裁判官、ArCareのデータ侵害に関する390万ドルの和解を承認

2022年に発生したArCareのセキュリティインシデントおよびデータ侵害をめぐる請求を解決する和解案が、連邦地方裁判所の裁判官から仮承認されました。ArCareは非営利の連邦認定コミュニティヘルスセンターで、アーカンソー州、ケンタッキー州、ミシシッピ州でプライマリケア、行動保健サービス、薬局、地域支援プログラムを提供しています。

アーカンソー州オーガスタに本拠を置くこの医療機関は、2022年2月24日に自社のコンピューターネットワークへの不正アクセスを初めて確認し、サービスが一時的に中断しました。フォレンジック調査の結果、権限のない第三者が2022年1月18日から2月24日までの間ネットワークにアクセスしており、約345,000人の個人情報および保護対象保健情報にアクセスされた可能性があることが判明しています。インシデントで侵害されたデータには、氏名、生年月日、社会保障番号、運転免許証番号、金融口座情報、医療情報、健康保険情報が含まれます。

データ侵害を受けて複数の集団訴訟が提起され、これらは「Hale, et al. v. Arcare, Inc.」という単一の訴状に統合されました。訴訟は現在、アーカンソー州東部連邦地方裁判所で係属中です。原告側は、ArCareに過失があり、データ侵害は防げたはずだと主張しています。訴訟では、過失、黙示の契約違反、不当利得、受託者責任違反、確認判決、差止めによる救済を請求しています。ArCareは不正行為はなかったとの立場を維持して訴訟の主張に異議を唱え、訴えの却下を申し立てましたが、裁判所はこれを退けました。

当事者全員が調停に応じることで合意し、和解の主要条件についても合意に至りました。和解は今回、正式にまとまりました。和解条件に基づき、ArCareは390万ドルの和解基金を設立します。この基金から、弁護士費用と諸経費、和解の管理費用、原告への報奨金を差し引いた残額が、集団構成員への給付に充てられます。

集団構成員は、データ侵害が原因で生じ、補償されていない損害のうち、証拠書類のあるものについて、1人あたり最大5,000ドルまで償還を請求できます。もう一つの選択肢として、按分方式による現金支払いを請求することもでき、その額は1人あたり約100ドルと見込まれています。いずれかの現金給付に加えて、1年間の医療データモニタリングサービスも請求できます。 異議申立てと和解からの離脱の期限は2026年12月8日です。請求は2027年1月7日までに提出する必要があり、最終的な公正性審問は2027年1月28日に予定されています。