ローズランド・コミュニティ病院協会、データ侵害訴訟を65万ドルで和解

米イリノイ州のローズランド・コミュニティ病院協会（Roseland Community Hospital Association）が、データ侵害をめぐる集団訴訟を65万ドルで和解することに合意しました。この訴訟は、患者と従業員の機密情報が流出した2024年のサイバーセキュリティインシデントを受けて起こされたものです。攻撃は2024年6月2日に検知され、調査の結果、流出したデータには氏名、生年月日、住所、診療記録番号、患者アカウント番号、医療保険情報、診断名、治療情報が含まれていたことが判明しています。

このデータ侵害は、HIPAA侵害通知規則（HIPAA Breach Notification Rule）に基づき、「少なくとも500人が影響を受けた」との推計で米保健福祉省（HHS）の公民権局（OCR）に報告されました。しかし、実際の被害ははるかに広範囲に及んだにもかかわらず、この人数は最初の報告以降、更新されていません。裁判所の文書によると、このインシデントでは101,354人の個人情報および保護対象保健情報が侵害された可能性があります。影響を受けた個人への通知は、2024年8月1日に始まりました。

2024年11月25日、原告のスティーブン・ホール（Steven Hall）氏が、自身と未成年の子ども3人を代表して、イリノイ州クック郡巡回裁判所に集団訴訟を提起しました。この訴訟は、請求内容や対象集団が重複していた他の2件の訴状と併合されています。原告側は、被告がHIPAAで求められる適切なサイバーセキュリティ対策を講じておらず、データの暗号化やログ記録、監視、アラートツールなどが不十分だったとして、被告に過失があったと主張しました。訴訟では、過失、当然過失（negligence per se）、黙示的契約違反、不当利得、寄託契約違反、プライバシー侵害・私的情報の開示、イリノイ州消費者詐欺・欺瞞的商慣行法違反が請求されています。

被告は不正行為はなかったとの立場を維持し、訴え却下の申立てを行いました。この申立ては一部が認められ、一部が退けられています。併合された訴訟「Hall, et al. v. Roseland Community Hospital Association」は、イリノイ州クック郡巡回裁判所で係属中です。双方は和解協議を重ね、長期化する訴訟にともなう費用やリスクを避けるため、和解で合意しました。和解案は最近、裁判所から予備的承認を受けています。

和解条件に基づき、ローズランド・コミュニティ病院協会は訴訟を解決するために65万ドルを支払います。この金額には、弁護士費用と諸経費、和解の管理費用と通知費用、集団代表者への報奨金、集団構成員への給付が含まれます。集団構成員は、1年間の医療データ監視サービス、データ侵害による損失のうち証拠書類のあるものの補償（1人あたり上限5,000ドル）、そして按分（pro rata）方式の現金給付（1人あたり約50ドルと見込まれています）を請求できます。現金給付は、受け付けた請求件数に応じて按分調整されます。

異議申立ておよび和解からの離脱の期限は2026年12月1日です。請求の提出期限は2026年12月31日で、最終公正性審問は2027年1月6日に予定されています。