Conduent情報漏えい訴訟の解決に向け、8000万ドルの和解案が提示

Conduent Business Services, LLCに対する集団訴訟を解決するため、8000万ドルの和解案が提示されました。この訴訟は、同社の2024年のサイバーセキュリティインシデントと情報漏えいをめぐって統合されたものです。フロントオフィスおよびバックオフィス向けソリューションを手がける大手のConduentは、サイバーセキュリティインシデントが発生したことを4月に米証券取引委員会（SEC）へ届け出ていました。許可されていない第三者が2024年10月21日に同社のネットワークへ最初に侵入し、2025年1月13日までアクセスを維持していました。ランサムウェアグループのSafePayは、この攻撃で8.5テラバイトのデータを窃取したと主張しています。

Conduentのフォレンジック調査により、このインシデントで約6,220万人の個人情報および保護対象保健情報が盗まれたことが判明しました。流出したのは、氏名、住所、生年月日、医療情報、健康保険情報、社会保障番号（SSN）などです。これは2025年に報告された医療データ漏えいとして最大の規模で、史上3番目に大きい医療データ漏えいにあたります。

Conduent Business Services LLC、Conduent State & Local Solutions, Inc.、Conduent Incorporatedの3社は、この情報漏えいを受けて複数の集団訴訟を起こされました。各訴訟は請求内容や対象集団が重なっていたため、In Re Conduent Business Services Data Breach Litigationという1件の訴状に統合されています。訴訟は、米ニュージャージー連邦地方裁判所で係属中です。

統合訴訟は、被告らが個人の機微な個人情報や保護対象保健情報を守るための合理的かつ適切な保護措置を講じていなかったと主張しています。訴因は16に及び、過失のほか、カリフォルニア州消費者プライバシー法、カリフォルニア州医療情報機密法、カリフォルニア州顧客記録法への違反が含まれます。被告側は、不正行為や法的責任の主張を含め、訴訟における請求と主張に同意していません。

8000万ドルの和解案は調停を経て提示されたもので、情報漏えいの影響を受けた6,220万人が対象です。内訳は、サブクラスAが約4,000万人、サブクラスBが約2,200万人です。サブクラスAの人々はこの攻撃でデータを盗まれましたが、そのデータは複雑なバックアップファイルに保存されており、アクセスが困難な状態でした。サブクラスBの人々は、容易にアクセスできる形式で個人情報を盗まれました。

集団の全構成員は、1年間分の単一信用情報機関のクレジットモニタリングサービス（年間179.40ドル相当）を請求できます。また、情報漏えいによって生じ、補償されていない損失については、証拠書類があれば、1人あたり最大3,500ドルまでの補償を請求できます。サブクラスBの構成員は、pro rata（按分）方式の現金支払いも請求できます。その額は、弁護士費用と諸経費、和解管理費用、集団代表者への報奨金、クレジットモニタリングサービス、各種請求の支払いを差し引いた残りの資金によって決まります。 弁護士側は和解基金の34%を求めており、集団代表者にはそれぞれ1,500ドルが支払われます。 情報漏えい当時にカリフォルニア州の居住者だった人は、pro rataの現金支払いに20%を上乗せした額の追加支払いも受けられます。和解案は裁判所の承認待ちの状態です。承認後に、異議申し立て、除外、請求提出の期限が設定されます。