegherea furnizorilor, scrisă de autorități care au analizat ce a lipsit. Potrivit termenilor acordului, Labcorp trebuie să:
- revizuiască protocoalele de supraveghere a furnizorilor, în special pentru agențiile de recuperare creanțe;
- reducă datele despre pacienți trimise către colectori la strictul necesar legal — adică minimizare aplicată la transferul către terți, nu doar în interior;
- constituie o echipă dedicată de management al riscului de furnizor, cu instrumente de audit continuu al conformității;
- impună contractual audituri de securitate cibernetică realizate de terți;
- aplice segmentarea datelor;
- includă în contracte clauze de încetare imediată în caz de eșec de securitate;
- îmbunătățească procedurile interne de răspuns la incidente, astfel încât să urmărească și incidentele apărute la furnizori.
Ce nu susțin sursele
- Acordul este încheiat în temeiul legislației americane de la nivel statal. Nu se aplică în România și nu este echivalent cu GDPR sau NIS2. Este citat pentru constatări și remedieri, nu ca obligație locală.
- Nu se afirmă public că vreo persoană a suferit un prejudiciu demonstrat.
- Cifra de 27,5 milioane este formulată ca expunere potențială, nu ca număr de victime confirmate.
- Nicio sursă nu leagă incidentul de organizații din România sau din Uniunea Europeană.
Întrebările de pus despre propriii furnizori
Nu despre toți. Începe cu cei care primesc date personale și cărora nu le-ai fi dat acces dacă ar fi cerut-o astăzi: firma de recuperare creanțe, procesatorul de salarii, cabinetul de medicina muncii, furnizorul de arhivare, agenția de recrutare.
- Ce câmpuri primește efectiv fiecare, comparat cu ce i-ar fi strict necesar? Diferența este expunerea pe care ai adăugat-o voluntar.
- Cine, la voi, este responsabil nominal de relația de securitate cu acel furnizor — o persoană, nu un departament?
- Contractul prevede notificarea incidentelor, cu termen? A fost testat vreodată, măcar printr-un email de probă?
- Aveți dreptul contractual la un audit sau la raportul unui audit făcut de un terț? L-ați cerut?
- Dacă furnizorul ar suferi o breșă mâine, cine v-ar anunța și în cât timp ați putea spune câte dintre persoanele voastre sunt afectate?
- Registrul vostru de incidente include incidentele petrecute la furnizori, sau doar pe ale voastre?
Ultima întrebare este cea care separă o organizație pregătită de una care va afla din presă. Dacă sistemul intern de evidență nu are o rubrică pentru „incident la un terț", atunci nimeni nu urmărește acea categorie de risc.
Exercițiul: 45 de minute, un singur furnizor
Cu juridic, achiziții, responsabilul cu protecția datelor, IT și cine deține relația comercială. Alegeți un furnizor real, nu unul ipotetic.
- Injectul 1 — furnizorul anunță că a avut un incident și că investighează. Nu știe încă dacă datele voastre sunt implicate. Ce faceți în primele 24 de ore și ce îi cereți în scris?
- Injectul 2 — confirmă că un set de date a fost expus, dar nu poate spune care persoane. Cum reconstituiți voi ce i-ați trimis și când? Există o evidență?
- Injectul 3 — trebuie să decideți dacă notificați persoanele vizate și autoritatea. Pe ce bază calculați termenul, dacă informația a venit cu întârziere de la furnizor?
- Injectul 4 — conducerea întreabă dacă puteți încheia contractul. Cine răspunde ce se întâmplă operațional dacă îl încheiați mâine?
Ce măsori
- Numărul de furnizori care primesc date personale și au un responsabil nominal desemnat la voi.
- Procentul de contracte cu clauză de notificare a incidentelor, cu termen explicit.
- Câte dintre acele clauze au fost testate practic în ultimele douăsprezece luni.
- Timpul necesar pentru a răspunde la întrebarea „ce date i-am trimis furnizorului X și când" — măsurat, nu estimat.
- Numărul de furnizori pentru care ați redus efectiv setul de date trimise în ultimul an.
- Dacă registrul de incidente are o categorie separată pentru incidentele la terți și câte intrări are.
Concluzia nu este că trebuie să nu ai furnizori. Este că datele trimise în afara organizației rămân responsabilitatea ta, iar singurul moment în care poți reduce expunerea este înainte de a le trimite. După aceea, tot ce îți rămâne este o clauză și speranța că cineva o va folosi.