CONTENTS
- 1. Почему американский суд стал площадкой для установления «реальной ответственности»
- - Стратегическое значение выбора юрисдикции
- - Расширение круга надлежащих ответчиков: правовые основания личной ответственности председателя Ким Бом Сока
- 2. Вопрос нарушения Общего закона штата Нью-Йорк о предпринимательской деятельности (N.Y. GBL §349)
- - Стратегия дискавери и установление сбоя в корпоративном управлении
- - Средства защиты по праву справедливости: значение декларативной защиты и судебного запрета
- - Стратегия группы (Class) и подкласса (Subclass)
- - Штрафные убытки и возможность создания прецедента
- 3. Каковы пределы ответственности руководства в цифровую эпоху?
1. Почему американский суд стал площадкой для установления «реальной ответственности»
В связи с недавним инцидентом в Coupang, при котором была подтверждена утечка персональных данных примерно 33 миллионов человек, в Республике Корея и за ее пределами активно обсуждаются правовые вопросы.
Наряду с подготовкой гражданских и уголовных процедур в Республике Корея американская юридическая фирма SJKP, LLP подала отдельный коллективный иск в Федеральный окружной суд Восточного округа штата Нью-Йорк (EDNY).
В связи с этим возник вопрос, почему для предъявления иска к компании, получающей большую часть выручки в Республике Корея, был выбран американский суд.
По заявлению SJKP, основная цель иска состоит в привлечении американской материнской компании Coupang Inc. к реальной ответственности и ее понуждении к структурному совершенствованию системы управления информационной безопасностью.
Стратегическое значение выбора юрисдикции
Coupang Inc. является юридическим лицом, учрежденным по законодательству США, и материнской компанией, владеющей 100% долей корейского юридического лица.
Это имеет существенное значение, поскольку принятие решений относительно корпоративной политики и структура корпоративного управления подпадают под действие правовой системы США.
По всей видимости, решение SJKP предъявить иск к американской головной компании в суде США было обусловлено следующими обстоятельствами.
Во-первых, законодательство США имеет тенденцию признавать широкий объем ответственности за нарушение обязанностей по защите персональных данных.
Во-вторых, система штрафных убытков позволяет возлагать существенную ответственность за грубую неосторожность или серьезные упущения в управлении.
В-третьих, ключевая процедура американского гражданского судопроизводства — «дискавери» — позволяет принудительно получать внутренние материалы о принятии решений.
Для установления реальной ответственности по делам о трансграничной утечке данных недостаточно требования о возмещении ущерба: необходимы процессуальные средства, позволяющие исследовать структуру принятия решений на основании объективных доказательств.
С этой точки зрения судебное разбирательство в США рассматривается как стратегическая судебная площадка.
Расширение круга надлежащих ответчиков: правовые основания личной ответственности председателя Ким Бом Сока
Особого внимания заслуживает то, что соответчиком наряду с Coupang Inc. указан председатель Ким Бом Сок.
Согласно федеральному законодательству и соответствующей судебной практике США, если противоправные действия компании стали следствием прямого одобрения руководства, фактического контроля или серьезных упущений в управлении, соответствующее должностное лицо может нести личную ответственность отдельно от юридического лица.
SJKP придерживается правовой позиции, согласно которой Ким Бом Сок как лицо, обладающее полномочиями принимать окончательные решения по вопросам политики безопасности и бюджета, должен нести реальную ответственность за недостатки внутреннего контроля.
В исковом заявлении указаны такие основания, как неосторожность (вина) (Negligence), небрежность per se (Negligence Per Se), неосновательное обогащение (Unjust Enrichment), нарушение подразумеваемого договора и нарушение законодательства штата Нью-Йорк.
Это дело ставит важный правовой вопрос о том, до каких пределов может признаваться ответственность высшего руководителя за безопасность данных.
2. Вопрос нарушения Общего закона штата Нью-Йорк о предпринимательской деятельности (N.Y. GBL §349)
Статья 349 Общего закона штата Нью-Йорк о предпринимательской деятельности запрещает действия или практики, вводящие потребителей в заблуждение.
Если предоставленная компанией потребителям информация не соответствует действительности или способна ввести в заблуждение, такие действия могут быть признаны противоправными.
Если Coupang последовательно создавала у общественности впечатление о наличии надлежащей системы безопасности, фактически применявшаяся система, значительно не соответствующая этому представлению, может быть признана вводящей в заблуждение практикой.
В таком случае правовая ответственность может выйти за рамки проблемы системной ошибки и распространиться на всю структуру принятия решений, отвечавшую за политику безопасности.
Речь идет не только об утечке данных, но и о том, было ли обоснованным созданное компанией у потребителей «доверие к безопасности».
Стратегия дискавери и установление сбоя в корпоративном управлении
В американском судебном разбирательстве важнейшим процессуальным механизмом является дискавери.
Посредством этой процедуры можно требовать представления различных документов, включая внутреннюю электронную переписку, протоколы совещаний, отчеты об уязвимостях безопасности и материалы о распределении бюджета.
Если будет установлено, что выявленные внутри компании уязвимости безопасности не устранялись своевременно ради сокращения расходов или сохранения рентабельности, это может быть расценено не как простая неосторожность, а как серьезное упущение в управлении.
На этом этапе вопрос расширяется до оценки наличия структурного сбоя в корпоративном управлении, что может стать важным прецедентом для аналогичных дел в будущем.
Средства защиты по праву справедливости: значение декларативной защиты и судебного запрета
В отличие от гражданского судопроизводства в Республике Корея, преимущественно ориентированного на денежное возмещение, американский суд может посредством декларативной судебной защиты (Declaratory Relief) и судебного запрета (Injunctive Relief) обязать компанию совершить конкретные действия.
В настоящем иске заявлены требования о создании системы безопасности высшего уровня, обязательном применении многофакторной аутентификации, предоставлении долгосрочной услуги мониторинга кражи персональных данных и усилении защиты уязвимых групп.
Цель этих мер состоит в структурном преобразовании системы безопасности компании.
Значение средств судебной защиты по праву справедливости заключается в том, что они не ограничиваются последующим возмещением, а служат механизмом институционального предотвращения повторных нарушений.
Стратегия группы (Class) и подкласса (Subclass)
SJKP указала жителя Нью-Йорка в качестве представителя истцов, выделив пострадавших, проживающих в Республике Корея, в отдельный подкласс.
Подкласс представляет собой процессуальный механизм защиты прав группы, отличающейся местом проживания или применимым законодательством.
Благодаря этому действие решения американского суда может распространиться и на потребителей из Республики Корея, а преимущества средств защиты по праву справедливости, включая предписание об усилении безопасности, также могут быть косвенно распространены на них.
Этот подход представляет интерес как стратегия трансграничной защиты потребителей.
Штрафные убытки и возможность создания прецедента
В США существует система штрафных убытков. При признании грубой неосторожности размер возмещения может существенно увеличиться.
Ранее по делу о масштабной утечке персональных данных компании T-Mobile было заключено мировое соглашение на сумму в сотни миллионов долларов, а также принято отдельное обязательство инвестировать средства в усиление системы безопасности.
В настоящем деле при признании серьезных упущений в управлении наряду с увеличением размера возмещения может быть вынесено предписание о комплексном совершенствовании системы безопасности компании.
3. Каковы пределы ответственности руководства в цифровую эпоху?
Утечка персональных данных 33 миллионов человек может быть расценена как проблема системы внутреннего контроля и структуры корпоративного управления.
Ожидается, что этот иск станет поводом подтвердить невозможность уклонения глобальной компании от ответственности со ссылкой на государственные границы, а также важной площадкой для правового обсуждения прямой связи между решениями высшего руководства и защитой персональных данных.
В цифровую эпоху защита персональных данных является не факультативной статьей расходов, а ключевым фактором устойчивости компании.
Настоящее дело вновь ставит вопрос о пределах такой ответственности.
Дэрюн в рамках сотрудничества с SJKP оказывает комплексные консультационные услуги по вопросам регулирования защиты персональных данных в Республике Корея и за рубежом.
В частности, компаниям оказывается поддержка в предварительном управлении правовыми рисками посредством таких мер, как ▲диагностика системы управления защитой персональных данных ▲проверка исполнения руководством надзорных обязанностей ▲совершенствование политики безопасности и внутренних правил ▲проектирование системы внутреннего контроля, соответствующей требованиям к компаниям, зарегистрированным на иностранных биржах ▲разработка сценариев реагирования на нарушения .
При защите персональных данных предварительное проектирование имеет значительно большее значение, чем последующее реагирование.
Компаниям с глобальной структурой деятельности требуется комплексное консультирование с учетом не только законодательства Республики Корея, но и требований США и других иностранных юрисдикций.
В такой сложной среде Дэрюн уделяет основное внимание проверке структурных рисков компаний и разработке систематических профилактических мер, направленных на предотвращение повторения аналогичных инцидентов.
При необходимости можно воспользоваться услугой Дэрюн 🔗записи на юридическую консультацию с корпоративным юристом для управления возможными рисками.
