CPAP Medical Supplies and Services、データ侵害訴訟の解決で最大50万ドルの支払いに合意

フロリダ州ジャクソンビルを拠点に、睡眠時無呼吸症の治療に使う耐久医療機器を提供するCPAP Medical Supplies and Servicesは、2024年12月に発生したサイバー攻撃とデータ侵害の影響を受けた人々に対し、最大50万ドルの給付を行うことで合意しました。

このセキュリティインシデントは2024年12月下旬に発覚しました。フォレンジック調査の結果、権限のない第三者が2024年12月13日から2024年12月21日にかけて同社のネットワークにアクセスし、現・元患者と従業員の個人情報および保護対象医療情報を取得した可能性があることが判明しています。米国保健福祉省（HHS）の公民権局には、このインシデントで9万133人の電子的な保護対象医療情報が侵害されたと報告されました。影響を受けた人々への通知は、2025年8月15日ごろに行われています。

このデータ侵害を受けて、フロリダ中部連邦地方裁判所に4件の集団訴訟が提起されました。各訴訟は主張が似通っており、対象となる集団も重複していたため、最初に提起された訴状に統合されました。被告は不正行為、過失、法的責任をいずれも否定し、訴訟内のあらゆる主張に同意せず、訴えの却下を求めました。却下申立ては一部が認められ、一部が退けられたため、訴訟は継続することになりました。原告側は、被告が十分なサイバーセキュリティ対策を講じておらず、サイバー攻撃とデータ侵害を防げたはずだと主張しています。

当事者全員が交渉を重ね、2026年9月4日に和解条件で合意しました。連邦裁判所への訴えは取り下げられ、統合された訴訟（Brett Conner v. CPAP Medical Supplies and Services, Inc.）はフロリダ州ブロワード郡の巡回裁判所に再提起され、係属中です。被告は、弁護士費用と諸経費、和解管理費用、集団代表者への報奨金に加え、集団の構成員に対する最大50万ドルの給付を負担することに同意しました。

給付の内容は2年間の医療データ監視サービスです。また、データ侵害が原因で生じ、補償されていない損失を文書で証明できる場合は、最大5,000ドルの補償を請求できます。請求総額が上限を超えた場合は、按分して支払われます。現金による代替給付はありません。和解からの離脱および異議申し立ての期限は2026年10月30日です。請求は2026年11月26日までに提出する必要があります。最終的な公正性審問は2026年12月1日に予定されています。