CONTENIDO
- 1. ¿Por qué los tribunales estadounidenses se convirtieron en el foro para exigir la «responsabilidad de fondo»?
- - Importancia estratégica de la elección de la jurisdicción
- - Ampliación de la «legitimación pasiva»: fundamento jurídico de la responsabilidad personal del presidente Kim Beom-seok
- 2. Cuestiones relativas a la infracción de la Ley General de Negocios del Estado de Nueva York (N.Y. GBL §349)
- - Estrategia de discovery y determinación de los fallos de gobernanza
- - Remedios de equidad: significado de la tutela declarativa y las órdenes judiciales
- - Estrategia de clase (Class) y subclase (Subclass)
- - Daños punitivos y posibilidad de establecer un precedente
- 3. ¿Cuál es el alcance de la responsabilidad empresarial en la era digital?
1. ¿Por qué los tribunales estadounidenses se convirtieron en el foro para exigir la «responsabilidad de fondo»?
La reciente confirmación de una filtración de datos personales que afecta a unos 33 millones de personas en Coupang ha suscitado un intenso debate jurídico tanto en Corea del Sur como en otros países.
Mientras en Corea del Sur se preparan procedimientos civiles y penales, el bufete estadounidense SJKP, LLP presentó una demanda colectiva independiente ante el Tribunal de Distrito de los Estados Unidos para el Distrito Este de Nueva York (EDNY).
Esta decisión ha planteado la cuestión de por qué se eligieron los tribunales estadounidenses para demandar a una empresa que obtiene la mayor parte de sus ingresos en Corea del Sur.
SJKP señaló que el objeto principal de la demanda es exigir responsabilidad efectiva a Coupang Inc., la empresa matriz estadounidense de Coupang, y obligarla a mejorar estructuralmente su gobernanza de seguridad.
Importancia estratégica de la elección de la jurisdicción
Coupang Inc. es una sociedad constituida conforme a la legislación estadounidense y la empresa matriz que posee el 100 % del capital de la sociedad coreana.
Esta circunstancia resulta relevante porque las decisiones sobre las políticas de la empresa y su estructura de gobierno están sujetas al ordenamiento jurídico estadounidense.
Al parecer, los siguientes factores influyeron en la decisión de SJKP de demandar a la matriz estadounidense ante los tribunales de ese país.
En primer lugar, la legislación estadounidense tiende a reconocer una responsabilidad amplia por el incumplimiento de las obligaciones de protección de datos personales.
En segundo lugar, existe un régimen de daños punitivos que permite exigir una responsabilidad efectiva en caso de negligencia grave o deficiencias importantes de supervisión.
En tercer lugar, el procedimiento de discovery, una parte esencial del proceso civil estadounidense, permite obtener de manera forzosa documentación interna sobre la toma de decisiones.
Para determinar la responsabilidad efectiva en una vulneración transfronteriza de datos no basta con reclamar una indemnización. También se necesitan mecanismos procesales que permitan comprobar la estructura de toma de decisiones mediante pruebas objetivas.
Desde esta perspectiva, el litigio en Estados Unidos se considera un foro judicial estratégico.
Ampliación de la «legitimación pasiva»: fundamento jurídico de la responsabilidad personal del presidente Kim Beom-seok
Un aspecto destacable es que no solo Coupang Inc., sino también su presidente, Kim Beom-seok, figura como codemandado.
Con arreglo a la legislación federal estadounidense y a la jurisprudencia pertinente, cuando la conducta ilícita de una empresa deriva de la aprobación directa, el control efectivo o una grave falta de supervisión por parte de sus directivos, estos pueden incurrir en responsabilidad personal independiente de la sociedad.
SJKP sostiene que Kim Beom-seok, como responsable último de las decisiones sobre la política y el presupuesto de seguridad, debe asumir una responsabilidad efectiva por el fallo de los controles internos.
La demanda invoca como fundamentos la negligencia (Negligence), la negligencia per se (Negligence Per Se), el enriquecimiento injusto (Unjust Enrichment), el incumplimiento de un contrato tácito y la infracción de la legislación del Estado de Nueva York, entre otros.
Este asunto plantea una cuestión jurídica relevante: hasta dónde debe extenderse la responsabilidad del máximo responsable ejecutivo en materia de seguridad de los datos.
2. Cuestiones relativas a la infracción de la Ley General de Negocios del Estado de Nueva York (N.Y. GBL §349)
La sección 349 de la Ley General de Negocios del Estado de Nueva York prohíbe los actos o prácticas que engañen a los consumidores.
Cuando la información facilitada por una empresa a los consumidores no se ajusta a la realidad o puede inducir a error, la conducta puede considerarse ilícita.
Si Coupang hubiera transmitido de forma continuada la impresión de contar con sistemas de seguridad adecuados, la existencia de una diferencia considerable entre esa imagen y los sistemas aplicados en la práctica podría constituir una práctica engañosa.
En ese caso, la responsabilidad jurídica podría dejar de limitarse a un error del sistema y extenderse al conjunto de la estructura decisoria encargada de la política de seguridad.
En definitiva, más allá de la filtración de datos, se cuestiona si estaba justificada la «confianza en la seguridad» que la empresa transmitió a los consumidores.
Estrategia de discovery y determinación de los fallos de gobernanza
El mecanismo procesal más importante en los litigios estadounidenses es el discovery.
Este procedimiento permite solicitar la aportación de diversos documentos, como correos electrónicos internos, actas de reuniones, informes sobre vulnerabilidades de seguridad y documentación relativa a la asignación presupuestaria.
Si se comprobara que, pese a conocerse internamente las vulnerabilidades de seguridad, su corrección se retrasó para reducir costes o mantener la rentabilidad, la conducta podría calificarse no solo de mera negligencia, sino de grave falta de supervisión.
En ese punto, la cuestión se amplía a determinar si existió un fallo estructural en la gobernanza empresarial, lo que podría constituir un precedente relevante para futuros casos similares.
Remedios de equidad: significado de la tutela declarativa y las órdenes judiciales
A diferencia de los procesos civiles en Corea del Sur, centrados principalmente en la indemnización económica, los tribunales estadounidenses pueden obligar a una empresa a adoptar medidas concretas mediante la tutela declarativa (Declaratory Relief) y órdenes judiciales de hacer o no hacer (Injunctive Relief).
En esta demanda se solicitaron medidas como la implantación de sistemas de seguridad del máximo nivel, la obligatoriedad de la autenticación multifactor, la prestación de servicios prolongados de vigilancia frente a la suplantación de identidad y el refuerzo de la protección de los colectivos vulnerables.
Estas medidas tienen por objeto reestructurar el sistema de seguridad de la empresa.
Los remedios de equidad resultan relevantes porque no se limitan a una indemnización posterior, sino que constituyen un medio para imponer institucionalmente medidas destinadas a evitar que los hechos se repitan.
Estrategia de clase (Class) y subclase (Subclass)
SJKP designó a una persona residente en Nueva York como demandante representante y estableció a los afectados residentes en Corea del Sur como una subclase independiente.
La subclase es un mecanismo destinado a proteger procesalmente los derechos de grupos con distintos lugares de residencia o sujetos a legislaciones diferentes.
De este modo, los consumidores coreanos también podrían beneficiarse de los efectos derivados de una sentencia de los tribunales estadounidenses, mientras que los beneficios de los remedios de equidad, como una orden de reforzar la seguridad, podrían extenderse indirectamente a ellos.
Este planteamiento destaca como estrategia transfronteriza de protección de los consumidores.
Daños punitivos y posibilidad de establecer un precedente
Estados Unidos cuenta con un régimen de daños punitivos. Si se reconoce la existencia de negligencia grave, la cuantía de la indemnización puede aumentar considerablemente.
En una filtración masiva de datos personales sufrida anteriormente por T-Mobile, se alcanzó un acuerdo por varios cientos de millones de dólares, acompañado de un compromiso independiente de inversión para reforzar los sistemas de seguridad.
También en este asunto, si se reconociera una grave falta de supervisión, podría ordenarse una mejora general de los sistemas de seguridad de la empresa, además de incrementarse la cuantía de la indemnización.
3. ¿Cuál es el alcance de la responsabilidad empresarial en la era digital?
La filtración de los datos personales de 33 millones de personas puede considerarse un problema relacionado con los sistemas de control interno y la estructura de gobernanza de una empresa.
Se prevé que esta demanda sirva para examinar si una empresa global puede eludir su responsabilidad por razones territoriales y constituya un foro relevante para debatir jurídicamente que las decisiones del máximo responsable ejecutivo están directamente vinculadas a la protección de los datos personales.
En la era digital, la protección de los datos personales no es un coste opcional, sino un elemento esencial para la supervivencia empresarial.
Este asunto vuelve a plantear cuál es el alcance de esa responsabilidad.
Daeryun Sociedad de Abogados presta, sobre la base de su sistema de colaboración con SJKP, asesoramiento integral sobre la normativa de protección de datos personales aplicable en Corea del Sur y en otros países.
En concreto, ayuda a las empresas a gestionar preventivamente los riesgos jurídicos mediante servicios como ▲la evaluación de la gobernanza de protección de datos personales ▲la revisión de los deberes de supervisión de los directivos ▲la actualización de las políticas de seguridad y la normativa interna ▲el diseño de sistemas de control interno conformes con los estándares aplicables a las sociedades cotizadas en el extranjero ▲la elaboración de protocolos de respuesta ante vulneraciones .
En la protección de datos personales, la planificación preventiva es considerablemente más importante que la respuesta posterior.
En particular, las empresas con estructuras empresariales globales necesitan un asesoramiento integrado que tenga en cuenta no solo la legislación coreana, sino también la normativa estadounidense y la de otras jurisdicciones extranjeras.
En este entorno complejo, Daeryun centra su labor en revisar los riesgos estructurales de las empresas y diseñar estrategias preventivas sistemáticas para evitar que se repitan situaciones similares.
Si necesita asistencia, puede recurrir a la 🔗reserva de asesoramiento jurídico con abogados de empresa de Daeryun Sociedad de Abogados para revisar los posibles riesgos.
