Valley Oaks Healthは、2023年6月に発生したデータセキュリティインシデントをめぐり、集団訴訟に直面していました。このインシデントでは50,352人が影響を受けました。統合された訴訟は、このほど和解に至りました。攻撃者は2023年6月8日から2023年6月13日にかけてValley Oaks Healthのネットワークにアクセスし、氏名、社会保障番号、運転免許証番号、州発行ID番号、クレジットカード／デビットカード番号、アクセスコードやパスワード、生体データ、その他の機微な情報を含むファイルを取得した可能性があります。
この情報漏えいを受けて複数の集団訴訟が提起されましたが、請求内容や対象となる集団が重複していたため、In re: Valley Oaks Data Incident Litigationという単一の訴訟に統合されました。統合訴訟は、インディアナ州ティッペカヌー郡の上位裁判所（Superior Court）に係属しています。訴訟では、過失、法令違反に基づく当然の過失（negligence per se）、黙示の契約違反、信認義務違反、不当利得の各請求が主張されました。Valley Oaks Healthはいずれも否認しており、不正行為はなかったとの立場を維持しています。
Valley Oaks Healthは訴訟の棄却を求めましたが、裁判所は棄却の申立てを退けました。丸一日にわたる調停では和解に至りませんでしたが、その後数カ月に及ぶ交渉の末、訴訟の長期化に伴う費用や遅延、リスクを避けるため、和解で合意しました。この和解案は、このほど裁判所から仮承認を受けています。
Valley Oaks Healthは、弁護士費用と諸経費、和解の通知および管理にかかる費用、7人の集団代表者に対する報奨金（合計17,500ドル）を支払うことに同意しました。弁護士費用の上限は450,000ドルです。情報漏えいに起因する、証拠書類のある未補償の通常損失については、最大500ドルの補償を請求できます。これには、失った時間への補償として、1時間あたり20ドルで最大4時間分が含まれます。証拠書類のある未補償の特別損失については、最大5,000ドルの補償を請求できます。損失や失った時間の補償を請求しない場合は、代替として40ドルの現金支払いを請求できます。集団のメンバー全員が、2年間の医療データ監視サービスに登録する権利を有します。
和解からの離脱、和解案への異議申立て、補償請求の提出の期限は、2026年11月9日です。最終的な公正性審問（final fairness hearing）は、2026年12月10日に予定されています。
翻訳元: https://www.hipaajournal.com/valley-oaks-health-data-breach-settlement/
