ヘルスケアサービスグループのデータ侵害訴訟、300万ドルの和解で決着

Healthcare Services Groupは、2024年9月に発生したサイバーセキュリティインシデントを巡る訴訟を解決するため、300万ドルを支払うことで和解に合意しました。このインシデントでは、624,496人分の個人情報および保護対象保健情報を含むシステムへの不正アクセスが発生していました。

Healthcare Services Groupは、ペンシルベニア州ベンサレムに拠点を置く、環境衛生・食事提供・栄養サポートサービスの事業者で、米国48州の3,000以上の医療施設と取引があります。2024年10月7日前後に不審なネットワーク活動が確認され、フォレンジック調査の結果、何者かによる不正アクセスが最初に発生したのは2024年9月27日であることが判明しました。

それ以上の不正アクセスを防ぐため速やかな対応が取られましたが、その時点で既に保護対象保健情報を含むファイルが同社のネットワークから外部に持ち出されていました。これらのファイルには、氏名、社会保障番号、運転免許証番号、州発行の身分証明書番号、金融口座情報、完全なアクセス認証情報、医療・健康保険情報などが含まれていました。

影響を受けた個人への通知書の発送は2025年8月25日に始まり、2025年8月27日には最初のクラスアクション訴訟が提起されました。その後も同様の主張をする訴訟が相次いで提起され、これらの訴えは米国ペンシルベニア東部地区連邦地方裁判所において単一の訴状――Williamson, et al. v. Healthcare Services Group, Inc.――に統合されました。

統合された訴訟では、過失、黙示の契約違反、原告および集団訴訟の構成員が受益者として意図されていた契約の違反、信認義務違反、不当利得、ニュージャージー州消費者詐欺法およびワシントン州消費者保護法違反、ならびに確認的・差止的救済が主張されていました。

Healthcare Services Groupは不正行為の存在を否定しており、訴訟における主張・申し立てのすべてに異議を唱えています。もっとも、訴訟をこのまま続ければ多大な費用と長期化が避けられないとの判断から、両当事者は和解に合意しました。和解によって、両当事者は裁判に伴う不確実性とリスクを回避できます。

Healthcare Services Groupは300万ドルの和解基金を設立することに合意しており、そこから弁護士費用および諸経費、和解管理費用、集団訴訟構成員への報奨金が差し引かれます。残った資金は集団訴訟構成員への給付に充てられます。構成員は、単一信用情報機関によるクレジットモニタリングサービスを3年間受ける権利があり、これには本人確認盗難保険および本人確認盗難からの回復支援サービスも含まれます。

データ侵害に起因する、証拠書類のある未補填の損失については、構成員1人当たり最大5,000ドルを上限に補償を請求できるほか、一時金としての按分(プロラタ)現金給付も請求可能です。現金給付は和解基金を使い切る形で支払われるため、その金額は有効な請求件数によって変動します。除外の申し出および異議申し立ての受付期限は2026年9月4日です。請求の提出期限は2026年10月1日で、最終公正性審問は2026年9月24日に予定されています。