Mental Health Association、データ侵害をめぐる集団訴訟で和解に合意

マサチューセッツ州チコピーに拠点を置く人間サービス機関のMental Health Associationは、2024年11月に発生したサイバー攻撃とデータ侵害をめぐる集団訴訟について、和解に合意しました。同機関は、薬物使用からの回復支援や発達障害者向けの支援サービスを提供しています。この侵害では、12,633人が影響を受けました。

サイバー犯罪者は2024年11月に同機関のネットワークに侵入し、個人情報や保護対象の医療情報を入手した可能性があります。対象となり得る情報は、氏名、住所、生年月日、社会保障番号、運転免許証番号、診断名、投薬情報、その他の医療情報、診療記録番号などです。同機関は2025年5月30日、影響を受けた人々にデータ侵害を通知しました。

最初の集団訴訟は2025年6月に提起されました。原告は、機密性の高い個人情報と医療情報が流出したことで被害を受けたと主張しています。また、被告が合理的なサイバーセキュリティ対策を講じなかった過失により、データ侵害が起きたと訴えています。被告は訴えの却下を求めましたが、裁判所は訴訟の継続を認めました。 その後、新たに2人の原告が訴状に加わりました。訴訟はCampbell et al. v. Mental Health Association, Inc. – として、マサチューセッツ州ハンプデン郡の上位裁判所で係属しています。

訴状では、過失、当然過失（negligence per se）、黙示の契約違反、信認義務違反が主張されました。被告は訴訟における主張をすべて否認しています。ただし、訴訟継続に伴う費用やリスク、負担を避けるため、当事者全員が和解に合意しました。 被告は、弁護士費用、訴訟費用、和解の管理費用に加え、集団訴訟の構成員への給付を負担します。構成員は全員、3年間の無料クレジットモニタリングサービスを請求できます。さらに、データ侵害への対応に費やした時間について、最大3時間分を1時間あたり25.000ドルで請求できます。

構成員は、データ侵害によって生じた損失のうち、証拠書類があり、未補償のものについて、1人あたり最大5,000ドルの補償を請求できます。この補償の代わりに、一時金40ドルの現金支払いを選ぶこともできます。給付総額の上限は30万ドルです。請求の合計がこの上限を超えた場合は、pro rata（按分）で支払われます。 和解への異議申し立て、オプトアウト（適用除外の申請）、請求書の提出の期限は2026年11月19日です。最終公正性審問は2026年12月15日に予定されています。