Laboratory Services Cooperative、データ侵害訴訟で610万ドルの和解に合意

ワシントン州シアトルに本拠を置く非営利の臨床検査機関Laboratory Services Cooperativeは、米国31州のPlanned Parenthood加盟団体向けに診断・分析検査サービスを提供しています。同機関は、2024年に発生したデータ侵害をめぐる集団訴訟について、和解することで合意しました。この侵害では、現在および過去の患者や従業員など約160万人が影響を受けました。

データ侵害の概要

Laboratory Services Cooperativeは2024年10月27日、ネットワーク上で不正なアクティビティを確認しました。フォレンジック調査の結果、ハッカーが同社のネットワークに侵入し、データを持ち出していたことが判明しました。侵害された情報には、氏名、生年月日、連絡先、医療情報、請求情報（クレーム情報）、支払い情報、健康保険情報、社会保障番号（SSN）のほか、政府や州が発行するその他の識別情報が含まれます。通知書には、ハッカーがどれほどの期間ネットワークにアクセスしていたかは記載されていませんでした。影響を受けた人々への通知は、2025年4月10日ごろに始まりました。米保健福祉省（HHS）の公民権局（OCR）には2024年11月20日に報告されています。OCRの侵害報告ポータルでは、現在もこのインシデントの影響人数が501人と記載されたままです。

訴訟の経緯

このデータ侵害を受けて複数の集団訴訟が提起されましたが、主張内容が似通っており、対象となる集団も重複していたため、1件に併合されました。併合後の訴訟In re Laboratory Services Cooperative Data Breach Litigationは、ワシントン州西部地区連邦地方裁判所で係属中です。

原告は、被告のデータセキュリティ体制がまったく不十分で、業界標準のサイバーセキュリティ対策も講じていなかったために侵害が起きたと主張しています。さらに、侵害の通知が遅れたうえ、通知書には侵害に関する重要な情報が盛り込まれていなかったとしています。訴訟では、過失、契約違反、不当利得、プライバシー侵害に加え、確認判決および差止命令による救済を求めています。

被告は、不正行為、過失、法的責任があったとする主張を含め、訴訟における原告の請求や主張に同意していません。ただし、裁判とその後の控訴に伴う費用、遅延、負担、リスクを避けるため、和解に応じることで当事者間が合意しました。

和解の内容

Laboratory Services Cooperativeは、訴訟を解決するために610万ドルの和解基金を設立することに合意しました。この基金から諸費用を差し引いた残額が、集団構成員への給付に充てられます。諸費用には、弁護士報酬（和解基金の3分の1が上限）と諸経費、通知および和解の運営費用、集団代表者への報奨金（1人あたり最大2,500ドル）が含まれます。

集団構成員は、データ侵害に起因する損失のうち、証拠書類があり補填されていないものの償還請求、按分による現金支払い、2年間のクレジット情報・医療情報モニタリングサービスを請求できます。償還請求の上限は集団構成員1人あたり5,000ドルです。按分による現金支払いは1人あたり最大1,000ドルですが、受け付けた請求件数によっては減額される可能性があります。現金支払いの額は、償還請求の件数と、クレジットモニタリングサービスに申し込む人数にも左右されます。

Laboratory Services Cooperativeは、同様のインシデントの再発リスクを減らすため、業務慣行を見直し、セキュリティを強化したとしています。異議申し立てと除外申請の期限は2026年10月26日、請求の提出期限は2026年11月24日です。最終的な公正性審問は2027年1月4日に予定されています。