Утечка персональных данных 33 миллионов человек из Coupang: почему SJKP подала коллективный иск в США?

Coupang Inc. является юридическим лицом, учрежденным по законодательству США, и материнской компанией, владеющей 100% долей корейского юридического лица.

Это имеет существенное значение, поскольку принятие решений относительно корпоративной политики и структура корпоративного управления подпадают под действие правовой системы США.

По всей видимости, решение SJKP предъявить иск к американской головной компании в суде США было обусловлено следующими обстоятельствами.

Во-первых, законодательство США имеет тенденцию признавать широкий объем ответственности за нарушение обязанностей по защите персональных данных.

Во-вторых, система штрафных убытков позволяет возлагать существенную ответственность за грубую неосторожность или серьезные упущения в управлении.

В-третьих, ключевая процедура американского гражданского судопроизводства — «дискавери» — позволяет принудительно получать внутренние материалы о принятии решений.

Для установления реальной ответственности по делам о трансграничной утечке данных недостаточно требования о возмещении ущерба: необходимы процессуальные средства, позволяющие исследовать структуру принятия решений на основании объективных доказательств.

С этой точки зрения судебное разбирательство в США рассматривается как стратегическая судебная площадка.

Особого внимания заслуживает то, что соответчиком наряду с Coupang Inc. указан председатель Ким Бом Сок.

Согласно федеральному законодательству и соответствующей судебной практике США, если противоправные действия компании стали следствием прямого одобрения руководства, фактического контроля или серьезных упущений в управлении, соответствующее должностное лицо может нести личную ответственность отдельно от юридического лица.

SJKP придерживается правовой позиции, согласно которой Ким Бом Сок как лицо, обладающее полномочиями принимать окончательные решения по вопросам политики безопасности и бюджета, должен нести реальную ответственность за недостатки внутреннего контроля.

В исковом заявлении указаны такие основания, как неосторожность (вина) (Negligence), небрежность per se (Negligence Per Se), неосновательное обогащение (Unjust Enrichment), нарушение подразумеваемого договора и нарушение законодательства штата Нью-Йорк.

Это дело ставит важный правовой вопрос о том, до каких пределов может признаваться ответственность высшего руководителя за безопасность данных.

В американском судебном разбирательстве важнейшим процессуальным механизмом является дискавери.

Посредством этой процедуры можно требовать представления различных документов, включая внутреннюю электронную переписку, протоколы совещаний, отчеты об уязвимостях безопасности и материалы о распределении бюджета.

Если будет установлено, что выявленные внутри компании уязвимости безопасности не устранялись своевременно ради сокращения расходов или сохранения рентабельности, это может быть расценено не как простая неосторожность, а как серьезное упущение в управлении.

На этом этапе вопрос расширяется до оценки наличия структурного сбоя в корпоративном управлении, что может стать важным прецедентом для аналогичных дел в будущем.

В отличие от гражданского судопроизводства в Республике Корея, преимущественно ориентированного на денежное возмещение, американский суд может посредством декларативной судебной защиты (Declaratory Relief) и судебного запрета (Injunctive Relief) обязать компанию совершить конкретные действия.

В настоящем иске заявлены требования о создании системы безопасности высшего уровня, обязательном применении многофакторной аутентификации, предоставлении долгосрочной услуги мониторинга кражи персональных данных и усилении защиты уязвимых групп.

Цель этих мер состоит в структурном преобразовании системы безопасности компании.

Значение средств судебной защиты по праву справедливости заключается в том, что они не ограничиваются последующим возмещением, а служат механизмом институционального предотвращения повторных нарушений.

SJKP указала жителя Нью-Йорка в качестве представителя истцов, выделив пострадавших, проживающих в Республике Корея, в отдельный подкласс.

Подкласс представляет собой процессуальный механизм защиты прав группы, отличающейся местом проживания или применимым законодательством.

Благодаря этому действие решения американского суда может распространиться и на потребителей из Республики Корея, а преимущества средств защиты по праву справедливости, включая предписание об усилении безопасности, также могут быть косвенно распространены на них.

Этот подход представляет интерес как стратегия трансграничной защиты потребителей.

В США существует система штрафных убытков. При признании грубой неосторожности размер возмещения может существенно увеличиться.

Ранее по делу о масштабной утечке персональных данных компании T-Mobile было заключено мировое соглашение на сумму в сотни миллионов долларов, а также принято отдельное обязательство инвестировать средства в усиление системы безопасности.

В настоящем деле при признании серьезных упущений в управлении наряду с увеличением размера возмещения может быть вынесено предписание о комплексном совершенствовании системы безопасности компании.