[Contribución] La certificación nacional se ha convertido en una impunidad corporativa; Se necesita una ley para la “responsabilidad real”

Después de SK Telecom, en YES24 también surgieron sospechas de filtración de información personal. YES24 declaró inmediatamente después de enterarse del ataque de ransomware el día 9 que "no se filtró información personal", pero la gravedad del asunto quedó revelada cuando el Comité de Protección de Información Personal detectó circunstancias anormales en la consulta de información de los miembros y comenzó una investigación.

Este incidente no es sólo un simple incidente de piratería. Las repetidas filtraciones de información personal plantean cuestiones fundamentales sobre la responsabilidad real de las principales empresas nacionales en la protección de la información personal y si el sistema de respuesta institucional está funcionando correctamente. En particular, tanto SK Telecom como YES24 habían recibido la certificación ISMS (Sistema de gestión de seguridad de la información) o ISMS-P (Certificación integrada de protección de información personal) administrada por el gobierno.

ISMS-P es un sistema que examina y certifica que una empresa cuenta con determinadas medidas de protección técnicas y de gestión. Sin embargo, este sistema no evalúa si se produjo un incidente de piratería o si la empresa cumplió con sus responsabilidades reales después del incidente. El sistema de reparación de daños y las medidas prácticas para evitar que se repitan no están relacionados con la validez de la certificación. Como resultado, la certificación permanece mientras se cumplan los requisitos.

El problema es que después del accidente, la lógica de inmunidad de la empresa abusa fácilmente de esta certificación al decir: "Estábamos operando un sistema que recibió certificación del gobierno". La certificación para la prevención y el fortalecimiento de la responsabilidad se utiliza en realidad como una herramienta para “cumplir con la responsabilidad formal” cuando ocurre un accidente. El sistema de certificación está funcionando de manera diferente a lo previsto originalmente.

En una situación como ésta, en la que dependemos de un sistema que ni previene accidentes ni fortalece la responsabilidad, los ciudadanos no tienen más remedio que pensar: “La certificación nacional no me protege”. El sistema existe, pero su eficacia es débil y el problema es aún más grave porque se trata de una estructura que permite a las empresas eludir la responsabilidad incluso después de que se produzca un accidente.

Es diferente en el extranjero. Un tribunal federal de Estados Unidos ordenó al Grupo NSO de Israel pagar aproximadamente 167 millones de dólares en daños punitivos en un caso que involucraba infracción no autorizada de los dispositivos de los usuarios de WhatsApp. La empresa estadounidense de telecomunicaciones T-Mobile también pagó un acuerdo de demanda colectiva multimillonario tras una filtración de información personal a gran escala. La ley y el sistema están estructurados para responsabilizar a las empresas.

Por otro lado, Corea todavía se limita a castigos leves. Esto se debe a que lo único que implica son multas administrativas, órdenes correctivas y supervisión formal. En los juicios civiles, la carga de la prueba recae excesivamente en la víctima y el nivel de indemnización dista mucho de la realidad. Un problema más grave es que algunos medios de comunicación y grandes bufetes de abogados están difundiendo la lógica de que “reclamar compensación por filtraciones de información personal no tiene ningún beneficio práctico”, creando una atmósfera que hace que los ciudadanos renuncien a ejercer sus derechos.

Para romper esta estructura, Bufete de abogados Daeryun está iniciando una demanda colectiva contra grandes corporaciones por filtración de información personal. Esta decisión no es en modo alguno una elección favorable si se la considera únicamente desde la lógica del beneficio del mercado legal. Sin embargo, desde su creación, Daeryun ha puesto la razón de la existencia de los servicios legales no en el “lucro” sino en la “realización práctica de los derechos de los ciudadanos”. Esta demanda colectiva es también una extensión de eso.

Daeryun dispersó el mercado legal centrado en el área metropolitana a nivel regional y estableció sucursales en todo el país para garantizar que todos los ciudadanos puedan recibir servicios legales de alta calidad. Nos asociamos con grandes firmas de abogados en EE. UU. y Japón para incorporar sistemas legales avanzados en Corea e introdujimos un sistema de servicio al cliente (sistema AS) que permite realizar encuestas de satisfacción del cliente, reemplazo de abogados e incluso reembolsos. Esta demanda colectiva contra SK Telecom es también un ejercicio para demostrar que un experimento estructural de este tipo es factible en la realidad.

No hay absolutamente ninguna razón por la que la información personal de los ciudadanos de la República de Corea deba ser menos importante que la de los ciudadanos de los Estados Unidos o Europa. Lo que se necesita ahora es la introducción de un sistema de daños punitivos, fortaleciendo la eficacia del sistema de acciones colectivas y estableciendo una base legal que pueda conducir a una responsabilidad corporativa real. El tribunal también debe presentar estándares claros y un mensaje contundente para que las empresas acepten la protección de la información personal como la “esencia de la gestión” en lugar de una “opcional”.

Esta demanda no se trata sólo de responsabilizar legalmente a una empresa. Este debería ser el punto de partida para que las leyes y sistemas declaren oficialmente que la información personal es un derecho fundamental según la Constitución, no sujeto a gestión técnica. La información personal es un activo valioso. Los derechos del pueblo nunca deberían regalarse a un precio barato.

[Ver artículo completo]
Lawleader - [Contribución] La certificación nacional se ha convertido en impunidad corporativa, se necesita una ley para la “verdadera responsabilidad” (enlace)
Korea Law Daily - [Contribución] Certificación nacional que se ha convertido en inmunidad corporativa, se necesita una ley para la “verdadera responsabilidad” (enlace)