2026 年 9 月 24 日，纽约州总检察长 Letitia James 公布：44 个总检察长（含哥伦比亚特区）就 2018—2019 年美国医疗账款催收机构 AMCA（American Medical Collection Agency）的数据泄露事件，与其客户、实验室服务商 Labcorp 达成多州和解。Labcorp 向各州支付 2,287,455 美元，并承诺整改信息安全与供应商风险管理。金额不算大，但信号清楚：数据安全义务不能外包，供应商出事，监管照样找委托方。
一、事件背景：一次发生在“催收供应商”的泄露
据纽约州总检察长办公室通报，2018 年 8 月 1 日至 2019 年 3 月 30 日，黑客侵入 Labcorp 的催收供应商 AMCA 的系统并收集了消费者个人信息。全美受影响人数约 2,750 万人，其中包括约 1,020 万名 Labcorp 患者；纽约州居民约 42 万人。泄露的数据包括社会安全号码、支付卡信息、检测项目名称和诊断代码等。
AMCA 本身后来破产。据报道，2021 年法院在多州诉 AMCA 的案件中判令其支付 2,100 万美元，但该笔款项因其破产而被暂缓执行。另据第三方报道，涉及 Labcorp 的一项 3,500 万美元集体诉讼和解已于 2026 年 8 月获得最终批准（Labcorp 否认责任）。也就是说，供应商破产之后，追责的重心自然落到了数据的委托方。
二、和解的核心内容：赔款只是一小部分，整改才是重点
需要说明的是，公开的新闻稿并未逐条列明各州援引的具体法条。从监管逻辑看，此类案件通常落在 HIPAA 对涵盖实体与业务伙伴的安全保障及业务伙伴协议要求（如 45 C.F.R. § 164.308(b)、§ 164.502(e)），以及各州数据泄露通知与数据安全法（如纽约州 GBL § 899-aa、§ 899-bb）的框架之内，此处仅为一般性背景，并非各州起诉理由的原文。以下按新闻稿公布的整改条款梳理：
（一）信息安全与事件响应。Labcorp 须完善信息安全计划，建立包含供应商安全事件内部上报机制的事件响应计划。
（二）数据最小化。在满足催收商法定义务的前提下，限制向供应商共享的数据量。
（三）供应商风险管理。设立专门的供应商风险团队，使用评估工具，并验证供应商合规情况；针对催收商，要求通过合同强制执行网络安全标准、对多客户汇总数据进行隔离、开展评估与审计，并保留对不合规者的终止权。
（四）第三方评估。聘请独立评估机构，开展以供应商风险管理为重点的信息安全评估。
各州的核心主张是：Labcorp 本应对 AMCA 做更多监督。这一逻辑概括了整个案件的执法理念：委托方不能以“泄露发生在供应商处”为由免责。
三、法律分析：为什么“委托方”要对“供应商”负责
第一，数据的控制权在委托方。患者与消费者把信息交给 Labcorp，而不是 AMCA。监管机构看的是谁决定了数据的收集、使用与共享，而不是谁的服务器被攻破。
第二，“共享多少”本身就是风险决策。整改条款要求限制共享数据量，说明监管关注的已不只是供应商如何保管，而是委托方一开始该不该给、给多少。
第三，合同必须“可执行”。整改条款要求通过合同强制执行网络安全标准、保留审计与终止权。仅有一份签字的数据处理协议（DPA）而无后续验证，难以满足这一标准。
第四，时间不是抗辩。事件发生在 2018—2019 年，和解在 2026 年。数据泄露的执法周期很长，早期的供应商管理缺口，可能在数年之后才转化为执法风险。
四、对中资企业的合规要点
中资企业在美业务中，大量依赖第三方：云服务商、支付与物流服务商、营销与广告平台、客服外包、催收与财务服务商等。本案对其有以下直接启示：
1. 建立供应商清单与数据地图。逐一列明哪些供应商接触哪些类别的美国个人信息，特别是社会安全号码、支付卡、健康与金融数据。
2. 落实数据最小化。评估每一家供应商是否真的需要全部字段，能脱敏、掩码或分段提供的，不要整库提供；对同时服务多个客户的供应商，要求数据隔离。
3. 让合同“长出牙齿”。在服务协议与 DPA 中写明具体安全标准、事件通知时限、审计与评估权、数据返还与删除，以及对不合规供应商的终止权。
4. 打通事件上报链条。在事件响应计划中纳入“供应商安全事件”场景，明确供应商多长时间内必须通知、内部由谁判断是否触发各州通知义务。
5. 做持续验证而非一次性尽调。对高风险供应商定期开展问卷、证据抽查或第三方评估，并保留记录，以便在监管问询时说明已尽合理注意。
五、格知律所如何协助
供应商风险管理是美国数据合规中最容易被低估的环节。格知律师事务所（Getech Law）可协助中资企业：（1）梳理美国个人信息的供应商与数据流向，形成可供监管问询时出示的数据地图；（2）审阅并起草供应商数据处理协议（DPA）、业务伙伴协议及安全附件，补强审计权、通知时限与终止条款；（3）设计供应商事件上报与各州数据泄露通知的响应流程，并在事件发生时提供应急法律支持；（4）在监管机构问询或多州调查中提供应对与沟通协助。这些工作的目标，是让企业在“供应商出事”时，拿得出一份有记录、可验证的合理注意证据。
六、结语与展望
从 2021 年针对 AMCA 本身的判决（因破产暂缓执行 2,100 万美元），到 2026 年针对委托方 Labcorp 的 228.7 万美元和解，执法的链条正沿着数据流向向上移动：谁把数据交出去，谁就要证明自己管住了数据。对中资企业而言，现在最值得做的，不是等待供应商出事，而是在它出事之前，把清单、合同与上报机制准备好。
本文依据 2026 年 9 月 24 日纽约州总检察长办公室公开新闻稿及公开媒体报道整理，仅供一般信息参考，不构成法律意见。