[Đóng góp] Vụ kiện Coupang từng có trong tiền lệ của Sony, 'quản trị bảo mật dữ liệu' sẽ được đưa ra phán quyết

Vào năm 2014, tòa án liên bang ở Quận Nam California đã đưa ra phán quyết lịch sử trong lịch sử các vụ kiện rò rỉ dữ liệu trong 'Vụ kiện tụng vi phạm bảo mật dữ liệu của Sony Gaming Networks (In re Sony Gaming Networks)'. Điều này là do tòa án vào thời điểm đó đã ra phán quyết rõ ràng rằng khiếu nại pháp lý nào sẽ tồn tại và khiếu nại nào sẽ bị bác bỏ, đồng thời đưa ra một 'sách giáo khoa cơ bản' để tham khảo cho các vụ kiện tương tự trong tương lai. Trong vụ kiện tập thể Coupang, Inc. đang diễn ra, người ta dự đoán rằng một cuộc chiến pháp lý chi tiết và phức tạp hơn sẽ diễn ra dựa trên tiền lệ này.

Sự khác biệt quan trọng nhất giữa ốp lưng Sony và ốp lưng Coupang nằm ở khung hình xác định ốp lưng. Vụ việc của Sony xuất phát từ vụ PlayStation Network (PSN) bị hack vào năm 2011 khiến thông tin của khoảng 77 triệu người dùng bị rò rỉ và dịch vụ bị gián đoạn. Vào thời điểm đó, vụ kiện đều tập trung vào vấn đề ‘rò rỉ dữ liệu’. Mối quan tâm chính là liệu có sự xâm nhập từ bên ngoài hay không và liệu Sony có thực hiện các biện pháp bảo mật hợp lý về mặt kỹ thuật hay không.

Mặt khác, vụ Coupang về cơ bản lấy “sự thất bại trong quản trị” làm chương trình nghị sự cốt lõi. Ngoài sơ suất kỹ thuật do không ngăn chặn được các cuộc tấn công từ bên ngoài, nó còn đề cập đến lỗi chung của hệ điều hành toàn cầu và cơ cấu quản lý bảo mật tập trung vào các tập đoàn Hoa Kỳ. Mức độ kiện tụng đã mở rộng sang lĩnh vực trách nhiệm quản lý, trong đó kiểm tra xem ai chịu trách nhiệm đưa ra các quyết định về an ninh và liệu có sự lơ là về mặt cơ cấu hay không.

Rào cản đầu tiên trong vụ rò rỉ thông tin cá nhân tại tòa án liên bang Hoa Kỳ là liệu tư cách của nguyên đơn có được Hiến pháp công nhận hay không. Trong vụ Sony trước, tòa tập trung vào thực tế khách quan là thông tin cá nhân bị vi phạm và mở rộng cơ hội cho nguyên đơn có tư cách hợp lệ nhưng lại áp dụng những tiêu chuẩn rất khắt khe ở khâu xác định trách nhiệm bồi thường. Người ta tin rằng nguy cơ mất ổn định trừu tượng do rò rỉ thông tin không đáp ứng được yêu cầu bồi thường. Vào thời điểm đó, tòa án đã bác bỏ một số khiếu nại thiếu "thiệt hại thực tế" có thể chứng minh được, chẳng hạn như lạm dụng thông tin cá nhân hoặc cố gắng gian lận, cũng như chi phí cụ thể và tổn thất thời gian. Nói cách khác, vấn đề then chốt mà tiền lệ Sony đưa ra là kết quả của vụ việc thông tin cá nhân không phụ thuộc vào việc liệu sự cố rò rỉ có xảy ra hay không mà phụ thuộc vào cách cấu trúc và chứng minh thiệt hại cụ thể do nó gây ra. Do đó, sự thành công hay thất bại của vụ kiện Coupang này cũng có thể được xem là tùy thuộc vào mức độ thiệt hại thực tế, chẳng hạn như chi phí quản lý hành vi trộm cắp danh tính hoặc thiệt hại do rò rỉ như tổn thất tiền tệ thực tế, được xác định một cách hợp lý.

Cách tiếp cận pháp lý cũng cần phải thay đổi. Vào thời điểm Sony đưa ra quyết định, tòa án đã bác bỏ một số lượng lớn các khiếu nại thuần túy về sơ suất (sơ suất) với lý do “về nguyên tắc, thiệt hại kinh tế là phạm vi của luật hợp đồng”. Mặt khác, nhiều khiếu nại dựa trên Đạo luật bảo vệ người tiêu dùng California (UCL, FAL, CLRA) đã được thừa nhận. Điều này là do Đạo luật Bảo vệ Người tiêu dùng tập trung vào sự hiện diện của các hành vi lừa đảo của các công ty. Tòa án đánh giá dựa trên những tuyên bố mà công ty đưa ra về mức độ bảo mật của mình, liệu những tuyên bố đó có mâu thuẫn với tình trạng bảo mật hoặc nhận thức rủi ro được công nhận trong công ty vào thời điểm đó hay không và liệu kết quả là người tiêu dùng có bị đánh lừa một cách hợp lý hay không. Xu hướng này dự kiến ​​cũng sẽ tiếp tục phát huy hiệu quả trong vụ kiện Coupang. Vấn đề chính sẽ là liệu công ty có lừa dối người tiêu dùng bằng cách không giữ lời hứa về 'mã hóa tiêu chuẩn ngành' hay 'bảo mật hợp lý' hay không, thay vì trách nhiệm pháp lý đối với sự sơ suất, có khả năng thắng thấp. Nói cách khác, mối liên hệ giữa sự lừa dối của người tiêu dùng và thất bại trong quản trị bảo mật có thể được coi là mắt xích chính trong vụ kiện này.

Điều quan trọng nhất cần lưu ý là sự mở rộng về mặt chất lượng của Discovery. Nếu việc phát hiện sự cố trong quá khứ của Sony chỉ giới hạn ở việc xác nhận tính đầy đủ của các biện pháp an ninh kỹ thuật thì phạm vi của sự cố Coupang nên được mở rộng để bao gồm cả ban giám đốc và ban điều hành. Điều này là do chúng ta cần phải đi xa hơn việc chỉ đơn giản là 'liệu hệ thống an ninh có được áp dụng hay không' và điều tra 'ai đã bỏ mặc hệ thống dễ bị tổn thương và theo cơ cấu tổ chức nào?' Sự hiểu biết sâu sắc về các tuyến báo cáo điều hành, phân bổ ngân sách an ninh và cơ cấu ra quyết định tại trụ sở chính ở Hoa Kỳ sẽ là chìa khóa cho vụ kiện này.

Cuối cùng, vụ kiện Coupang dự kiến ​​​​sẽ không chỉ tuân theo tiền lệ trong sách giáo khoa về vụ Sony mà còn sử dụng điều này như một bước đệm để phát triển thành một cuộc đấu tranh pháp lý nâng cao buộc trụ sở chính của một công ty toàn cầu phải chịu trách nhiệm. Vụ kiện này nhằm tìm kiếm trách nhiệm quản trị ngoài sơ suất kỹ thuật, sẽ trở thành một tiêu chuẩn tư pháp mới xác định lại phạm vi trách nhiệm bảo mật dữ liệu của các công ty toàn cầu trong tương lai.

● Đóng góp của các tác giả bên ngoài có thể khác với hướng biên tập của chúng tôi.

Phóng viên Kim Dong-sik kds77@kyeonggi.com

[Xem toàn bộ bài viết]
[Đóng góp] Vụ kiện Coupang dựa trên tiền lệ của Sony, 'quản trị bảo mật dữ liệu' trên băng ghế dự bị (Phím tắt)