ウィスコンシン州の郵送・印刷業者であるOneTouchPoint Corp.は、260万人以上に影響を及ぼした2022年のランサムウェア攻撃とデータ侵害をめぐる集団訴訟について、和解に合意しました。訴訟のきっかけとなったこのサイバー攻撃は、2022年4月28日に同社ネットワーク上のファイルが暗号化されたことで発覚しました。フォレンジック調査の結果、ランサムウェア集団が最初にネットワークへ侵入したのは、その前日にあたる2022年4月27日だったことが判明しています。
この事件で流出し、窃取された可能性があるデータには、氏名、加入者ID番号、診断内容、投薬情報、住所、生年月日、性別、担当医の属性情報、家族歴、社会歴、アレルギー情報、バイタル、予防接種歴などが含まれていました。OneTouchPointはこのデータ侵害について、影響を受けた人数を2,651,396人として米保健福祉省(HHS)公民権局(OCR)に報告し、2022年4月に対象者への通知を行いました。
このデータ侵害を受けて複数の集団訴訟が提起され、いずれも同様の主張を展開していました。訴訟では、被告が合理的かつ適切なサイバーセキュリティ対策を実施していなかったためにデータ侵害が発生したのであり、本来防げたはずだと主張されていました。これらの個別訴訟は、ウィスコンシン州ワウケショー郡巡回裁判所に係属する単一の訴訟「Dusterhoft v. OneTouchPoint, Inc.」として併合されました。
併合訴訟では、過失、法定過失(negligence per se)、契約違反、黙示契約違反、受託者責任違反、信認義務違反、プライバシー侵害、詐欺、不実表示、不当利得、寄託契約違反、不法行為、侵害通知法または慣習法上の義務に基づく適切な通知の不履行、および州消費者保護法違反などの請求が主張されていました。被告側は、過失、不法行為、責任の有無を含め、訴訟におけるすべての主張と申し立てを否認しています。しかし、裁判および関連する上訴に伴う費用とリスクを回避するため、両当事者は訴訟の和解に合意しました。
和解条件のもと、OneTouchPointは最大150万ドルの弁護士費用および諸経費、和解管理費用、集団代表者1人あたり1,000ドルの功労金、そして金銭的補償とクレジットモニタリングの提供に合意しました。また被告は差止命令による救済にも合意しており、約200万ドル相当のセキュリティ強化策を実施し、これを少なくとも5年間維持するとしています。
和解対象集団は、金銭的救済集団と差止命令救済集団の2つのサブクラスに分かれています。金銭的救済集団は、自身の情報がデータ侵害の影響を受けたと通知を受けた個人で構成されており、これらの人々は金銭的補償を請求できます。一方、差止命令救済集団は、データ侵害について通知を受けたものの、調査によって実際の影響が及んだと確認できなかった個人で構成されており、こちらは差止命令による救済のみを受けられます。
金銭的救済集団に属するすべての対象者は、100万ドルの本人確認盗用保険が付帯する単一機関クレジットモニタリングサービスの2年間無料購読を選択できます。さらに、証拠書類のある未補填の通常損害については1人あたり最大500ドル、証拠書類のある未補填の特別損害については最大5,000ドルの補償を請求できます。加えて、時給25ドルで最大4時間分の逸失時間についても補償を請求可能です。補償請求を行わないことを選んだ金銭的救済集団のメンバーは、代わりに一時金75ドルの現金支払いを請求できます。
和解からのオプトアウトおよび異議申し立ての期限は2026年10月16日です。請求の提出期限は2026年11月16日で、最終承認審問は2026年11月18日に予定されています。詳細については、和解専用サイト(https://otpdataincident.com/)で確認できます。
翻訳元: https://www.hipaajournal.com/onetouchpoint-data-breach-settlement/
