パロマー・ヘルス・メディカル・グループとサミット・メディカル・グループ、データ漏洩訴訟で和解

カリフォルニア州のパロマー・ヘルス・メディカル・グループと、テネシー州のサミット・メディカル・グループを相手取ったデータ漏洩集団訴訟について、それぞれ和解が成立しました。

パロマー・ヘルス・メディカル・グループのデータ漏洩和解

南カリフォルニアの北サンディエゴ郡および南リバーサイド郡の20拠点で患者にサービスを提供する非営利医療機関、パロマー・ヘルス・メディカル・グループは、2024年春に発生したサイバーセキュリティインシデントに関連する集団訴訟を和解で解決することに合意しました。このインシデントでは、1,140,221人分の保護対象保健情報(PHI)が影響を受けました。インシデントは2024年5月5日に発覚し、フォレンジック調査により、ハッカーが2024年4月23日から2024年5月5日までの間、同社のネットワークにアクセスしていたことが確認されています。このインシデントで盗まれた可能性があるデータには、氏名、連絡先情報、生年月日、社会保障番号、運転免許証番号、州発行の身分証明書番号、病歴、健康情報、健康保険情報、その他の機微なデータが含まれます。

このデータ漏洩を受けて複数の集団訴訟が提起され、いずれも被告が合理的かつ適切なサイバーセキュリティ対策を実施していれば、このデータ漏洩は防げたはずだと主張していました。2024年9月16日、これらの訴訟は単一の訴状に統合され、Castro et al. v. Arch Health Partners, Inc. d/b/a Palomar Health Medical Groupとして、カリフォルニア州サンディエゴ郡の上位裁判所に係属しています。統合された訴訟では、過失、過失法理(negligence per se)、プライバシー侵害、ならびにカリフォルニア州消費者プライバシー法、カリフォルニア州医療情報守秘法、カリフォルニア州顧客記録法への違反が主張されていました。パロマー・ヘルス・メディカル・グループは訴訟における主張・申し立てをすべて否認していますが、訴訟継続に伴う費用とリスクを回避するため、全当事者が和解に合意しました。

和解条件のもと、パロマー・ヘルス・メディカル・グループは310万ドルの和解基金を設立することに合意しました。この基金からは弁護士費用および経費、和解管理費用、集団代表者への報奨金が控除されます。残りの和解基金は、集団構成員への給付金の支払いに充てられます。

この和解では、全ての集団構成員に対し、2年間の無料のシングルビューロー信用監視サービスが提供されます。集団構成員はまた、2種類の現金給付のいずれかを請求することができます。1つは、集団構成員1人あたり最大5,000ドルまでの、証明済みかつ未補填の損失の払い戻しを求める請求で、もう1つは、集団構成員1人あたり60ドルと見積もられる代替の按分現金給付を求める請求です。和解からのオプトアウトおよび異議申し立ての期限は2026年10月7日です。請求は2026年10月22日までに提出する必要があり、最終公正性審問は2026年11月6日に予定されています。

サミット・メディカル・グループのデータ漏洩和解

テネシー州内に90を超える拠点を持つ同州の医療グループ、サミット・メディカル・グループは、2024年11月に発生したサイバーセキュリティインシデントに関連する集団訴訟を和解しました。このインシデントでは、464,000人を超える患者および従業員の個人情報と保護対象保健情報が流出しました。流出したデータには、氏名、連絡先情報、人口統計情報、医療記録番号、担当医師名、診療日、診療施設、治療情報、および/または健康保険情報が含まれます。影響を受けた個人への通知は2025年3月に行われました。

このデータ漏洩を受けて、集団訴訟として3件の訴訟が提起されました。これらの訴訟は主張内容と対象となる集団が重複していたため、単一の訴訟に統合され、Harris, et al. v. Summit Medical Group, PLLCとして、テネシー州ノックス郡巡回裁判所に係属しています。統合された訴訟では、不十分なセキュリティ対策によりこのデータ漏洩が発生したこと、また2024年9月19日に患者データの流出が判明していたにもかかわらず、通知が2025年3月まで郵送されなかったことが主張されていました。訴訟では、過失、過失法理(negligence per se)、黙示契約違反、受託者義務違反、不当利得、プライバシー侵害が主張されており、サミット・メディカル・グループはこれらすべてを否認しています。サミット・メディカル・グループは訴訟の却下を求めていましたが、訴訟継続に伴う時間、費用、リスクを検討した結果、全当事者が和解に合意しました。和解条件は確定しており、和解案について裁判所から予備承認を受けています。

この和解では、CyExのMedical Shield Completeサービスによる2年間の医療データ監視が提供されます。さらに、集団構成員はデータ漏洩に起因する自己負担の損失について、証明書類に基づき集団構成員1人あたり最大2,500ドルまでの払い戻しを請求することができます。また、失われた時間について、1時間あたり15ドル(最大45ドル)で最大3時間分の払い戻しを請求することも可能です。現金給付の総額の上限は500,000ドルに設定されており、請求総額がこれを超えた場合は按分して支払われます。

サミット・メディカル・グループは、弁護士費用および経費、和解管理費用、集団代表者への報奨金の支払いにも合意しています。和解への異議申し立ておよび除外の期限は2026年10月10日です。請求は2026年11月4日までに提出する必要があり、最終公正性審問は2026年11月19日に予定されています。