Filtración de datos personales de 33 millones de personas en Coupang: ¿por qué presentó SJKP una demanda colectiva en Estados Unidos?

Coupang Inc. es una sociedad constituida conforme a la legislación estadounidense y la empresa matriz que posee el 100 % del capital de la sociedad coreana.

Esta circunstancia resulta relevante porque las decisiones sobre las políticas de la empresa y su estructura de gobierno están sujetas al ordenamiento jurídico estadounidense.

Al parecer, los siguientes factores influyeron en la decisión de SJKP de demandar a la matriz estadounidense ante los tribunales de ese país.

En primer lugar, la legislación estadounidense tiende a reconocer una responsabilidad amplia por el incumplimiento de las obligaciones de protección de datos personales.

En segundo lugar, existe un régimen de daños punitivos que permite exigir una responsabilidad efectiva en caso de negligencia grave o deficiencias importantes de supervisión.

En tercer lugar, el procedimiento de discovery, una parte esencial del proceso civil estadounidense, permite obtener de manera forzosa documentación interna sobre la toma de decisiones.

Para determinar la responsabilidad efectiva en una vulneración transfronteriza de datos no basta con reclamar una indemnización. También se necesitan mecanismos procesales que permitan comprobar la estructura de toma de decisiones mediante pruebas objetivas.

Desde esta perspectiva, el litigio en Estados Unidos se considera un foro judicial estratégico.

Un aspecto destacable es que no solo Coupang Inc., sino también su presidente, Kim Beom-seok, figura como codemandado.

Con arreglo a la legislación federal estadounidense y a la jurisprudencia pertinente, cuando la conducta ilícita de una empresa deriva de la aprobación directa, el control efectivo o una grave falta de supervisión por parte de sus directivos, estos pueden incurrir en responsabilidad personal independiente de la sociedad.

SJKP sostiene que Kim Beom-seok, como responsable último de las decisiones sobre la política y el presupuesto de seguridad, debe asumir una responsabilidad efectiva por el fallo de los controles internos.

La demanda invoca como fundamentos la negligencia (Negligence), la negligencia per se (Negligence Per Se), el enriquecimiento injusto (Unjust Enrichment), el incumplimiento de un contrato tácito y la infracción de la legislación del Estado de Nueva York, entre otros.

Este asunto plantea una cuestión jurídica relevante: hasta dónde debe extenderse la responsabilidad del máximo responsable ejecutivo en materia de seguridad de los datos.

El mecanismo procesal más importante en los litigios estadounidenses es el discovery.

Este procedimiento permite solicitar la aportación de diversos documentos, como correos electrónicos internos, actas de reuniones, informes sobre vulnerabilidades de seguridad y documentación relativa a la asignación presupuestaria.

Si se comprobara que, pese a conocerse internamente las vulnerabilidades de seguridad, su corrección se retrasó para reducir costes o mantener la rentabilidad, la conducta podría calificarse no solo de mera negligencia, sino de grave falta de supervisión.

En ese punto, la cuestión se amplía a determinar si existió un fallo estructural en la gobernanza empresarial, lo que podría constituir un precedente relevante para futuros casos similares.

A diferencia de los procesos civiles en Corea del Sur, centrados principalmente en la indemnización económica, los tribunales estadounidenses pueden obligar a una empresa a adoptar medidas concretas mediante la tutela declarativa (Declaratory Relief) y órdenes judiciales de hacer o no hacer (Injunctive Relief).

En esta demanda se solicitaron medidas como la implantación de sistemas de seguridad del máximo nivel, la obligatoriedad de la autenticación multifactor, la prestación de servicios prolongados de vigilancia frente a la suplantación de identidad y el refuerzo de la protección de los colectivos vulnerables.

Estas medidas tienen por objeto reestructurar el sistema de seguridad de la empresa.

Los remedios de equidad resultan relevantes porque no se limitan a una indemnización posterior, sino que constituyen un medio para imponer institucionalmente medidas destinadas a evitar que los hechos se repitan.

SJKP designó a una persona residente en Nueva York como demandante representante y estableció a los afectados residentes en Corea del Sur como una subclase independiente.

La subclase es un mecanismo destinado a proteger procesalmente los derechos de grupos con distintos lugares de residencia o sujetos a legislaciones diferentes.

De este modo, los consumidores coreanos también podrían beneficiarse de los efectos derivados de una sentencia de los tribunales estadounidenses, mientras que los beneficios de los remedios de equidad, como una orden de reforzar la seguridad, podrían extenderse indirectamente a ellos.

Este planteamiento destaca como estrategia transfronteriza de protección de los consumidores.

Estados Unidos cuenta con un régimen de daños punitivos. Si se reconoce la existencia de negligencia grave, la cuantía de la indemnización puede aumentar considerablemente.

En una filtración masiva de datos personales sufrida anteriormente por T-Mobile, se alcanzó un acuerdo por varios cientos de millones de dólares, acompañado de un compromiso independiente de inversión para reforzar los sistemas de seguridad.

También en este asunto, si se reconociera una grave falta de supervisión, podría ordenarse una mejora general de los sistemas de seguridad de la empresa, además de incrementarse la cuantía de la indemnización.