Washington Gastroenterologyは、2025年1月28日に発覚したサイバーセキュリティインシデントをめぐる集団訴訟を和解で解決するため、460万ドル（$4,600,000）を支払うことで合意しました。ハッカーは2024年10月23日に同社のネットワークへ侵入し、583,741人の個人情報や保護対象保健情報を盗み出した可能性があります。対象となった情報は、氏名、社会保障番号、金融・銀行情報、医療情報、医療保険情報などです。影響を受けた従業員には2025年5月23日に、患者には2025年8月22日に、それぞれ通知が行われました。
この情報漏えいを受けて、複数の集団訴訟が起こされました。各訴訟は主張内容が似ており、原告団も重なっていたため、In re Washington Gastroenterology, PLLC Data Breach Litigationという単一の訴訟に統合されています。統合後の訴訟は、ワシントン州ピアース郡の州上位裁判所で係属中です。
統合訴訟では、このサイバーセキュリティインシデントとデータ漏えいはセキュリティ上の不備によって発生したものであり、防げたはずだと主張しています。請求の根拠は、過失、黙示の契約違反、不当利得、プライバシー侵害のほか、ワシントン州消費者保護法、ワシントン州データ侵害通知開示法、統一医療情報法への違反です。被告側は不正行為はなかったとの立場を維持し、訴訟における主張をすべて否認しています。
当事者全員が調停に出席し、調停人の提案を受け入れることで合意しました。和解契約は裁判所の仮承認を受けており、最終的な公正性審問は2027年1月29日に予定されています。 和解条件に基づき、Washington Gastroenterologyは460万ドルの和解基金を設けます。この基金から、弁護士費用と諸経費、和解の管理・通知にかかる費用、原告代表への報奨金が差し引かれます。残りの資金は、集団構成員への給付に充てられます。
集団構成員は全員、単一信用調査機関による医療記録・信用情報モニタリングサービスを2年間請求できます。加えて、2種類の現金給付のうち1つを請求することも可能です。1つ目は、データ漏えいが原因で生じた損失のうち、証拠書類があり、補償されていないものに対する払い戻しで、上限は構成員1人あたり4,000ドルです。もう1つは、按分による現金給付で、1人あたり75ドル程度と見込まれています。この代替の現金給付額は、受け付けた請求の件数によって増減する可能性があります。 和解から離脱（オプトアウト）したい方や異議を申し立てたい方の期限は、2026年12月11日です。請求の提出期限は2027年1月10日です。
翻訳元: https://www.hipaajournal.com/washington-gastroenterology-data-breach-settlement/
