ジェファーソン郡保健局、データ侵害訴訟で225万ドルの和解金を支払いへ

ミズーリ州ヒルズボロにあるジェファーソン郡の公衆衛生機関、ジェファーソン郡保健局（Jefferson County Health Department）は、2022年に発生したデータセキュリティインシデントを受けて起こされた集団訴訟について、和解に合意しました。

訴訟のきっかけとなったインシデントは、2022年11月15日ごろに発覚しました。フォレンジック調査の結果、2022年10月31日から11月15日の間に、権限のない第三者が同局のネットワークにアクセスしていたことが判明しました。この第三者は、氏名、生年月日、社会保障番号、運転免許証番号、金融口座情報、医療情報、健康保険情報といった個人情報や保護対象保健情報を閲覧または取得した可能性があります。このデータ侵害は、115,940人の保護対象保健情報に関わるものとして、2023年1月13日に米国保健福祉省（HHS）の公民権局（Office for Civil Rights）に報告されました。

最初の集団訴訟は2023年1月27日に提起され、2023年10月2日に2件目の訴状と併合されました。併合後の訴訟J.D., et al. v. Jefferson County Health Center d/b/a Jefferson County Health Departmentは、ミズーリ州セントルイス市巡回裁判所で係属中です。

併合された訴訟で原告側は、個人情報や健康情報が適切に保護されないと知っていれば、ジェファーソン郡ヘルスセンターで医療サービスを受けなかったと主張しています。適切なサイバーセキュリティ対策を講じなかったことは、過失、契約違反、信認義務違反にあたり、誠実かつ公正に取引する義務の約款にも違反すると訴えています。これに対し、ジェファーソン郡保健局は不正行為はなかったとの立場を崩しておらず、責任も損害も存在しないと考えています。裁判所は訴訟の棄却申立てを退けましたが、最終的に全当事者が受け入れられる和解が成立しました。これにより、裁判とその後の控訴にかかる費用やリスクを避けることができます。

和解条件では、ジェファーソン郡保健局が225万ドルの和解基金を設けます。この基金から、弁護士費用と諸経費、和解の管理費用、3人の集団代表者への報奨金が差し引かれます。残りは、集団の構成員への給付に充てられます。

集団の構成員は、2通りの請求方法から選べます。1つは、データ侵害によって生じた、補償を受けていない損失について、証拠書類を添えて払い戻しを請求する方法です。上限は1人あたり300ドルで、最大3時間分の失われた時間（1時間あたり20ドル）も含まれます。損失や失われた時間の払い戻しを請求しない場合は、1回限りの現金150ドルを請求できます。和解からの除外、異議申立て、請求書の提出の期限は、2026年11月16日です。最終公正審問は2026年12月10日に予定されています。