16-2888
Hancock v. County of Rensselaer



       16‐2888 
       Hancock v. County of Rensselaer 

  1                           UNITED STATES COURT OF APPEALS 
  2                               FOR THE SECOND CIRCUIT 
  3                                 ____________________ 
  4
  5                                      August Term, 2017  
  6
  7    (Argued: September 20, 2017                                Decided: February 9, 2018) 
  8
  9                                      Docket No. 16‐2888 
 10
 11                                    ____________________ 
 12
 13    KEITH HANCOCK, TAMERA THOMAS, JASON DESSINGUE, 
 14
 15                                      Plaintiffs‐Appellants, 
 16
 17                                               v. 
 18
 19    THE COUNTY OF RENSSELAER, JACK MAHAR, ELAINE YOUNG, DAVID 
 20    HETMAN, 
 21
 22                                Defendants‐Appellees.1 
 23                                    ____________________ 
 24
 25    Before: WALKER, POOLER, and LOHIER, Circuit Judges. 
 26
 27             Appeal from a judgment of the United States District Court for the 

 28    Northern District of New York (Norman A. Mordue, J.), dismissing Appellants’ 



       1    The Clerk of Court is directed to amend the caption as above. 
 1   claims under the Computer Fraud and Abuse Act (“CFAA”), 18 U.S.C. § 1030, 

 2   and granting summary judgment to Appellees on Appellants’ Section 1983 claim 

 3   for violation of their right to privacy under the Fourteenth Amendment. Because 

 4   Appellants failed to present evidence that they suffered a modification or 

 5   impairment of their medical care or economic damages, we affirm the district 

 6   court’s judgment with respect to the CFAA claim. Because we conclude that 

 7   Appellants did have rights to privacy in their medical records and there were 

 8   genuine disputes as to whether these rights were violated, we vacate the district 

 9   court’s judgment with respect to the Section 1983 claim and remand to the 

10   district court for reconsideration. We also direct the district court to determine 

11   whether qualified immunity might apply. 

12         Affirmed in part and vacated in part. 

13                                 ____________________ 

14                             ELMER ROBERT KEACH, III, Law Offices of Elmer 
15                             Robert Keach, III, PC (Maria K. Dyson, on the brief), 
16                             Albany, N.Y., for Plaintiffs‐Appellants. 
17    
18                             JAMES A. RESILA, Carter, Conboy, Case, Blackmore, 
19                             Maloney & Laird, P.C., Albany, N.Y., for Appellees‐
20                             Appellees County of Rensselaer, Jack Mahar, and David 
21                             Hetman. 

                                               2
 1    
 2                             KEVIN A. LUIBRAND, Latham, N.Y., for Defendant‐
 3                             Appellee Elaine Young. 
 4    
 5    
 6   POOLER, Circuit Judge: 

 7         Appellants were employees of the Rensselaer County Jail. Their medical 

 8   records were secretly accessed without their permission by at least one other 

 9   employee at the Jail. They sued in the United States District Court for the 

10   Northern District of New York, alleging violations of their right to privacy in 

11   health information under the Fourteenth Amendment and of the Computer 

12   Fraud and Abuse Act (“CFAA”), 18 U.S.C. § 1030. The district court dismissed all 

13   of the CFAA claims for failure to state a claim. After discovery, it granted 

14   summary judgment to Appellees on the Fourteenth Amendment claims, 

15   reasoning that Appellants did not have a constitutionally protected interest in 

16   medical privacy because the medical conditions described in their records were 

17   insufficiently stigmatizing. Appellants appealed both rulings. We now AFFIRM 

18   the district court’s determination regarding the CFAA claims and VACATE its 

19   determination regarding Appellants’ right to privacy in medical records. 

20   Regarding the latter, we find that even individuals with non‐stigmatizing 

                                              3
 1   medical conditions have a right to privacy in their medical records, even if their 

 2   interest in privacy might be less. We REMAND this case back to the district court 

 3   for further proceedings consistent with this analysis, including a consideration of 

 4   whether qualified immunity might apply.  

 5          

 6                                    BACKGROUND 

 7      I. Factual Background 

 8         Troy, New York is home to both Samaritan Hospital and Rensselaer 

 9   County Jail. Samaritan serves as the primary healthcare provider for most of the 

10   Jail’s detainees and many of its employees. Appellants are among those 

11   employees who have seen doctors at Samaritan. 

12         The Jail does not rely entirely on Samaritan for healthcare services; it also 

13   employs its own medical staff. That staff included Elaine Young, a registered 

14   nurse. To facilitate continuity of care, Samaritan provided Young with electronic 

15   access to Samaritan’s medical records on three computers at the Jail through a 

16   password‐protected system. Logging in with this password provided unlimited 

17   access to Samaritan’s entire medical records system. 


                                              4
 1         Before she was granted access to Samaritan’s record system, Young signed 

 2   a one‐page clearly worded agreement stating that she would only use the system 

 3   in a way that preserved patient confidentiality. This consent form cautioned that 

 4   “Federal law and regulations strictly limit the purposes for which patient 

 5   information may be accessed and used.” App’x at 1679. Its terms then restricted 

 6   use for the purposes of “providing medical treatment to the patient,” “securing 

 7   payment for treatment of the patient,” and “quality assurance activities, 

 8   professional competence review activities and health care fraud or abuse 

 9   detection.” Id. Accessing Samaritan’s system for “other purposes” was only 

10   permitted with “signed authorization of the patient” or “approval of the 

11   [Samaritan] Privacy Officer.” Id.  

12         Young had apparently been unable to obtain passwords for other nurses to 

13   use, so she taped her login information inside a drawer at the nurse’s desk at the 

14   Jail. Any person who knew where the password was kept and had access to that 

15   desk could thus view any of Samaritan’s medical records. 

16         In late 2011, Samaritan learned that “health information relating to a 

17   patient of Samaritan Hospital may have been accessed for an improper purpose 


                                              5
 1   by an employee” of the Jail. App’x at 35, 41, 47. After an investigation, Samaritan 

 2   determined that the password assigned to Young had been used to access the 

 3   medical records of multiple non‐inmate patients, including some Jail employees. 

 4   Samaritan thereafter deactivated Young’s account and requested that the office 

 5   of the Rensselaer County Sheriff investigate. Jack Mahar, the Rensselaer County 

 6   Sheriff, was also in charge of running the Jail. 

 7         Mahar appointed Corrections Lieutenant James Karam to conduct the 

 8   investigation. Karam did so until August 2012, when he resigned due to medical 

 9   issues and the pressure that Mahar allegedly placed on him. According to 

10   Karam, Mahar had attempted to convince Karam to delay the investigation to 

11   prevent at least one employee from being notified that his medical records had 

12   been accessed. No one was ever criminally prosecuted for accessing Samaritan’s 

13   medical records.  

14         In March 2013, Samaritan sent letters to patients whose records its internal 

15   investigations found had been viewed without their permission. The letters 

16   detailed when and for how long each patient’s medical records had been 

17   accessed via Young’s account. 


                                               6
 1         Confronted with this information, a number of patients sued the County of 

 2   Rensselaer and several of its employees. Some of these lawsuits have been 

 3   settled; some continue at the district court level. E.g., Pasinella v. County of 

 4   Rensselaer, No. 13‐cv‐00607, consent order (N.D.N.Y. Sept. 23, 2014); Colantonio v. 

 5   County of Rensselaer, No. 14‐cv‐00107, judgment dismissing by reason of 

 6   settlement (N.D.N.Y. Apr. 24, 2015); Karam v. County of Rensselaer, No. 13‐cv‐

 7   01018, order and stipulation of discontinuance (N.D.N.Y. Sept. 6, 2016); Snyder v. 

 8   County of Rensselaer, No. 14‐cv‐00242, order and stipulation of dismissal 

 9   (N.D.N.Y. Sept. 26, 2014); Rogers v. Mahar, No. 14‐cv‐01162, order and stipulation 

10   of dismissal (N.D.N.Y. Jan. 25, 2016); Momrow v. County of Rensselaer, No. 15‐cv‐

11   00521, complaint filed (N.D.N.Y. Apr. 29, 2015). 

12         Appellants are among those who received the letter from Samaritan and 

13   subsequently sued. Relying on the preliminary results of Karam’s investigation 

14   and on a number of depositions taken across many of these cases, they allege that 

15   their records were accessed as part of Mahar’s campaign to rein in Jail 

16   employees’ use of sick leave. It is undisputed that Mahar enforced a sick leave 

17   policy that penalized employees deemed to be taking “excessive” sick leave. 


                                                 7
 1   Appellants note that access of their medical records took place during or soon 

 2   after instances in which they had taken “extended or unexpected” sick leave. 

 3   Appellants’ Br. at 9. They allege that Mahar or somebody acting under Mahar’s 

 4   direction either used Young’s password or directed Young to do so in order to 

 5   determine whether Appellants had been using sick leave in accordance with the 

 6   policy Mahar was enforcing. Appellees offer no alternative explanation or 

 7   justification for the unauthorized access of Appellants’ medical records. 

 8          

 9      II. Procedural History 

10         Appellants filed their initial complaint on September 20, 2013, alleging 

11   violations of their rights to privacy implied by the Due Process Clause of the 

12   Fourteenth Amendment and of their rights under the CFAA. On September 24, 

13   2014, the district court granted Appellees’ motion to dismiss with respect to the 

14   claims under the CFAA, determining that Appellants had failed to allege the 

15   damages required by that statute. It denied the motion with respect to the civil 

16   rights claim. 




                                              8
 1         On February 10, 2015, Appellants filed an amended complaint alleging 

 2   only the civil rights cause of action. After more than a year of discovery, 

 3   Appellees moved for summary judgment on Appellants’ Section 1983 claim. The 

 4   motion was granted in August 2016. Hancock v. County of Rensselaer, No. 1:13‐CV‐

 5   1184, 2016 WL 8732374 (N.D.N.Y. Aug. 5, 2016). 

 6         Relying heavily on its interpretation of our previous decision in Matson v. 

 7   Board of Education of City School District of N.Y., 631 F.3d 57 (2d Cir. 2011), the 

 8   district court found that Appellants failed to show that they had a 

 9   constitutionally protected right to privacy in their medical records. The court 

10   read Matson as limiting the right to privacy in one’s medical records only to those 

11   records that contain evidence of medical conditions that are both serious and 

12   stigmatizing. Hancock, 2016 WL 8732374, at *3. It found that none of the 

13   Appellants had information in their histories that would expose them to 

14   discrimination and intolerance, so none of them could establish that their 

15   Fourteenth Amendment rights had been violated. Id. at *3‐4. 




                                                9
 1           Final judgment was filed in favor of Appellees on August 8, 2016. This 

 2   appeal of both the dismissal and the grant of summary judgment was filed on 

 3   August 17. 

 4            

 5                                      DISCUSSION 

 6      I.       CFAA Claims 

 7           A. Standard of Review 

 8           Although  “[i]t  is  well  settled  that  an  amended  pleading  ordinarily 

 9   supersedes the original and renders it of no legal effect,” we do not require futile 

10   repleading  of  a  claim  that  has  been  dismissed  with  prejudice.  In  re 

11   Crysen/Montenay Energy Co., 226 F.3d 160, 162 (2d Cir. 2000).  Thus, the fact that 

12   Appellants’  amended  complaint  lacked  the  CFAA  cause  of  action  does  not 

13   amount to a waiver of that cause of action for purposes of appellate review. Id. 

14           “We review de novo a district court’s decision to dismiss a complaint 

15   pursuant to [Federal] Rule [of Civil Procedure] 12(b)(6), accepting all factual 

16   allegations as true and drawing all reasonable inferences in the plaintiff’s favor.” 

17   Crawford v. Cuomo, 796 F.3d 252, 256 (2d Cir. 2015) (citation omitted). “To survive 


                                              10
 1   a 12(b)(6) motion, the complaint must contain factual allegations that plausibly 

 2   give rise to an entitlement to relief.” Id. (citation omitted). 

 3           

 4          B. Discussion 

 5          Congress originally enacted the CFAA in 1984 to criminalize the then‐

 6   novel problem of hacking. Ten years later, it added a private right of action. See 

 7   Violent Crime Control and Law Enforcement Act of 1994, Pub. L. No. 103‐322, § 

 8   290001(d), 108 Stat. 1796 (1994). The scope of the civil actions permitted under 

 9   this new Section 1030(g), however, has always been limited. “A civil action for a 

10   violation of [the CFAA],” that section states, “may be brought only if the conduct 

11   involves 1 of the factors set forth in subclauses (I), (II), (III), (IV), or (V) of 

12   subsection (c)(4)(A)(i).” 18 U.S.C. § 1030(g). Only subclauses (I) and (II) are at 

13   issue here. We agree with the district court that Appellants failed to plead 

14   damages under either. 

15          Subclause (I) covers “loss to 1 or more persons during any 1‐year 

16   period…aggregating at least $5,000 in value.” 18 U.S.C. § 1030(c)(4)(A)(i)(I). 

17   Section 1030(g) specifically limits its application to economic damages. 


                                                  11
 1         Economic damages have not been pled. Appellants argue instead that 

 2   Subclause (I) on its face applies broadly and point to a non‐precedential 

 3   summary order from this Court holding that the 2001 amendments to the CFAA 

 4   broadened Section 1030(g) to include “compensatory damages and injunctive 

 5   relief or other equitable relief.” Garland‐Sash v. Lewis, 348 F. App’x 639, 641‐42 & 

 6   n.1 (2d Cir. 2009). This summary order is incorrect. While the first sentence of 

 7   Section 1030(g) does generally permit “compensatory damages and injunctive 

 8   relief or other equitable relief,” two sentences later it states quite unambiguously: 

 9   “damages for a violation involving only conduct described in subsection 

10   (c)(4)(A)(i)(I) are limited to economic [d]amages.” We can find no evidence that 

11   this language meaningfully changed in 2001 or in any of other amendments of 

12   the CFAA. Appellants’ inability to plead economic damages thus dooms their 

13   attempt to apply Subclause (I). 

14         Subclause (II) refers to damages based on “the modification or 

15   impairment, or potential modification or impairment, of the medical 

16   examination, diagnosis, treatment, or care of 1 or more individuals.” 18 U.S.C. § 

17   1030(c)(4)(A)(i)(II). Appellants claim that Mahar’s ability to access their medical 


                                              12
 1   records as part of his crusade against sick leave could have had a chilling effect 

 2   on their inclination to seek medical care or the time off necessary to obtain it. We 

 3   are not unsympathetic to this hypothetical, but it remains merely hypothetical. 

 4   Appellants state no facts about any of their actual experiences seeking medical 

 5   care that “nudge[s] their claims across the line from conceivable to plausible.” 

 6   Bell Atlantic Corp. v. Twombly, 550 U.S. 544, 570 (2007), preventing them from 

 7   using Subclause (II) to state a cause of action under the CFAA. 

 8             

 9      II.       Fourteenth Amendment Claims 

10            A. Standard of Review 

11            “We review a district court’s grant of summary judgment de novo.” Marvel 

12   Characters, Inc. v. Kirby, 726 F.3d 119, 135 (2d Cir. 2013) (citation and internal 

13   quotation marks omitted). “In reviewing a summary judgment decision, we 

14   apply the same standards applied by the district court. Under this standard, 

15   summary judgment may be granted only if there is no genuine dispute as to any 

16   material fact and the movant is entitled to judgment as a matter of law. In 

17   determining whether there is a genuine dispute as to a material fact, we must 


                                               13
 1   resolve all ambiguities and draw all inferences against the moving party.” Id. 

 2   (internal quotation marks and citations omitted). 

 3          

 4         B. Discussion 

 5         Appellants sue under 42 U.S.C. § 1983 for violations of their Fourteenth 

 6   Amendment rights to privacy. At issue is whether Appellants have suffered a 

 7   constitutionally prohibited wrong. 

 8          

 9         1. The Right to Privacy in Medical Records 

10         To determine whether a constitutional violation has occurred, we must 

11   first identify the right at stake. See O’Connor v. Pierson, 426 F.3d 187, 201 (2d Cir. 

12   2005). Appellants invoke the right to privacy in information about one’s body. In 

13   doing so, they successfully identify a constitutional right. 

14         The Due Process Clause of the Fourteenth Amendment requires states to 

15   operate in accordance with the “fundamental principles of liberty and justice 

16   which lie at the base of all our civil and political institutions.” Duncan v. 

17   Louisiana, 391 U.S. 145, 148 (1968). Nearly all of the Constitution’s specifically 


                                                14
 1   enumerated protections against government agents’ abuses of public power have 

 2   been found to be fundamental in this sense. See McDonald v. City of Chicago, Ill., 

 3   561 U.S. 742, 759‐66 (2010) (discussing the development of Fourteenth 

 4   Amendment due process jurisprudence). Many of these protections would have 

 5   little practical effect without heightened suspicion of governmental intrusion into 

 6   certain identity‐defining areas of life. These areas of life have been found so 

 7   important that, even when there is not a constitutionally enumerated right on 

 8   point, due process requires state government act with special solicitude for this 

 9   fundamental “zone of privacy.” Griswold v. Connecticut, 381 U.S. 479, 485 (1965).

10         The Supreme Court has long implied that the zone of privacy protects “the 

11   individual interest in avoiding disclosure of personal matters.” Whalen v. Roe, 429 

12   U.S. 589, 599 (1977); see also National Aeronautics & Space Administration v. Nelson, 

13   562 U.S. 134, 147‐49 (2011) (assuming, without expressly deciding, that the 

14   Constitution affords this protection). Along with many of our sister circuits, we 

15   have explicitly recognized the right to privacy in one’s personal information, 

16   including information about one’s body. Schachter v. Whalen, 581 F.2d 35, 37 (2d 

17   Cir. 1978); Doe v. City of New York, 15 F.3d 264, 267 (2d Cir. 1994); United States v. 


                                               15
 1   Westinghouse Electric Corp., 638 F.2d 570, 577 (3d Cir. 1980); Fadjo v. Coon, 633 F.2d 

 2   1172, 1175 (5th Cir. Unit B Jan. 1981); Pesce v. J. Sterling Morton High School, 

 3   District 201, Cook County, Ill., 830 F.2d 789, 795‐98 (7th Cir. 1987); Seaton v. 

 4   Mayberg, 610 F.3d 530, 534 (9th Cir. 2010); Lankford v. City of Hobart, 27 F.3d 477, 

 5   479 (10th Cir. 1994); In re Zuniga, 714 F.2d 632, 641 (6th Cir. 1983) (assuming the 

 6   existence of a constitutional right to privacy); but see Borucki v. Ryan, 827 F.2d 836, 

 7   840‐42, 848‐49 (1st Cir. 1987) (finding the constitutional right to privacy not 

 8   clearly established for qualified immunity purposes); American Federation of 

 9   Government Employees, AFL‐CIO v. HUD, 118 F.3d 786, 791‐93 (D.C. Cir. 1997) 

10   (expressing doubt about the constitutional right to privacy in the non‐disclosure 

11   of personal information). Medical records contain such information. The 

12   Fourteenth Amendment’s due process clause thus protects individuals in this 

13   circuit from arbitrary intrusions into their medical records. 

14          

15         2. Weighing Interests in the Privacy of Medical Records 

16         Although it is fundamental, the constitutional right to privacy is not 

17   absolute. In various situations the government has a legitimate interest in 


                                                16
 1   accessing and even publicizing medical records. See Doe, 15 F.3d at 269; Barry v. 

 2   City of New York, 712 F.2d 1554, 1559 (2d Cir. 1983); Westinghouse, 638 F.2d at 578‐

 3   79; Seaton, 610 F.3d at 534. A constitutional violation only occurs when the 

 4   individual’s interest in privacy outweighs the government’s interest in breaching 

 5   it. 

 6          How we weigh these interests depends on whether a government acts in 

 7   its legislative or executive capacity.2  When evaluating legislative action, we 

 8   apply intermediate scrutiny, in which we ask whether a given statute is 

 9   substantially related to an important government interest. We then balance that 

10   interest against the individual’s interest in privacy. Barry, 712 F.2d at 1559; Doe, 

11   15 F.3d at 269‐70; Powell v. Schriver, 175 F.3d 107, 112 & n.2 (2d. Cir. 1999); 

12   O’Connor, 426 F.3d at 202‐03; see also Westinghouse, 638 F.2d at 578 (articulating 

13   seven factors to balance). When evaluating executive action that does not involve 

14   penological interests,3 the test is different: we ask whether the action was so 



     2 This is a functional differentiation. Some types of executive actions, such as 
     regulations, are more akin to legislative action. 
     3 When dealing with the lessened privacy interests of a prison inmate, we give 

     decisive weight to whether a privacy invasion was “reasonably related to 
     legitimate penological interests.” Powell, 175 F.3d at 112.
                                               17
 1   “arbitrary” as to “shock the conscience.” O’Connor, 426 F.3d at 203.  “[W]hether 

 2   executive action shocks the conscience depends on the state of mind of the 

 3   government actor and the context in which the action was taken.” Id. “[M]ere 

 4   negligence” is not enough—indeed, “only the most egregious official conduct” 

 5   shocks our consciences—but how egregious conduct has to be in order to be 

 6   shocking depends on a context‐specific balancing. Id. Malicious invasions of 

 7   privacy are constitutionally unacceptable even in the face of weak individual 

 8   privacy interests. See County of Sacramento v. Lewis, 523 U.S. 833, 849 (1998) 

 9   (discussing such a situation). Stronger privacy interests will be required to hold 

10   executive actors liable who acted with less culpable mental states. 

11         Before discussing the balancing in this case in more detail, we note that 

12   most situations in which a government actor accesses an individual’s personal 

13   information will not require the application of a balancing test to determine 

14   whether a due process violation has occurred. For instance, when an individual 

15   gives informed consent to the access or publication of certain information and an 

16   official has acted within the scope of that consent, there is no ground for 

17   constitutional challenge. A government actor cannot invade the zone of privacy 


                                              18
 1   if they have been invited in. As well, if a breach of privacy takes a form courts 

 2   have previously approved—whether because it is pursuant to a legislative 

 3   scheme that has passed constitutional muster or because it fits the pattern of case 

 4   law—there will be no need for case‐by‐case balancing. Conversely, we can 

 5   summarily condemn invasions of privacy that take a form that has already been 

 6   found to violate due process. 

 7         But Appellants have not consented to the access of their medical records, 

 8   and that access does not take a form that has been previously adjudicated.  

 9   So a context‐specific balancing is necessary. In front of us are executive actions, 

10   and Appellants are not prisoners. So the invasions of privacy here should be 

11   evaluated according to a shocks‐the‐conscience standard. 

12         In defining the privacy interest in various medical conditions, we “proceed 

13   on a case‐by‐case basis,” examining all of the relevant factors. Matson, 631 F.3d at 

14   66‐67. Relying on our decision in Matson, the district court found that if a plaintiff 

15   has a sufficiently weak individual interest in privacy, the inquiry should end 

16   there. Hancock, 2016 WL 8732374, at *3‐4. On appeal, Appellees defend the 

17   proposition that only sufficiently serious medical conditions give rise to any 


                                               19
 1   interest in privacy at all. Turning Matson’s reasoning into a threshold test extends 

 2   it too far. We have never held, in Matson or elsewhere, that only medical records 

 3   documenting conditions of sufficient gravity and stigma may qualify for 

 4   constitutional privacy protection. Unlike in the Fourth Amendment context, the 

 5   substantive due process inquiry does not require an individual to establish the 

 6   reasonability of their particular interest in privacy before any consideration of 

 7   the government’s interest becomes relevant. Cf. Terry v. Ohio, 392 U.S. 1, 9 (1968) 

 8   (recognizing a search “wherever an individual may harbor a reasonable 

 9   ‘expectation of privacy’” (citation omitted)). Instead, substantive due process 

10   protects privacy in certain categories of personal information—medical 

11   information, as relevant here. An individual’s interest in maintaining such 

12   information confidential is not just presumptively reasonable, it is fundamental. 

13         The strength of a privacy interest is relevant to the due process inquiry, but 

14   only in service of determining how strong the government’s interest must be in 

15   order to override it. Appellees and the district court correctly point out that we 

16   have repeatedly found that determining the strength of this interest requires 

17   taking into account the seriousness of the condition and the stigma associated 


                                              20
 1   with it. Matson, 631 F.3d at 66‐67; O’Connor, 426 F.3d at 201; Powell, 175 F.3d at 

 2   111; Doe, 15 F.3d at 267. Yet other factors may also be relevant, such as how 

 3   detailed the medical record is and whether a plaintiff has done anything to 

 4   indicate a lack of interest in privacy in the particular information at issue. Cf. 

 5   Matson, 631 F.3d at 66 (discussing how disclosure to a third party may lower 

 6   one’s reasonable interest in preventing further disclosure). 

 7         And the inquiry cannot be overly individualized. An interest in medical 

 8   privacy derives not just from a desire to keep one’s medical conditions to oneself 

 9   but also from the collectively enjoyed benefit of being able to expect 

10   confidentiality from those we depend on to care for the most intimate aspects of 

11   our lives. A slow drip of exceptions would erode that protection beyond 

12   recognition. As such, the interest in preserving the integrity of the doctor‐patient 

13   relationship deserves its own consideration independent of the idiosyncrasies of 

14   the privacy invasion. The baseline individual interest in privacy is thus 

15   substantially greater than whatever the least abashed individual would allow. 

16         Some clarification of Matson is apparently in order. That case dealt with a 

17   school that had publicly disclosed the fibromyalgia of its music teacher as part of 


                                               21
 1   a report on her alleged abuse of the school’s sick leave policy. Matson, 631 F.3d at 

 2   60‐61. Matson, the music teacher, would take sick leave and then work at another 

 3   job as an orchestra conductor. Id. at 58‐59. Her doctor attested to the school that 

 4   Matson’s fibromyalgia was brought on by the stressful teaching environment, 

 5   but that she was able to conduct elsewhere without incident. Id. at 59‐60.  We 

 6   found that the fact that Matson had already disclosed her medical condition to 

 7   the school and the fact that it was not as serious or stigmatizing as other 

 8   conditions made her privacy interest relatively weak. Id. at 66 (differentiating the 

 9   government’s disclosure of information already obtained from plaintiff’s 

10   disclosure to the government), id. at 67‐68 (discussing the relative seriousness 

11   and stigma of fibromyalgia). Then we weighed this weak interest against the 

12   school’s interest in issuing public reports as part of its “efforts to eradicate fraud, 

13   misconduct, conflicts of interest, and other wrongdoing.” Id. at 68 (internal 

14   citation and quotation marks omitted). We found that, in these circumstances, 

15   Matson’s privacy rights were not violated. 

16         Before Matson, we had suggested that the strength of the privacy interest 

17   mattered, but we had never actually been confronted with a weak privacy 


                                               22
 1   interest. So we had not had the opportunity to articulate how it might affect the 

 2   analysis. See, e.g., Doe, 15 F.3d at 267; Powell, 175 F.3d at 111; O’Connor, 426 F.3d at 

 3   201. Matson gave us the chance to clarify that when the strength of a privacy 

 4   interest is sufficiently weak it can be overwhelmed by even a moderately strong 

 5   government interest in disclosure. We emphasized the relatively less serious 

 6   nature of the disorder and the lack of discrimination associated with it both 

 7   because they were the most important factors in our balancing and because they 

 8   were what was novel about the case. But they were not the only factors we 

 9   considered, let alone the threshold beyond which no further analysis could pass.  

10         Accepting the district court’s alternative reading of Matson would leave us 

11   with an illogical doctrine that implicitly abrogates our previous decisions. If the 

12   right to privacy were to depend exclusively on the seriousness of the condition 

13   one seeks to keep private, medical records would not truly be protected from 

14   arbitrary government intrusion. It would be as if the First Amendment allowed a 

15   particular person to speak only if they could show they have something worth 

16   saying, or if the Fourth Amendment required individuals to obtain warrants to 

17   prevent the government from searching their effects. 


                                                23
 1         Our decisions before Matson avoided these absurdities by making clear 

 2   that we apply a balancing test to the government’s collection or publication of all 

 3   medical records. Doe, 15 F.3d at 267 (“[T]here are few matters that are quite so 

 4   personal as the status of one’s health.”); Powell, 175 F.3d at 111 (finding that some 

 5   medical conditions present a “particularly compelling” privacy interest, but all 

 6   disorders present some interest); O’Connor, 426 F.3d at 201 (accord). Whether we 

 7   apply intermediate scrutiny or a shocks‐the‐conscience test, we focus on the 

 8   government’s interests in the information contained in the records and the manner 

 9   in which those interests might be achieved. See, e.g., Barry, 712 F.2d at 1559; Doe, 

10   15 F.3d at 269‐70; Powell, 175 F.3d at 112 n.2; O’Connor, 426 F.3d at 202‐03. The 

11   strength of the individual interest in privacy adjusts how closely we scrutinize 

12   the government’s offered justifications. Matson did nothing to limit these 

13   decisions—nor could it have. It took them for granted. It can only be understood 

14   in light of them. 

15         All of which is to say that identifying the strength of the individual interest 

16   in privacy never ends the analysis. A court applying a shocks‐the‐conscience test 

17   must always examine the executive branch’s interest in breaching that privacy. 


                                              24
 1   The stronger the individual interest, the more compelling the government actor’s 

 2   reasons must be. But even the weakest privacy interests cannot be overridden by 

 3   totally arbitrary or outright malicious government action. How to judge the 

 4   government action depends on context. Government actors with specific duties 

 5   of confidentiality or care unreasonably invade privacy even if they do so as a 

 6   result of “deliberate indifference.” See O’Connor, 426 F.3d at 203. On the other 

 7   hand, a government actor in the midst of a pressing emergency might not be 

 8   liable for even deliberate invasions. See id. Public disclosure (or threatened public 

 9   disclosure) of medical information is a greater breach of privacy than one 

10   unauthorized government employee viewing the information, so greater care 

11   should be expected to prevent the former. Cf. Westinghouse, 638 F.2d at 578‐79 

12   (presenting a number of factors to be balanced in a legislative context).4 



     4 Several district court decisions after Matson have found the seriousness and 
     stigma associated with the medical conditions contained in the records in front of 
     them were dispositive in finding against Appellants who were claiming privacy 
     violations. It may be worth clarifying how our opinion affects two of them, 
     which we think are representative. In Miron v. Town of Stratford, 976 F. Supp. 2d 
     120 (D. Conn. 2013), the District of Connecticut, applying a shocks‐the‐conscience 
     test, balanced the privacy interest of a police officer whose medical records were 
     leaked by other police officials seeking to show that he benefited from nepotism 
     due to his lack of fitness to serve against the public interest in knowing about 
                                               25
1         3. Application to this Case 

2         Because the district court treated the seriousness and stigma of each of 

3   Appellants’ diagnoses as a threshold inquiry without considering other aspects 

4   of the individual privacy interest or the government’s intent, we vacate this 

5   aspect of its judgment and remand it for reconsideration. 

6         While stigma is not the only consideration, it can still be relevant to the 

7   analysis. It is neither necessary nor appropriate for us to determine at this stage 

8   in the proceeding whether any condition in Appellants’ medical records is in fact 

9   stigmatizing. However, during the course of its reconsideration, the district court 




    such misconduct. This opinion is entirely consistent with our discussion in the 
    foregoing. In contrast, Barnes v. Abdullah, No. 11 Civ. 8168 (RA), 2013 WL 3816586 
    (S.D.N.Y. July 22, 2013), comes to the right conclusion using reasoning that does 
    not jibe with today’s opinion. There, the Southern District of New York found 
    that arthritis and painkiller use were not sufficiently serious or stigmatizing to 
    merit constitutional protection for the medical records that reflected them. We 
    agree that Barnes’s interests in privacy were relatively weak in part for the 
    reasons discussed by the district court, and we agree that Barnes’s constitutional 
    right to privacy was not violated. However, we only come to the latter 
    conclusion after considering the penological interests furthered by the disclosure. 
    Barnes’s claimed violation was that his medical records had been shared with a 
    non‐physician prison staff member who helped to run a substance abuse 
    rehabilitation program. This was a minor infringement on privacy that clearly 
    served the penological interest in rehabilitation. 
                                              26
 1   should re‐examine whether it might have set the threshold too high in evaluating 

 2   Appellants’ conditions. 

 3         It is at least as important for the district court to consider the fact that 

 4   Appellees offer no reasons, as far as we can tell, for the breaches of 

 5   confidentiality. It seems clear that the breaches did not result from inattention, 

 6   but beyond that it is a disputed issue of fact why they occurred. If Appellants’ 

 7   proffered explanation that Mahar maliciously looked at the records to aid in his 

 8   enforcement of sick leave policies or to gain leverage over his employees is 

 9   correct, that would likely shock our consciences. It would do so regardless of the 

10   contents of Appellants’ medical records. It is exactly this type of abuse of state 

11   power that protecting the zone of privacy is meant to guard against. 

12          

13         C. Qualified Immunity 

14         Because the district court found that Appellants did not have claims under 

15   the Fourteenth Amendment, it did not have to pass on whether the individual 

16   Appellees were entitled to qualified immunity from those claims. In remanding 

17   the case, we instruct the court to determine whether Mahar, Hetman, and/or 


                                               27
 1   Young are entitled to it.5 We note that on a summary judgment motion, facts are 

 2   to be interpreted most favorably to non‐movants, i.e. Appellants in this case. We 

 3   have just discussed how their version of the facts plausibly alleges a violation of 

 4   a constitutional right. That leaves only the question of whether that right was 

 5   clearly established at the time of the alleged violation, keeping in mind that 

 6   qualified immunity law does not require a case on point concerning the exact 

 7   permutation of facts that state actors confront in order to establish a clear 

 8   standard for their behavior. See Scott v. Fischer, 616 F.3d 100, 105 (2d Cir. 2010). 

 9          

10                                      CONCLUSION 

11         Because we find that the district court improperly balanced the interests in 

12   this case, we VACATE its summary judgment order and REMAND for further 

13   proceedings consistent with this opinion, including a consideration of whether 

14   the individual Appellees are entitled to qualified immunity. We also AFFIRM the 




      Appellees Mahar and Hetman raise qualified immunity in their brief, but 
     5

     Young does not. Because we do not rule on the question here for any of the 
     Appellees, we do not treat Young’s claim to qualified immunity as waived. 
                                            28
1   district court’s finding that Appellants failed to make out a claim under the 

2   CFAA. 




                                            29
