米国28州に200カ所以上の拠点を持つ腎臓ケアの専門事業者、American Renal Management LLC(Innovative Renal Care名義で事業を展開)は、2024年2月にサイバー攻撃を受け、患者データを盗まれたことを確認しました。このデータ侵害は複数の訴訟に発展し、テネシー州中部地区連邦地方裁判所でIn re American Renal Management LLC Data Breach Litigationとして併合されました。この訴訟を解決するため、先ごろ90万ドルの和解案が提示されています。
訴訟の発端となったデータ侵害が確認されたのは、2024年2月29日です。フォレンジック調査の結果、2024年2月21日から2024年3月1日にかけて、権限のない第三者が同社のネットワークにアクセスし、患者情報を含むファイルをコピーしていたことが判明しました。ファイルには、氏名、連絡先、生年月日、社会保障番号、運転免許証番号、金融口座情報、健康保険情報、請求・保険金請求情報、医療情報など、個人情報や保護対象の医療情報が幅広く含まれていました。
影響を受けた個人への通知が始まったのは2025年2月14日で、侵入が最初に確認されてから1年近くが経過していました。米保健福祉省(HHS)には2024年4月29日に報告されましたが、被害者数は暫定値として「501人以上」と記載されたままです。この数字は最初の報告以降、更新されていません。訴状によると、被告は存命の5万9,400人に対し、被害を受けたと通知しました。
併合された訴状には5人の原告が名を連ねています。原告は、被告が合理的かつ適切なサイバーセキュリティ対策を講じなかったことがサイバー攻撃を招いたと主張しています。また、被告が通知書の送付を不当に遅らせたため、被害者が個人情報の盗用や詐欺から身を守る措置を取る機会を奪われたとも訴えています。訴えでは、過失、当然過失(negligence per se)、黙示の契約違反、プライバシー侵害、不当利得のほか、カリフォルニア州消費者プライバシー法およびカリフォルニア州不正競争防止法への違反が主張されました。
Innovative Renal Careは、不正行為や法的責任を含め、訴訟における一切の主張を否認しています。ただし調停は成立し、和解で合意しました。90万ドルの和解基金は、弁護士報酬と諸経費、和解の管理費用、集団代表者への報奨金に充てられます。残りは、集団の構成員への給付金として支払われます。
集団の構成員は、データ侵害による損失のうち、証拠書類があり補償されていないものについて、最大5,000ドルの払い戻しを請求できます。あるいは、按分(pro rata)方式の現金支払いを請求することも可能です。その額は1人あたり100ドル程度と見込まれますが、請求件数によって増減する可能性があります。和解からの離脱と異議申し立ての期限は2026年11月20日です。請求書の提出期限は2026年12月21日で、最終的な公正性審問は2027年2月1日に予定されています。
翻訳元: https://www.hipaajournal.com/innovative-renal-care-data-breach-settlement/
