【処分事例】米国：HHSが Spencer Gifts 社の雇用種提供保険プランと45万ドルで和解

2026年7月14日　HHS(米国保健福祉省)の公民権局は、2021年に発生したランサムウェア攻撃に関する調査の結果、Spencer Gifts社の雇用主提供健康保険プランに対し、45万ドルを支払う内容のHIPAA和解に応じた。この攻撃では、データ侵害に先立ちリスク分析の実施や必要なデータ保護ポリシーの策定が行われていなかったことなど、セキュリティ上の脆弱性により、1万人以上の加入者のセンシティブな個人データが漏洩していた。Spencer Gifts社の健康保険プランは、徹底したリスク分析、適切なポリシーおよび手順、そして充実した従業員トレーニングを義務付ける2年間の是正措置計画に合意した。