2025年、腎臓透析大手のDaVitaはランサムウェア攻撃を受け、機密性の高い患者データが窃取される被害に遭いました。被害を受けた個人の一部はこのデータ侵害を受けて法的措置に踏み切り、なりすまし被害や詐欺のリスクにさらされたと主張しました。長期にわたる交渉の末、この訴訟を終結させるため1500万ドルの和解案が提示されています。
DaVitaは米国内および他の14カ国で3,000カ所を超える腎臓透析センターを運営しています。2025年4月12日、Interlockランサムウェアグループが同社のネットワークに侵入し、データを窃取したうえでファイルを暗号化し、業務に一時的な混乱をもたらしました。フォレンジック調査の結果、2,689,826人分の電子化された保護対象保健情報（ePHI）がこのインシデントで漏洩したことが判明しています。漏洩した情報には氏名、連絡先情報、社会保障番号、健康保険情報、臨床情報、税務情報が含まれていました。Interlockは20テラバイトを超えるデータを窃取したと主張しており、身代金の支払いが行われなかったことを受け、そのうち約1.5テラバイト分を自らのリークサイトで公開しています。
このデータ侵害を受け、被告が合理的かつ適切なサイバーセキュリティ対策の実施を怠った結果としてインシデントが発生したと主張する複数の集団訴訟が提起されました。これらの訴訟は主張内容が重複していたことから、米国コロラド州地区連邦地方裁判所においてJulian Jenkins, et al v. DaVita Inc.として併合されています。
この訴訟では、過失、黙示の契約違反、不当利得、受託者義務違反、プライバシー侵害、および州の消費者保護法違反に基づく請求が主張されました。訴訟では、原告らが個人情報や健康情報を窃取され、さらにそれらがダークウェブ上で公開されたことにより、現に差し迫った継続的な詐欺被害・なりすまし被害のリスクにさらされていると主張しています。被告であるDaVitaは、過失、責任、法的責任の有無を含め、訴訟における主張・申し立てを否認しています。
すべての当事者は交渉の末、この訴訟を解決するための和解に至りました。なお、この和解にあたってDaVita側の責任や不正行為を認めるものではありません。提示された1500万ドルの和解金には、弁護士費用および諸経費、和解管理費用、5名のクラス代表者に対する報奨金、そしてクラスメンバーへの補償に充てられる1000万ドルの非返還型和解基金が含まれています。
クラスメンバーは、データ侵害に起因する自己負担の実損害について、証憑のある未補填分の払い戻しとして最大2,500ドルまで請求できます。実損害の払い戻しを請求したメンバーを含め、すべてのクラスメンバーは按分（プロラタ）方式による現金支払いを請求することができます。支払額は有効な請求件数によって変動します。このクラスは約230万人で構成されており、仮に全員が請求を行った場合、クラスメンバー1人当たり約4.17ドルとなりますが、想定される請求率に基づくと、実際の現金支払額はクラスメンバー1人当たり約50ドルになると見込まれています。
翻訳元: https://www.hipaajournal.com/davita-data-breach-settlement/
