クーパンの3,300万人分の個人情報流出事態…SJKPが米国で集団訴訟を提起した理由とは？

Coupang Inc.は米国法に基づいて設立された法人であり、韓国法人の持分を100%保有する親会社です。

これは、企業の方針決定およびガバナンス構造が米国法体系の適用を受けるという点で重要な意味を持ちます。

SJKPが米国本社を相手取り、米国の裁判所に訴訟を提起した背景には、次のような要素が作用したものとみられます。

まず、米国法には、個人情報保護義務の違反について幅広い責任を認める傾向があります。

次に、懲罰的損害賠償制度が存在するため、重大な過失や管理上の怠慢について実質的な責任を問うことができます。

さらに、米国民事訴訟の中核的手続である「ディスカバリー」制度を通じ、内部の意思決定資料を強制的に確保することが可能です。

国境を越えたデータ侵害事件で実質的な責任を究明するためには、損害賠償請求にとどまらず、意思決定構造を客観的な証拠によって確認できる手続上の手段が必要です。

この点で、米国での訴訟は戦略的な司法上の戦場の一つとして評価されています。

注目すべき点は、Coupang Inc.だけでなく、キム・ボムソク議長も共同被告として明記されたことです。

米国連邦法および関連判例によれば、企業の違法行為が経営陣による直接の承認、実質的な支配または重大な管理上の怠慢によって発生した場合、当該役員は法人とは別に個人責任を負う可能性があります。

SJKP側は、キム・ボムソク議長がセキュリティ方針と予算に関する最終決定権者として、内部統制の失敗について実質的な責任を負うべきだとの法理上の見解を示しています。

訴状には、過失（Negligence）、過失自体の原則（Negligence Per Se）、不当利得（Unjust Enrichment）、黙示契約違反、ニューヨーク州法令違反などの事由が明記されました。

この事件は、最高経営責任者のデータセキュリティに関する責任をどこまで認めるのかという重要な法的争点を提起しています。

米国での訴訟において最も重要な手続上の仕組みは、ディスカバリーです。

これにより、内部メール、議事録、セキュリティ脆弱性報告書、予算配分資料など、さまざまな文書の提出を求めることができます。

社内でセキュリティ上の脆弱性が認識されていたにもかかわらず、コスト削減または収益性の維持を理由に改善が遅れたという事情が確認された場合、単なる過失を超え、重大な管理上の怠慢と評価されます。

この段階で、問題は企業ガバナンスに構造的な失敗があったか否かを判断する問題へと広がることになり、今後の類似事件において重要な先例として作用する可能性があります。

韓国の民事訴訟が主に金銭的賠償に焦点を当てるのとは異なり、米国の裁判所は、宣言的救済（Declaratory Relief）と差止命令（Injunctive Relief）を通じて企業に具体的な行為を強制することができます。

今回の訴訟では、最高水準のセキュリティシステムの構築、多要素認証の義務化、長期的な個人情報窃取モニタリングサービスの提供、脆弱な層に対する保護の強化などの措置が請求されました。

これは、企業のセキュリティ体制を構造的に再編することを目的としています。

衡平法上の救済は、事後的な賠償にとどまらず、再発防止を制度的に強制する手段であるという点に意義があります。

SJKPは、被害者のうちニューヨーク居住者を代表原告とする一方、韓国居住の被害者を別個のサブクラスに設定しました。

サブクラスは、居住地や適用法が異なる集団の権利を手続上保護するための制度です。

これにより、韓国の消費者も米国の裁判所の判決に基づく効力を共有でき、セキュリティ強化命令など、衡平法上の救済による恩恵も間接的に拡張される可能性があります。

これは、国境を越えた消費者保護戦略という点で注目に値します。

米国には懲罰的損害賠償制度があります。重大な過失が認められた場合、賠償額は大幅に増加します。

過去のTモバイルによる大規模な個人情報流出事件では、数億ドル規模の和解金に加え、セキュリティシステム強化のための別途の投資が約束されたことがあります。

本件でも、重大な管理上の怠慢が認められた場合、賠償額だけでなく、企業のセキュリティ体制全般に対する改善命令も併せて出される可能性があります。