オムニ・ヘルスケアと西モンタナ・クリニック、データ漏えい訴訟で和解

オムニ・ヘルスケア・ファイナンシャル・ホールディングスとその傘下企業、および西モンタナ・クリニックを相手取ったデータ漏えいに関するクラスアクション訴訟について、和解が成立しました。

オムニ・ヘルスケア・ファイナンシャル・ホールディングスのデータ漏えい訴訟和解

オムニ・ヘルスケア・ファイナンシャル・ホールディングスは、被告であるオムニ・ヘルスケア・ファイナンシャル合同会社およびインジャリー・ファイナンス合同会社（以下、オムニ・ヘルスケア）とともに、2024年1月に発生したサイバーセキュリティ事案をめぐるクラスアクション訴訟で和解しました。この事案では16,852人分の保護対象保健情報（PHI）が影響を受けています。

医療機関や患者向けに金融サービスを提供するオムニ・ヘルスケアは、2024年1月18日から1月19日にかけて、不正なネットワークアクセスを伴うサイバーセキュリティ事案に見舞われました。この事案で流出した情報には、氏名、連絡先情報、生年月日、社会保障番号、診断・治療情報、医療記録番号、治療費、担当医師名などが含まれていました。影響を受けた個人への通知は、侵害が最初に検知されてから15カ月後の2025年4月に行われました。オムニ・ヘルスケアは合計で約42,000件の通知を発送しています。

最初のクラスアクション訴訟は、原告ラタシャ・ハモンド氏によって2025年4月16日に提起され、続いて原告ドーン・ヘアストン氏による2件目の訴訟が提起されました。両訴訟はいずれもノースカロライナ州西部地区連邦地方裁判所に提起され、その後統合されて原告がさらに2名加わり、ハモンド他対オムニ・ヘルスケア・ファイナンシャル・ホールディングス他事件となりました。この訴訟はその後、ノースカロライナ州メクレンバーグ郡上位裁判所に移送され、現在も係属中です。

統合された訴訟では、このデータ漏えいは防止可能だったにもかかわらず、被告らが業界標準に沿った適切なサイバーセキュリティ対策を実施せず、HIPAAのプライバシー規則およびセキュリティ規則の基準を遵守しなかった結果として発生したと主張されていました。訴訟では、過失・過失責任の推定（negligence per se）、黙示の契約違反、不当利得の各請求が主張されています。被告側は、不正行為、過失、責任を含め、訴訟における主張および申立てのすべてを否認しています。

両当事者は、さらなる訴訟費用や裁判・控訴に伴う不確実性を回避できる和解が最善の結果であると判断しました。被告側は、弁護士費用および諸経費、和解管理費用、クラス代表者への報奨金、そしてクラスメンバーへの給付金を負担します。

クラスメンバーは3年間の医療データ監視および医療ID盗難対策サービスへの登録資格を得られるほか、以下2種類のいずれかの現金給付について請求申請ができます。

• 現金給付A — データ漏えいにより生じた、記録に基づく未補填の損失について、クラスメンバー1人あたり最大5,000ドルの補填
• 現金給付B — クラスメンバー1人あたり40ドルの一時金

最終承認審理は2026年8月13日に予定されており、請求申請の期限は2026年9月3日です。

西モンタナ・クリニックのデータ漏えい訴訟和解

モンタナ州ミズーラの医療グループ診療所である西モンタナ・クリニックは、2025年春に発生した同クリニックのメール環境における侵害に端を発するクラスアクション訴訟で和解しました。不審なメール活動は2025年4月15日に検知され、フォレンジック調査の結果、2025年3月11日から2025年4月15日の間に一部の従業員メールアカウントへの不正アクセスがあったことが確認されています。

データ精査の結果、8,255人分の保護対象保健情報が侵害されたことが判明し、影響を受けた個人は合計9,506人にのぼりました。この事案で流出したデータには、連絡先情報、社会保障番号、生年月日、担当医師名、内部識別番号、診療日、投薬情報、診断情報、治療情報が含まれていました。影響を受けた個人への通知は2025年8月8日に行われています。

西モンタナ・クリニックはこのデータ漏えいをめぐって提訴され、マーフィー対西モンタナ・クリニック事件としてモンタナ州第4司法地区裁判所に係属中です。訴訟では、このデータ漏えいは同クリニックが合理的かつ適切なサイバーセキュリティ対策を実施しなかった結果として発生したと主張されており、過失、過失責任の推定、黙示の契約違反、不当利得の各請求が主張されています。西モンタナ・クリニックは不正行為および責任を否認していますが、さらなる訴訟に伴う訴訟費用や諸経費、業務への支障や負担、事業運営の混乱を回避するため、和解に応じることに合意しました。

西モンタナ・クリニックは、弁護士費用および諸経費、和解管理費用、2名の指名原告への2,500ドルの報奨金、そしてクラスメンバーへの給付金の支払いに合意しています。クラスメンバーは、医療データ監視サービスの1年間の会員登録、1時間あたり20ドル換算で最大3時間分の逸失時間の補填、および記録に基づく未補填の自己負担損失についてクラスメンバー1人あたり最大5,000ドルまでの補填を請求できます。除外・異議申立ての期限は2026年8月17日です。請求申請は2026年9月15日までに提出する必要があり、最終公正性審理は2026年9月9日に予定されています。