Calibrated Healthcare、集団訴訟のデータ侵害訴訟で和解へ

Calibrated Healthcare Systems, LLCとCalibrated Healthcare, LLCは、2024年2月に発生した患者情報の流出を伴うセキュリティインシデントに端を発する集団訴訟について、和解に合意しました。

Calibrated Healthcareは2024年2月26日にセキュリティインシデントを検知し、調査の結果、2024年2月25日から2024年2月26日にかけてネットワークへの不正アクセスがあったことが判明しました。データの窃取は確認されていないものの、同社はその可能性が高いとしています。今回のインシデントで流出した情報には、氏名、生年月日、医療診断・治療情報、健康保険情報が含まれます。

このデータ侵害は、6,890人分の保護対象保健情報(PHI)が関わる事案として米保健福祉省(HHS)の公民権局(OCR)に報告されており、影響を受けた個人には2024年8月2日前後に通知が行われました。この侵害を受けて、Adams v. Calibrated Healthcare Systems, LLC, et alとHolden v. Calibrated Healthcare, LLCという2件の集団訴訟(認定前)が提起され、カリフォルニア州中央地区連邦地方裁判所南部支部にてAdams, et al. v. Calibrated Healthcare Systems, LLC, et al.として併合されました。

併合後の訴訟では、このデータ侵害は被告側の過失によるものであり、防止できたはずだと主張されました。訴状では、過失、プライバシー侵害、契約違反、黙示契約違反、不当利得に加え、カリフォルニア州不正競争防止法(Bus. & Prof. Code)における違法・詐欺的・不公正な事業慣行の違反、およびカリフォルニア州消費者救済法違反に関する請求がなされています。

被告側は、過失、不法行為、責任の主張を含め、訴訟における全ての主張と申し立てを否定しています。当事者双方は調停に臨みましたが、調停の場では和解に至りませんでした。その後も交渉が続けられた結果、全当事者が受け入れ可能な和解案がまとまり、裁判所からも仮承認を受けています。

OCRの侵害情報公開ポータルでは今も本件を6,890人分の保護対象保健情報(PHI)が関わる事案として掲載していますが、和解対象の集団には34,562人が含まれています。和解内容では、集団の全構成員に対して2年間の医療モニタリングと本人確認盗用保険サービスを提供するとともに、自己負担費用や失われた時間の補償として、有効な請求件数に応じて21.44ドルから28.68ドルの金銭的支払いを行うとしています。

集団の構成員は、データ侵害によって生じた記録済みの損失時間について、1時間当たり25ドル(構成員1人当たり上限175ドル)として最大7時間分を請求できます。また、データ侵害に起因すると合理的に認められる記録済みの損失についても、構成員1人当たり最大5,000ドルまでの補償を請求可能です。請求の提出期限は2026年7月9日で、最終公正性審問は2026年8月13日に予定されています。