テキサス州およびニュージャージー州の皮膚科診療所、集団訴訟のデータ侵害訴訟で和解

米国の2つの皮膚科診療所は、患者データが露出したサイバーセキュリティ事案に起因する集団訴訟について、和解に合意しました。和解では、クラスメンバーに対する現金給付に加え、クレジット監視および個人情報盗難保護サービスが提供されます。

Affiliated Dermatologists & Dermatologic Surgeons 集団訴訟和解

ニュージャージー州モリスタウンに拠点を置く皮膚科診療所であるAffiliated Dermatologists & Dermatologic Surgeonsは、2025年3月4日にサイバーセキュリティ事案について把握しました。フォレンジック調査により、無許可の第三者が2023年12月19日から2024年3月5日まで同院のコンピュータネットワークにアクセスしていたことが判明しました。露出したファイルの精査の結果、氏名、郵送先住所、生年月日、社会保障番号、医療処置情報、健康保険請求情報など、373,630人分の保護対象保健情報が含まれていたことが確認されました。侵害された従業員情報には、氏名、郵送先住所、生年月日、社会保障番号、運転免許証番号、パスポート番号が含まれます。

影響を受けた個人には、2024年5月下旬に通知書が郵送されました。その後まもなく、モリス郡のニュージャージー州上級裁判所（法部）およびニュージャージー連邦地方裁判所に集団訴訟が提起されました。6件の集団訴訟は請求内容が重複していたため、モリス郡のニュージャージー州上級裁判所（法部）において、Lepore, et al. v. Affiliated Dermatologists & Dermatologic Surgeons, P.A.として併合されました。

Affiliated Dermatologists & Dermatologic Surgeonsは、不正行為および責任に関するすべての主張を否認し、併合訴訟の却下を求める申立てを行いました。この法的争いは一部成功し、裁判官は原告の一部請求の却下に同意しましたが、訴訟自体は継続が認められました。 調停を経て、当事者全員が和解の重要条件について合意に達し、その後数週間の交渉を経て和解が最終化され、裁判所から予備承認を得ています。

和解では、クラスメンバーへの現金支払いが定められており、その総額上限は1,000,000ドルです。請求総額がこれを超える場合、現金支払いは比例配分で減額されます。クラスメンバーは、データ侵害に関連する、文書で裏付けられた未補償の損失について、最大5,000ドルの補償を請求できます。あるいは、あらかじめ定められた40ドルの現金支払いを請求することも可能です。選択した現金支払いにかかわらず、クラスメンバーは、単一信用情報機関による3年間のクレジット監視および個人情報盗難保険サービスを受ける権利があります。

和解からの除外および和解への異議申立ての期限は2026年1月31日です。請求提出期限は2026年2月15日で、最終的な公正性審理は2026年3月2日に予定されています。

U.S. Dermatology Partners 集団訴訟和解

アリゾナ、コロラド、カンザス、メリーランド、ミズーリ、オクラホマ、テキサス、バージニアの各州で100以上の皮膚科診療所からなるネットワークを運営するU.S. Dermatology Partnersは、2024年6月にサイバー攻撃およびデータ侵害を受けました。この事案は、ネットワークの障害が発生した2024年6月19日に検知されました。フォレンジック調査により、脅威アクターが2024年6月19日にファイルを外部の場所へ持ち出したことが判明しました。ファイルの精査により、同院が管理する診療所のいずれかで受けた皮膚科サービスに関連するその他の情報を含め、氏名、生年月日、診療録番号、健康保険情報など、13,986人分の保護対象保健情報が本事案で盗まれたことが確認されました。 影響を受けた個人には、2025年5月30日に通知書が郵送されました。

データ侵害を受け、2025年4月27日に、Olson v. Oliver Street Dermatology Management LLC d/b/a U.S. Dermatology Partnersとして、テキサス北部地区連邦地方裁判所に集団訴訟が提起されました。この訴訟は州裁判所の方が適切であると判断され、却下されたうえで、適切な裁判所に再提起されました。訴状では、過失、法定過失、黙示契約違反、不当利得が主張されました。

被告は不正行為および責任に関するすべての主張を否認しているものの、最終的に当事者全員が訴訟の和解に合意しました。和解条件により、すべてのクラスメンバーは2年間のクレジット監視および個人情報盗難保護サービスを請求する権利があります。さらに、データ侵害による時間損失および文書で裏付けられた損失の補償を請求できます。時間損失の請求は、クラスメンバー1人あたり80ドル（1時間あたり20ドルで最大4時間）を上限としています。通常損失の補償請求はクラスメンバー1人あたり400ドルを上限とし、特別損失の補償請求はクラスメンバー1人あたり4,000ドルを上限としています。代替の現金支払いはありません。

和解への異議申立ておよび和解からの除外の期限は2026年2月2日です。請求提出期限は2026年2月17日で、最終的な公正性審理は2026年4月1日に予定されています。