マッケンジー・ヘルスシステムとアスパイア・ヘルス・アライアンスに対するデータ侵害訴訟、和解成立

ミシガン州のマッケンジー・ヘルスシステムとマサチューセッツ州のアスパイア・ヘルス・アライアンスを相手取ったクラスアクション形式のデータ侵害訴訟について、それぞれ和解が成立したことが明らかになりました。

マッケンジー・ヘルスシステムのデータ侵害訴訟和解

ミシガン州サニラック郡の重要アクセス病院、マッケンジー・メモリアル・ホスピタルを運営するマッケンジー・ヘルスシステムは、2025年4月のサイバー攻撃とデータ侵害を受けて提起されていたクラスアクション訴訟について和解しました。マッケンジー・ヘルスは2025年4月15日、自社のコンピューターネットワークへの不正アクセスを確認しました。フォレンジック調査の結果、何者かが2025年4月14日から2025年4月15日にかけて同社のネットワークに不正アクセスし、患者情報を含むファイルを取得した可能性があることが判明しています。

今回の事案で流出した可能性のあるデータには、氏名、住所、生年月日、社会保障番号、患者アカウント番号、医療記録番号、診断・治療情報が含まれます。このデータ侵害は米保健福祉省(HHS)の公民権局(OCR)に58,839人に影響が及んだ事案として報告されており、対象者への通知は2025年7月24日前後から開始されました。

このデータ侵害を受けて複数のクラスアクション訴訟が提起され、それらはミシガン州サニラック郡巡回裁判所において「In Re: McKenzie Memorial Hospital d/b/a McKenzie Health System 2025 Data Breach Litigation」という単一の訴訟に統合されました。この統合訴訟では、サイバー攻撃とデータ侵害は本来防げたはずであり、被告の過失によって発生したものだと主張されています。

マッケンジー・ヘルスは不正行為および法的責任を否定していますが、訴訟の継続に伴う費用や労力、業務への支障を避けるため、和解に応じることに合意しました。同社は弁護士費用および諸経費、和解管理費用、そして8名のクラス代表者への報奨金の支払いに合意しています。

和解条件のもと、すべてのクラスメンバーは2年間の信用監視および個人情報盗難保護サービスに加入できます。さらに、データ侵害に起因する未補填の実損害について、クラスメンバー1人当たり最大4,000ドルまでの補償を請求するか、あるいは一律50.00ドルの一時金を請求するかを選択できます。オプトアウト、異議申し立て、および請求の申請期限は2026年8月24日です。最終公正性審問は2026年10月6日に予定されています。

アスパイア・ヘルス・アライアンスのデータ侵害訴訟和解

マサチューセッツ州のクインシー、ブレインツリー、マーシュフィールドに施設を構える、州指定の地域行動保健センターであるアスパイア・ヘルス・アライアンス(法人名:サウス・ショア・メンタル・ヘルス・センター)は、2023年9月のサイバーセキュリティインシデントに端を発するクラスアクション訴訟について和解に合意しました。このインシデントでは17,490人が影響を受けています。

アスパイア・ヘルス・アライアンスは2023年9月13日にネットワークへの不正アクセスを検知し、何者かが氏名、生年月日、診療日、健康保険情報、病状・治療情報、メディケア/メディケイド番号、患者アカウント番号を含む患者情報のファイルにアクセスし、取得したことを確認しました。影響を受けた個人へのデータ侵害に関する通知は2024年4月26日から開始されました。

2024年5月10日、マサチューセッツ州高等裁判所ノーフォーク郡支部にクラスアクション訴訟が提起され、その後同州高等裁判所サフォーク郡支部に移送されました。この訴訟「Joan Tozzi v. South Shore Mental Health Center, Inc. d/b/a Aspire Health Alliance」では、合理的かつ適切なサイバーセキュリティ対策を実施していなかったことが原因でこのデータ侵害が発生したのであり、本来防げたはずだと主張されました。訴状では過失、黙示契約違反、受託者責任違反、不当利得の各請求が主張されています。アスパイア・ヘルス・アライアンスは不正行為および法的責任を否定しています。

すべての当事者は、さらなる訴訟費用や裁判・上訴に伴う不確実性を避けるため、和解に合意しました。和解条件のもと、アスパイア・ヘルス・アライアンスはクラスメンバーへの給付、弁護士費用および諸経費、和解管理費用、そしてクラス代表者への報奨金に充てるため、400,000ドルの和解基金を設立することに合意しています。

クラスメンバーは、医療データ監視サービス「CyEx Medical Shield」の1年間の会員資格を受ける権利があるほか、2種類の現金支払いのいずれかを請求することもできます。具体的には、未補填の実損害についてクラスメンバー1人当たり最大2,500ドルまでの補償を請求するか、有効な請求件数に応じて金額が決まる案分方式の現金支払いを請求するかを選択できます。異議申し立て、オプトアウト、および請求の申請期限は2026年9月16日です。最終公正性審問は2026年10月1日に予定されています。