American Vision Partnersの屋号で事業を展開するMedical Management Resource Group LLC(MMRC)は、2024年に発生したデータ侵害を巡るクラスアクション訴訟について和解に合意しました。
MMRCは2023年11月14日、自社のコンピュータシステム内で不審な activity を検知しました。フォレンジック調査により、2023年12月6日前後に、権限のない第三者によって一部システムがアクセスされ、ネットワークからファイルが窃取されたことが確認され、その一部には患者情報が含まれていました。今回の事案で流出したデータには、氏名、連絡先情報、生年月日、医療情報、診療記録、服薬情報が含まれます。また、一部の対象者については社会保障番号も流出しました。
このデータ侵害は2026年2月6日、米保健福祉省(HHS)公民権局(OCR)に対し235万人以上に影響が及んだとして報告されましたが、その後OCRの侵害情報公開ポータルではやや少ない2,264,157人という数字に更新されています。クラスアクション訴訟では、約160万人の米国人が今回のデータ侵害の影響を受けたとされています。
今回のデータ侵害を受け、複数のクラスアクション訴訟が提起されましたが、これらは請求内容が重複していたことから、単一の訴状――Hulewat et al. v. Medical Management Resource Group LLC d/b/a American Vision Partners, et al――に統合されました。統合後の訴訟は米国アリゾナ州地区連邦地方裁判所に提起され、現在も係属中です。
この訴訟では、Barnet Dulaney Perkins Eye Center, PC、Marc Ellman, M.D., P.A.(Southwest Eye Instituteの屋号で事業展開)、Southwestern Eye Center, Ltd.、Eye Associates of Nevada(Wellish Vision Instituteの屋号で事業展開)も共同被告として名指しされました。被告側は訴え却下の申し立てを行い、その結果Eye Associates of Nevada(Wellish Vision Institute)およびMarc Ellman, M.D. P.A.(Southwest Eye Institute)については訴訟対象から除外されています。
訴状では、被告らが合理的かつ業界標準のデータセキュリティ対策を講じていなかったことが今回のサイバー攻撃およびデータ侵害の原因であると主張し、過失、法定過失(negligence per se)、第三者受益者契約違反、不当利得、およびアリゾナ州消費者詐欺法違反に基づく請求が提起されています。
両当事者は非公式のディスカバリー手続きを進め、裁判および関連する上訴にかかる費用とリスクを回避するため、和解という選択肢について協議を行いました。その結果、双方が受け入れ可能な和解案がまとまり、この和解合意は裁判所から予備承認を受けています。和解の条件に基づき、弁護士費用、和解管理費用、および17名のクラス代表者への報奨金に充てるため、175万ドルの和解基金が設立されます。和解基金の残額は、クラスメンバーへの給付金の支払いに充てられます。
和解対象クラスのメンバーは2つのサブクラスに分かれます。1つは、社会保障番号を含む個人情報が今回の事案で流出した約258,070人からなる「損害賠償サブクラス」、もう1つは、被告が個人情報を収集・保有しているすべての個人が対象となる「差止救済サブクラス」です。
損害賠償サブクラスに属する個人は、データ侵害に起因する立証済みかつ未補填の損失について、クラスメンバー1人当たり最大3,000ドルまでの補償を請求できます。あるいは、このサブクラスのメンバーは按分(pro rata)による現金給付を請求することも可能で、その金額は有効な請求件数によって変動します。差止救済サブクラスのメンバーは請求を提出することはできませんが、その代わりに、事業慣行の改善やサイバーセキュリティ対策の強化に関する取り組みの恩恵を受けます。これらの対策には、セキュリティ管理を統括する最高情報セキュリティ責任者(CISO)の任命をはじめとする各種サイバーセキュリティ対策が含まれ、その価値は2,787,630ドルと評価されています。
異議申し立ておよびオプトアウトの期限は2026年10月13日です。請求は2026年11月12日までに提出する必要があり、最終公正性審問(final fairness hearing)は2026年12月10日に予定されています。
2024年3月12日:American Vision Partnersに対しデータ侵害を巡るクラスアクション訴訟が提起
American Vision Partnersの屋号で事業を展開するMedical Management Resource Group LLC(MMRC)に対し、2月初旬に公表された大規模データ侵害を巡ってクラスアクション訴訟が相次いで提起されています。MMRCは2023年11月14日に自社システムへの侵害を発見し、調査の結果、侵害を受けたネットワーク部分に2,350,236人分の保護対象保健情報(PHI)が保存されていたことが確認されました。今回のデータ侵害の影響を受けた個人については、氏名、連絡先情報、生年月日、医療情報、診療記録、社会保障番号、健康保険情報が流出しました。対象となった個人に対しては先月、通知書が送付され、無償の信用監視サービスが提供されています。
2月23日から2月28日の間、今回の侵害で保護対象保健情報が流出した患者らにより、米国アリゾナ州地区連邦地方裁判所に3件のクラスアクション訴訟が提起されました。これらの訴訟では過失が主張されており、MMRC(American Vision Partners)は、自社ネットワークに保存された機微データを保護するための合理的かつ適切なサイバーセキュリティ対策を講じておらず、医療業界がサイバー攻撃の高いリスクにさらされていることを認識していたにもかかわらず、業界のベストプラクティスに従っていなかったと主張されています。
Yaeger v. Medical Management Resource Group LLC d/b/a American Vision Partners、Daley v. Medical Management Resource Group LLC d/b/a American Vision Partners、およびMoudgal v. Medical Management Resource Group LLC d/b/a American Vision Partnersの3件の訴訟はいずれも同様の主張を行っており、クラス認定、陪審裁判、損害賠償を求めています。原告らは、今回のデータ侵害により被害を被り、実費負担が生じたと主張するとともに、データ侵害の直接的な結果として、なりすまし被害や詐欺被害の差し迫った継続的な脅威にさらされていると訴えています。
David Yaeger氏とクラスの代理人はPerez Law Group PLLCのCristina Perez Hesano氏、およびKopelowitz Ostrow Ferguson Weiselberg GilbertのKenneth J. Grunfeld氏が務めています。Steven Daley氏とクラスの代理人はPerez Hesano氏、Bryan L. Bleichner氏、およびChestnut CambronneのPhilip J. Krzeski氏が務めています。Pal氏およびLakshminarasimha Moudgal氏とクラスの代理人はPerez Hesano氏、Markovits, Stock and DeMarco LLCのTerence R. Coates氏およびJonathan T. Deters氏が務めています。
