DAP Health、データ侵害訴訟で130万ドルの和解に合意

南カリフォルニアを拠点とする非営利地域医療ネットワークのDAP Healthは、コンピュータシステムへのサイバー攻撃で患者の機密データが流出した問題を受けて提起されていたクラスアクション訴訟について、和解に合意しました。

2024年7月22日前後、同社は複数のコンピュータシステム内で不審な動きを検知しました。その後の調査により、権限のない第三者がメールサーバーに侵入し、個人を特定できる情報や保護対象保健情報を含むメールおよびファイルを窃取していたことが確認されています。今回の侵害で盗まれたデータには、氏名、連絡先情報、生年月日、社会保障番号、運転免許証番号、パスポート番号、出生証明書番号、自動車のナンバープレートおよび車両識別番号（VIN）、金融口座番号、メディケア/メディケイド番号、健康保険情報、さらに各種の医療情報が含まれていました。

影響を受けた個人への通知書の送付は2024年12月に開始され、この侵害は保護対象保健情報129,048件が関わる事案として米保健福祉省(HHS)公民権局に報告されました。データ侵害を受けた最初のクラスアクション訴訟は2025年1月に提起され、2件目の訴訟も2025年2月上旬に提起されています。原告らは協力して対応することで合意し、修正された訴状「Donald Crosslin and Matthew Paone v. DAP Health, Inc.」が2025年6月、カリフォルニア州リバーサイド郡上位裁判所に提出されました。

この訴訟では、今回のデータ侵害は防止可能であったにもかかわらず、合理的かつ適切なサイバーセキュリティ対策の実施を怠った結果として発生したと主張されていました。訴状では、過失、黙示契約違反、不当利得、そしてカリフォルニア州医療情報機密保持法、カリフォルニア州不公正競争法、カリフォルニア州消費者プライバシー法(CCPA)への違反が主張として盛り込まれていました。DAP Healthは、不正行為、過失、責任に関する主張を含め、重要な申し立てをすべて否認しています。

当事者間で対等な立場での交渉が重ねられた結果、被告側による不正行為や責任の認定を伴わない形で、両者は訴訟を和解させることで合意しました。和解条件のもと、DAP Healthは弁護士費用および諸経費、和解管理費用、そして2名のクラス代表者への報奨金を賄うため、130万ドルの和解基金を設立することに合意しています。基金の残額はクラスメンバーへの給付に充てられます。

クラスメンバーは、データ侵害に起因する立証済みの損失について、1人当たり最大5,000ドルを上限に払い戻しを請求できます。払い戻し請求を行うかどうかにかかわらず、クラスメンバーは按分による現金支払いを請求することも可能です。この現金支払いは1人当たり25ドル程度になると見込まれています。2024年7月22日時点でカリフォルニア州の居住者であったクラスメンバーは、さらに75ドルの法定現金支払いを請求できます。加えて、すべてのクラスメンバーは、2年間の無償クレジットモニタリングおよびID盗難防止サービスを請求することができます。

除外・異議申し立ての期限は2026年9月1日です。請求の提出期限は2026年10月21日となっています。この和解は裁判所から仮承認を受けており、最終公正性審問は2026年10月1日に予定されています。