プエルトリコのHospital Español Auxilio Mutuo、データ侵害をめぐる集団訴訟で和解

プエルトリコのHospital Español Auxilio Mutuoに対する集団訴訟について、和解が成立しました。訴訟は、2023年のサイバーセキュリティインシデントとデータ侵害に関する請求を巡るものです。このインシデントを特定したのは米国国土安全保障省（DHS）でした。 DHSは2023年9月23日、サイバー犯罪者が同院のネットワークに侵入した可能性が高いとHospital Españolに通知しました。調査の結果、ネットワークが侵害された可能性が高いことは確認されましたが、当初は患者データが関与していたかどうか明確ではありませんでした。

1年後の2024年9月24日、社内外のサイバーセキュリティ専門家は、ネットワークが2022年8月から2023年9月にかけて侵害され、患者データが外部に持ち出された可能性が高いと結論づけました。侵害されたデータには、氏名、連絡先、健康情報、医療保険情報、請求・保険金請求情報、社会保障番号（SSN）、その他の政府発行ID番号が含まれていました。影響を受けた個人への通知書が郵送されたのは2025年4月21日です。これは、同院がネットワーク侵害の可能性をDHSから知らされてから575日後のことでした。

最初の集団訴訟が起こされたのは2025年5月1日です。その後、原告が追加され、修正訴状が提出されました。訴訟名はJose A. Morales Rosario, et al. v. Hospital Español Auxilio Muto De Puerto Rico, Inc.で、プエルトリコ地区連邦地方裁判所に係属しています。 原告は、Hospital Españolが適切なサイバーセキュリティ対策を講じていなかったこと、ネットワークへの侵入を効果的に監視していなかったこと、従業員に対するサイバーセキュリティ研修が不十分だったこと、適時に通知を行わなかったことを主張しました。さらに、通知書の送付時には、同院がデータ侵害の性質とその脅威を曖昧にしたと訴えています。

訴訟では、過失、当然過失（negligence per se）、黙示の契約違反、不当利得、プライバシー侵害、信認義務違反、確認判決を求める請求が主張されました。Hospital Españolは、不正行為はなく、訴状の主張にも同意できないとして、訴えの却下を求めていました。 一方で、双方は訴訟の継続に伴う費用や不確実性を避けるため、早期解決の可能性を協議しました。和解条件はすでに合意に至り、裁判所から仮承認を受けています。合意内容に基づき、Hospital Españolは弁護士費用と経費、和解の運営・通知にかかる費用、およびクラス代表者への報奨金を支払うことに同意しました。

クラスメンバーに金銭的給付を行うため、50万ドルの和解基金が設けられます。給付内容は、1人あたり最大2,500ドルまでの自己負担費用の償還、または代替となる現金支払い（1人あたり約25ドルと見込まれています）のいずれかです。クラスメンバーは、このいずれか一方に加えて、2年間のクレジット監視および医療情報監視サービスも請求できます。Hospital Españolはまた、今後同様のインシデントが起きるリスクを下げるため、各種のデータセキュリティ対策を実施することにも同意しました。 和解からの除外（オプトアウト）、異議申立て、請求書の提出の期限は2026年12月21日です。最終的な公正性審問は2027年1月20日に予定されています。