因泄露超23.5万患者数据，美国一地方医疗机构赔偿150万美元

清华大学智能法治研究院 · 公众号 · · 2024-11-18 22:40

正文

2024年11月8日，美国纽约州一家法院已初步批准一项150万美元（约合人民币1086万元）的和解协议，用于解决针对One Brooklyn Health健康系统的修订后合并拟议集体诉讼。该诉讼源于2022年11月的一次网络攻击事件，该事件导致超过23.5万人的敏感健康数据遭到泄露。

此次事件波及One Brooklyn Health旗下位于纽约市布鲁克林区的三家医院，包括Brookdale医院医疗中心、Interfaith医疗中心和Kingsbrook犹太医疗中心，以及多个护理院和健康诊所。

在2023年4月26日，Shub & Johns LLC对One Brookyln Health提起了集体诉讼，理由是数据泄露可能对受影响的个人可能产生或已经产生的影响。2023 年 12 月 15 日，在法官下令合并针对 OBH 的所有事项后，该案的原告提交了一份合并的修改起诉书。

诉讼指控之一是，One Brooklyn Health未能合理地保护、保障或存储原告和集体成员的个人身份信息和受保护健康信息，导致相关人员面临身份盗窃和欺诈犯罪的风险。

诉讼指控One Brooklyn Health未能合理保护、保障或存储原告及集体成员的个人身份信息和受保护的健康信息，导致相关人员面临身份盗窃和欺诈风险。

诉讼还指控One Brooklyn Health违反了纽约州消费者保护法，并未及时向受影响人员通报数据泄露事件。

One Brooklyn Health否认了所有指控。

人均最高获赔2600美元

2024 年 9 月 5 日，原告提交了一项动议，要求初步批准集体诉讼和解，并获得了 150万美元的和解金 2024 年 10 月 23 日，律师 Benjamin F. Johns 和 Samantha Holbrook 前往纽约州金斯县，参加法院关于原告和解动议的听证会。在2024年11月8日，法官卡罗琳· E·韦德发布了一项命令，批准了原告初步批准集体诉讼和解的动议，并任命Shub & Johns LLC为联合首席集体法律顾问。受违规影响的个人将收到通知，并有机会在 2025 年 3 月 23 日之前提交索赔，以参与集体诉讼和解。法院已安排在 2025 年 2 月 26 日举行最终批准听证会。有关拟议和解的更多细节仍有待公布。

根据拟议的和解协议，符合条件的集体诉讼成员可以提交索赔，最高可获得2500美元的实际自付损失赔偿，以及处理数据泄露后果所花费的时间补偿（最高4小时、每小时25美元）。

此外，和解协议允许集体诉讼成员申请两年的信用监控服务。

作为替代选择，集体诉讼成员可以放弃文件损失赔偿和信用监控服务的申请，直接领取一笔固定金额的现金补偿。这笔补偿金额将在扣除其他索赔和费用后由和解基金决定。

和解协议还建议向八名原告每人支付1000美元的服务奖励。根据法院文件，原告律师计划从和解基金中提取高达三分之一的金额（约50万美元），并申请补偿不超过5万美元的诉讼费用。

此外，该协议要求One Brooklyn Health增强数据安全措施。这些改进的费用将由One Brooklyn Health自行承担，与和解基金无关。法院文件并未具体说明One Brooklyn Health将实施哪些安全措施。

纽约州最高法院（位于国王县）计划于2025年2月26日召开和解协议最终批准听证会。

数据泄露详情

此次合并拟议集体诉讼的核心是One Brooklyn Health于2022年11月首次检测到的网络攻击。当时，该医疗机构发现其网络中存在可疑活动。这一事件导致其IT系统，包括电子健康记录和患者门户网站，长达一个多月无法正常访问。该公司在网络攻击后进行了调查。通过调查，OBH 发现未经授权的一方获得了对公司信息系统的访问权限。通过进一步调查，OBH 发现大约 235,000 人的 PII 和 PHI 受到影响。尽管数据泄露发生在 2022 年 11 月，但 OBH 直到 2023 年 4 月才提醒消费者。

2023 年 4 月 20 日，One Brooklyn Health（OBH）开始通知个人，他们的信息涉及数据泄露事件，暴露了个人的个人身份信息（“PII”）和私人健康信息（“PHI”）。受影响的信息包括姓名、社会安全号码、驾照或州身份证号码、出生日期、金融账户信息、医疗治疗记录、处方信息、诊断信息以及健康保险信息等。

根据One Brooklyn Health于2023年发布的数据泄露通知，调查显示，2022年7月9日至2022年11月19日期间，一名未经授权的行为者从其IT系统中获取了“一定数量”的数据。

调查进一步发现，网络犯罪分子在此次攻击中未经授权访问并窃取了超过23.5万人的个人身份信息，其中包括患者、员工及其配偶、受抚养人和受益人。

因泄露超23.5万患者数据，美国一地方医疗机构赔偿150万美元

正文

请到「今天看啥」查看全文