ZOLL Medical、データ侵害訴訟の和解に350万ドルを支払い

ZOLL Medical Corporationを相手取ったクラスアクション(集団訴訟)のデータ侵害訴訟をめぐり、350万ドルの和解金について裁判所の予備承認が下されました。この訴訟は2023年1月に発生したデータ侵害に関するもので、100万人以上に影響が及んでいました。

Zoll Medicalは、マサチューセッツ州チェルムズフォードに拠点を置く医療機器・ソフトウェアの世界的企業で、蘇生、心臓モニタリング、重篤な心肺疾患向けの製品を手がけています。2023年1月28日に不正なネットワークアクセスが確認され、調査の結果、この事案で個人を特定できる情報(PII)と保護対象保健情報(PHI)が漏えいしていたことが判明しました。影響を受けたのは主に、ZOLL LifeVestウェアラブル除細動器の使用歴がある、あるいは使用を検討していた人々です。米保健福祉省(HHS)公民権局(OCR)に提出された侵害通知によると、電子保護対象保健情報(ePHI)が関わったのは997,097人で、氏名、住所、生年月日、社会保障番号が含まれていました。対象者への通知は2023年3月から開始されました。

このデータ侵害を受けて15件のクラスアクションが提起され、2023年4月24日に統合されました。統合後の訴状(Smith et al. v. ZOLL Medical Corporation)は2024年2月26日、マサチューセッツ州連邦地方裁判所に全米規模のクラスを代表する形で提出されました。原告らは、ZOLL MedicalがHIPAA上の義務を怠ったと主張しました。具体的には、ePHIのプライバシーを保護するための適切な技術的・物理的・管理的安全対策を導入しなかったこと、また、適時に侵害通知を発出せずHIPAA侵害通知規則に違反したことなどです。この訴訟ではさらに、侵害通知に被害者が自らデータの不正利用を防ぐための行動を取るのに十分な情報が含まれていなかったとも主張されました。

統合訴状では、過失、法定過失、受託者責任違反、黙示契約違反、不当利得、確認判決および差止命令による救済を求める請求がなされたほか、フロリダ州不公正取引慣行法、カンザス州消費者保護法、ニューヨーク州一般事業法、ペンシルベニア州不公正取引慣行・消費者保護法、イリノイ州消費者詐欺・不公正取引慣行法への違反も主張に含まれていました。

ZOLL Medicalは、不正行為、過失、責任の有無を含め、訴訟における主張・申し立てのすべてに異議を唱えました。同社は、原告らが救済を受けるに足る請求原因を主張できていないとして、訴状の却下を求めました。裁判官は却下申し立てを一部認める命令を下しましたが、マサチューセッツ州、ペンシルベニア州、イリノイ州、フロリダ州、テキサス州、ニューヨーク州の各州法に基づく過失請求は認められ、受託者責任違反、不当利得、法定黙示契約違反の請求も認められました。調停は不調に終わったものの、その後の交渉により、双方が合意できる和解に至りました。

和解対象クラスには、今回のデータ事案により自身の情報が影響を受けた旨の通知を受け取ったすべての生存者が含まれます(一部例外を除く)。350万ドルの和解基金からは、弁護士費用および経費、和解管理費用、税金および税関連費用、クラス代表者への報奨金が差し引かれます。残りの資金はクラスメンバーへの給付に充てられます。

クラスメンバーは、データ侵害に起因して実際に発生し、補填を受けていない自己負担の損失について、証拠書類を添えて1人あたり最大5,000ドルまでの払い戻しを請求できます。また、すべてのクラスメンバーは現金給付の請求も可能で、これは和解基金の残余分から按分(pro rata)で支払われます。社会保障番号が漏えいした個人は、有効な請求1件につき2口分を受け取ります。社会保障番号口の1口あたりの見込み額は100ドル、それ以外の口の見込み額は50ドルです。異議申し立ておよびオプトアウトの期限はすでに過ぎています。請求の提出期限は2026年9月2日、最終公正性審問は2026年9月10日に予定されています。