Fuite des données personnelles de 33 millions de personnes chez Coupang… Pourquoi SJKP a-t-il engagé une action collective aux États-Unis ?

Coupang Inc. est une société constituée selon le droit américain et la société mère détenant 100 % du capital de l’entité coréenne.

Ce point est important, car les décisions relatives aux politiques de l’entreprise et sa structure de gouvernance relèvent du système juridique américain.

La décision de SJKP d’engager une action devant une juridiction américaine contre le siège américain semble s’expliquer par les éléments suivants.

Premièrement, le droit américain tend à reconnaître une responsabilité étendue en cas de manquement aux obligations de protection des données personnelles.

Deuxièmement, l’existence de dommages-intérêts punitifs permet de mettre concrètement en cause la responsabilité en cas de faute grave ou de carence importante dans la gestion.

Troisièmement, la procédure de « discovery », qui constitue un élément central de la procédure civile américaine, permet d’obtenir de manière contraignante des documents internes relatifs à la prise de décision.

Pour établir la responsabilité effective dans une affaire de violation de données transfrontalière, il faut disposer, au-delà d’une demande d’indemnisation, de moyens procéduraux permettant d’examiner la structure décisionnelle à partir de preuves objectives.

À cet égard, la procédure américaine est considérée comme un terrain judiciaire stratégique.

Il convient de relever que le président du conseil d’administration, Kim Beom-seok, a été désigné comme codéfendeur aux côtés de Coupang Inc.

Selon le droit fédéral américain et la jurisprudence pertinente, lorsqu’un acte illicite de l’entreprise résulte de l’approbation directe de ses dirigeants, de leur contrôle effectif ou d’une grave carence de gestion, le dirigeant concerné peut voir sa responsabilité personnelle engagée indépendamment de celle de la personne morale.

SJKP soutient que Kim Beom-seok, en sa qualité de décideur final concernant les politiques et le budget de sécurité, doit assumer une responsabilité effective dans la défaillance du contrôle interne.

La plainte invoque notamment la négligence (Negligence), la négligence per se (Negligence Per Se), l’enrichissement sans cause (Unjust Enrichment), la violation d’un contrat implicite et la violation de la législation de l’État de New York.

Cette affaire soulève une importante question juridique : jusqu’où peut s’étendre la responsabilité du dirigeant principal en matière de sécurité des données ?

La procédure de « discovery » constitue l’un des mécanismes procéduraux les plus importants dans les litiges américains.

Elle permet de demander la production de divers documents, notamment des courriels internes, des procès-verbaux de réunion, des rapports sur les vulnérabilités de sécurité et des documents relatifs à l’affectation du budget.

S’il est établi que des vulnérabilités de sécurité étaient connues en interne, mais que leur correction a été retardée pour réduire les coûts ou préserver la rentabilité, la situation pourrait être qualifiée non plus de simple négligence, mais de grave carence de gestion.

La question s’étendrait alors à l’existence éventuelle d’une défaillance structurelle de la gouvernance de l’entreprise, ce qui pourrait constituer un précédent important pour des affaires similaires.

Contrairement aux procédures civiles en République de Corée, qui portent principalement sur une indemnisation pécuniaire, les juridictions américaines peuvent imposer à une entreprise des mesures concrètes au moyen d’une mesure déclaratoire (Declaratory Relief) ou d’une injonction (Injunctive Relief).

Dans cette action, il est notamment demandé la mise en place de systèmes de sécurité du plus haut niveau, l’obligation d’utiliser une authentification multifacteur, la fourniture de services de surveillance à long terme contre l’usurpation d’identité et le renforcement de la protection des personnes vulnérables.

Ces mesures visent à restructurer en profondeur les dispositifs de sécurité de l’entreprise.

Les mesures de réparation en equity sont importantes en ce qu’elles ne se limitent pas à une indemnisation a posteriori, mais constituent un moyen d’imposer institutionnellement la prévention de nouveaux incidents.

SJKP a désigné un résident de New York comme demandeur représentant le groupe et constitué les victimes résidant en République de Corée en sous-groupe distinct.

Le sous-groupe est un mécanisme destiné à protéger, sur le plan procédural, les droits de personnes dont le lieu de résidence ou la loi applicable diffèrent.

Ce mécanisme pourrait permettre aux consommateurs coréens de bénéficier eux aussi des effets du jugement rendu par la juridiction américaine et d’étendre indirectement à leur profit les mesures de réparation en equity, notamment les injonctions visant à renforcer la sécurité.

Cette approche mérite l’attention en tant que stratégie transfrontalière de protection des consommateurs.

Le droit américain prévoit des dommages-intérêts punitifs. Si une faute grave est reconnue, le montant de l’indemnisation peut augmenter considérablement.

Dans une précédente affaire de fuite massive de données personnelles concernant T-Mobile, un accord portant sur plusieurs centaines de millions de dollars a été conclu et accompagné d’un engagement distinct à investir dans le renforcement des systèmes de sécurité.

Dans la présente affaire également, si une grave carence de gestion est reconnue, des mesures ordonnant l’amélioration de l’ensemble des dispositifs de sécurité de l’entreprise pourraient accompagner l’indemnisation.