Tift Regional Health System、データ侵害訴訟の和解金として120万ドルを支払いへ

米ジョージア州中南部の患者に医療サービスを提供する非営利医療システムTift Regional Health System Incが、2022年に発生したサイバー攻撃で患者データが流出した問題をめぐるクラスアクション訴訟の和解金として、120万ドルを支払うことに合意しました。

Southwell, Inc.として事業を展開するTift Regional Health(同社も被告に名を連ねています)は、2022年8月16日前後に自社のコンピュータネットワーク内で不審な活動を確認しました。フォレンジック調査の結果、2022年8月11日から2022年8月17日の間に、権限のない第三者によってネットワークへの不正アクセスが行われたことが確認されました。侵害を受けたネットワーク部分には、患者の氏名、生年月日、社会保障番号、および幅広い機密医療情報を含む文書が保存されており、Tift Regional Healthはこれらの文書が今回の攻撃でアクセスまたはコピーされた可能性があるとしています。ランサムウェアグループのHiveがこの攻撃の犯行声明を出し、1テラバイトのデータを窃取したと主張、実際にその一部をリークサイト上で公開しました。この データ侵害は、被害を受けた個人180,142人分の保護対象保健情報(PHI)が関わるものとして、米保健福祉省(HHS)公民権局(OCR)に報告されています。

今回のデータ侵害を受け、被告らに対して複数のクラスアクション訴訟が提起されました。これらの訴訟は請求内容が重複していたため、ジョージア州ティフト郡上位裁判所において「In Tift Regional Health System, Inc. Data Breach Litigation」という単一の訴訟に統合されています。統合後の訴訟では、今回のサイバー攻撃およびデータ侵害は、被告らが患者データを適切に保護・保全・暗号化せず、また不要となった患者データを速やかに廃棄しなかったことに起因すると主張されました。また、被害者への通知に要した期間の長さについても問題視されました。実際、被害を受けた個人への通知が行われたのは事件発生からほぼ1年後となる2023年8月11日でした。

訴訟では、過失、法定過失(negligence per se)、受託者責任違反、黙示契約違反、契約違反、信義誠実義務違反、不当利得、プライバシー侵害、ジョージア州統一不当取引行為法違反、および衡平法上の救済・差止命令を求める請求が主張されています。被告側はこれらの主張・申し立てを否認しており、不正行為も法的責任もなかったとの立場を崩していません。

双方は、裁判に伴う費用とリスクを回避するため、和解に合意しました。被告らは、弁護士費用・経費、和解管理費用、および4名のクラス代表者に対する報奨金を差し引いた上で、集団訴訟のメンバーに給付を行うための和解基金として120万ドル(1,200,000ドル)を設立することに合意しています。また被告らは、保有する機密データをより強固に保護するための追加対策を数多く実施済みであり、これらの対策は少なくとも2年間維持される予定で、その費用は推定450万ドルに上るとされています。

集団訴訟のメンバー全員は、2年間のクレジット/医療データ監視および本人確認盗難防止サービスに登録する権利を有するほか、2種類の現金給付のいずれかを申請することができます。1つは、文書で証明された未補填の損失について、集団訴訟メンバー1人当たり最大5,000ドルを上限とする補償を申請する方法、もう1つは代替の現金給付を申請する方法です。

現金給付は、その他すべての請求と費用が差し引かれた後、按分(プロラタ)方式で支払われ、和解基金を使い切る形で分配されます。現金給付額は集団訴訟メンバー1人当たり約75ドルになる見込みですが、状況によってはこれより多くなる場合も少なくなる場合もあります。この和解案はすでに裁判所の予備承認を得ており、最終公正性審問は2026年9月14日に予定されています。和解案からの離脱(オプトアウト)および異議申し立ての期限は2026年9月15日、請求申請の期限は2026年10月15日となっています。