Albany College of Pharmacy and Health Sciences、データ侵害訴訟で和解へ

ニューヨーク州のAlbany College of Pharmacy and Health Sciencesは、2024年に発生したサイバーセキュリティインシデントを巡るクラスアクション訴訟について和解に合意しました。このインシデントでは、従業員、患者、応募者、学生の個人情報および保護対象保健情報が保存されたシステムへの不正アクセスが発生していました。

不審な活動が同大学のネットワーク内で確認されたのは2024年9月14日のことです。フォレンジック調査の結果、ハッカーは2024年8月31日から2024年9月14日までの間、同大学のネットワークにアクセスしており、氏名、社会保障番号、財務情報、出生証明書や婚姻証明書、パスポート番号、運転免許証番号、医療保険情報、医療情報、学生情報が窃取された可能性があることが判明しました。通知書は、影響を受けた26,411人に対し、2025年6月16日と2025年9月8日の2回に分けて郵送されています。

最初のクラスアクション訴訟は2025年6月に提起され、その後さらに3件の集団訴訟(putative class action)が続きました。この4件の訴訟はLevin, et al. v. Albany College of Pharmacy and Health Sciencesとして一つの訴訟に統合され、現在ニューヨーク州オールバニ郡最高裁判所(Supreme Court of Albany County)に係属しています。その後、統合された訴状にはさらにもう1人の原告が追加されました。

この訴訟では、過失、プライバシー侵害(私生活への侵入)、黙示契約違反、不当利得、およびニューヨーク州情報セキュリティ侵害通知法(Information Security Breach and Notification Act)違反が主張されていました。被告側は訴訟における主張・申し立てをすべて否認しています。調停は不調に終わりましたが、その後数週間のうちに和解の主要条件について合意が成立し、現在ではその条件が最終確定して裁判所から予備承認を得ています。

被告は、弁護士費用および実費、和解管理費用、そして5人のクラス代表者それぞれに対する2,500ドルの功労報奨金(service award)を支払うことに合意しています。クラスメンバーは、信用情報・詐欺・個人情報盗用監視サービスの2年間の会員資格を請求する権利を有します。さらに、データ侵害に起因する未払いの実損害について、クラスメンバー1人当たり最大5,000ドルまでの払い戻しを請求できるほか、失われた時間に対する補償として、時給20ドルで最大4時間分を請求することも可能です。

損失や失われた時間の払い戻しを請求しないクラスメンバーには、代わりに25ドルの現金支払いを選択する道も用意されています。異議申し立ておよびオプトアウトの期限は2026年10月16日です。請求提出の期限は2026年11月16日で、最終公正性審問(final fairness hearing)は2026年12月10日に予定されています。