200万ドルの和解でCovenant Healthのデータ侵害訴訟が決着

Covenant Health、St. Joseph Healthcare Foundation、St. Joseph Hospital、ニューハンプシャー州ナシュアのSt. Joseph Hospital、およびその他のCovenant Health傘下の施設は、2025年に発生したサイバーセキュリティインシデントを受けて起こされた複数の集団訴訟で被告となっていました。この訴訟を解決するため、200万ドルでの和解が成立しています。

Covenant Healthは2025年5月26日、自社のコンピュータシステム内で不審なアクティビティを確認しました。フォレンジック調査の結果、同社のネットワークに権限のない第三者が最初に侵入したのは2025年5月18日だったことが判明しています。侵害されたネットワークの領域には、502,606人分の保護対象医療情報が含まれていました。氏名、住所、生年月日、診療記録番号、社会保障番号、健康情報、医療保険情報などです。影響を受けた人々への通知書の発送は、2025年7月11日に始まりました。

このデータ侵害を受けて複数の集団訴訟が起こされ、メイン州のペノブスコット郡上位裁判所で、In re: Covenant Health Data Security Litigationという単一の訴状に統合されました。統合された訴訟では、被告に落ち度があり、インシデントとデータ侵害は防げたはずだと主張しています。請求の内容は、過失、黙示契約違反、不当利得、確認判決です。これに対して被告側は、不正行為はなかったとの立場を崩しておらず、訴訟で主張された請求や論点には同意していません。

両当事者は2026年4月23日に調停に臨み、和解条件の主要部分の大半で合意しました。その後も交渉を続け、全当事者が受け入れられる和解案がまとまっています。この和解案は、裁判所の仮承認を得ました。和解条件では、被告が200万ドルの和解基金を設けます。基金からは、弁護士費用と経費、和解の管理費用、集団代表者への報奨金を差し引いたうえで、集団構成員への給付が支払われます。

集団構成員は、データ侵害が原因で生じ、補償を受けていない損失のうち、証明書類のあるものについて、1人あたり最大5,000ドルまでの償還を請求できます。比例配分による現金支払いも請求でき、金額は1人あたり約75ドルと見込まれています。現金支払いに加えて、集団構成員は信用監視サービス「CyEx Medical Shield Complete」の2年間の会員資格も請求できます。被告はさらに、今後同様のインシデントが起きるリスクを減らすため、セキュリティ強化策を実施することにも同意しました。 異議申し立てと除外（オプトアウト）の期限は2026年12月15日、請求の提出期限は2026年12月30日です。最終公正性審問は2027年初めに開かれる予定ですが、日程はまだ決まっていません。