[Вклад] Национальная сертификация стала корпоративной безнаказанностью; нужен закон для «реальной ответственности»

Вслед за SK Telecom подозрения в утечке личной информации высказали и в YES24. Сразу после того, как стало известно об атаке с помощью программы-вымогателя 9-го числа, YES24 заявил, что «никакой утечки личной информации не было», но серьезность дела выявилась, когда Комитет по защите личной информации обнаружил ненормальные обстоятельства запроса информации о членах и начал расследование.

Этот инцидент — не просто инцидент со взломом. Неоднократные утечки личной информации поднимают фундаментальные вопросы о фактической ответственности крупных отечественных компаний за защиту личной информации и о том, правильно ли функционирует институциональная система реагирования. В частности, и SK Telecom, и YES24 получили государственную сертификацию ISMS (система управления информационной безопасностью) или ISMS-P (интегрированная сертификация защиты личной информации).

СМИБ-П — это система, которая проверяет и удостоверяет наличие в компании определенных управленческих и технических мер защиты. Однако эта система не оценивает, произошел ли инцидент взлома или выполнила ли компания свои фактические обязанности после инцидента. Система возмещения ущерба и практические меры по предотвращению повторения не связаны с действительностью сертификации. В результате сертификация сохраняется до тех пор, пока соблюдаются требования.

Проблема в том, что после аварии этой сертификацией легко злоупотребляют логика иммунитета компании, говоря: «Мы использовали систему, получившую государственную сертификацию». Сертификация по предотвращению и усилению ответственности фактически используется как инструмент «выполнения формальной ответственности» при возникновении несчастного случая. Система сертификации функционирует иначе, чем предполагалось изначально.

В такой ситуации, когда мы полагаемся на систему, которая не предотвращает несчастные случаи и не усиливает ответственность, у граждан нет другого выбора, кроме как думать: «Национальная сертификация меня не защищает». Система существует, но ее эффективность слабая, а проблема еще серьезнее в том, что это структура, которая позволяет компаниям уйти от ответственности даже после того, как произошла авария.

За границей все по-другому. Федеральный суд США обязал израильскую группу NSO выплатить примерно 167 миллионов долларов в качестве штрафных санкций по делу о несанкционированном нарушении прав на устройства пользователей WhatsApp. Американская телекоммуникационная компания T-Mobile также выплатила многомиллионную компенсацию по коллективному иску после крупномасштабной утечки личной информации. Закон и система построены таким образом, чтобы фактически привлекать компании к ответственности.

С другой стороны, в Корее по-прежнему ограничиваются мягким наказанием. Это связано с тем, что речь идет только о административных штрафах, исправительных предписаниях и формальном надзоре. В гражданских исках бремя доказывания чрезмерно возлагается на потерпевшего, а уровень компенсации далек от реальности. Более серьезная проблема заключается в том, что некоторые СМИ и крупные юридические фирмы распространяют логику о том, что «требование компенсации за утечку личной информации не имеет практической пользы», создавая атмосферу, которая заставляет граждан отказываться от реализации своих прав.

Чтобы взломать эту структуру, юридическая фирма Дэрюн подает коллективный иск против крупных корпораций за утечку личной информации. Это решение ни в коем случае не является благоприятным выбором, если рассматривать его исключительно с точки зрения прибыли легального рынка. Однако с момента своего создания Дэрюн объяснял существование юридических услуг не «прибылью», а «практической реализацией прав граждан». Этот коллективный иск также является продолжением этого.

Дэрюн рассредоточил юридический рынок, сосредоточенный в столичном регионе, на региональную основу и открыл филиалы по всей стране, чтобы гарантировать, что все граждане могут получать высококачественные юридические услуги. Мы установили партнерские отношения с крупными юридическими фирмами в США и Японии, чтобы внедрить передовые правовые системы в Корее, и внедрили систему обслуживания клиентов (систему AS), которая позволяет проводить опросы об удовлетворенности клиентов, заменять юристов и даже возвращать деньги. Этот коллективный иск SK Telecom также является попыткой доказать, что такой структурный эксперимент осуществим в реальности.

Нет абсолютно никаких причин, по которым личная информация граждан Республики Корея должна быть менее важной, чем личная информация граждан США или Европы. Что необходимо сейчас, так это введение системы штрафных санкций, повышение эффективности системы коллективных исков и создание правовой основы, которая может привести к реальной корпоративной ответственности. Суд также должен представить четкие стандарты и убедительную идею, чтобы компании воспринимали защиту личной информации как «сущность управления», а не как «факультатив».

Этот иск касается не только привлечения к юридической ответственности одной компании. Это должно стать отправной точкой для законов и систем, официально заявляющих, что личная информация является фундаментальным правом в соответствии с Конституцией и не подлежит техническому управлению. Личная информация является ценным активом. Права людей никогда не должны отдаваться по низкой цене.

[Посмотреть статью полностью]
Lawleader - [Вклад] Национальная сертификация стала корпоративной безнаказанностью, для «истинной ответственности» необходим закон (ссылка)
Korea Law Daily - [Вклад] Национальная сертификация, которая стала корпоративным иммунитетом, необходим закон об «истинной ответственности» (ссылка)