[Contribución] La demanda de Coupang se ve en el precedente de Sony, la 'gobernanza de la seguridad de los datos' está pendiente de juicio

En 2014, el tribunal federal del Distrito Sur de California emitió un fallo histórico en la historia de las demandas por fuga de datos en el 'Litigio por violación de seguridad de datos de Sony Gaming Networks (In re Sony Gaming Networks)'. Esto se debe a que el tribunal en ese momento dictaminó claramente qué demandas legales sobrevivirían y cuáles serían desestimadas, y presentó un "libro de texto básico" al que recurrir en futuras demandas similares. En la demanda colectiva en curso de Coupang, Inc., se espera que se desarrolle una batalla legal más detallada y sofisticada basada en este precedente.

La diferencia más crucial entre los casos de Sony y Coupang radica en el marco que los define. El incidente de Sony surgió a raíz de una situación en la que PlayStation Network (PSN) fue hackeada en 2011, provocando que se filtrara la información de unos 77 millones de usuarios y se interrumpiera el servicio. En ese momento, toda la demanda se centraba en la “fuga de datos”. La principal preocupación era si se trataba de una intrusión externa y si Sony había implementado medidas de seguridad técnicamente razonables.

Por otro lado, el incidente de Coupang tiene esencialmente como agenda central el “fracaso de la gobernanza”. Más allá de la negligencia técnica de no prevenir ataques externos, se trata del fracaso general del sistema operativo global y de la estructura de gestión de la seguridad centrada en las corporaciones estadounidenses. El nivel de litigio se ha ampliado al área de responsabilidad de la gestión, que examina quién fue responsable de tomar decisiones de seguridad y si hubo negligencia estructural.

El primer obstáculo en un caso de filtración de información personal en un tribunal federal de Estados Unidos es si la Constitución reconoce o no la posición del demandante. En el caso anterior de Sony, el tribunal se centró en el hecho objetivo de que se violó información personal y abrió ampliamente la puerta a la elegibilidad del demandante, pero aplicó estándares muy estrictos en la etapa de determinación de la responsabilidad de la compensación. Se creía que el riesgo abstracto de inestabilidad debido a la filtración de información por sí solo no cumplía los requisitos para la compensación. En ese momento, el tribunal desestimó una serie de reclamaciones que carecían de "daños realistas" demostrables, como el uso indebido real de información personal o intento de fraude, así como gastos específicos y pérdidas de tiempo. En otras palabras, la cuestión clave planteada por el precedente de Sony es que el resultado de un caso de información personal no depende de si ocurrió un incidente de filtración, sino de cómo estructurar y probar el daño específico causado por el mismo. Por lo tanto, también se puede considerar que el éxito o el fracaso de esta demanda de Coupang depende de cómo se especifican lógicamente los daños realistas, como los costos de gestión del robo de identidad o los daños causados ​​por filtraciones, como las pérdidas monetarias reales.

También es necesario cambiar el enfoque jurídico. En el momento de la decisión de Sony, el tribunal desestimó un gran número de demandas por negligencia pura (Negligence) con el argumento de que “en principio, los daños económicos son dominio del derecho contractual”. Por otro lado, se reconocieron muchas reclamaciones basadas en la Ley de Protección al Consumidor de California (UCL, FAL, CLRA). Esto se debe a que la Ley de Protección al Consumidor se centra en la presencia de prácticas engañosas por parte de las empresas. El tribunal juzgó basándose en las declaraciones que hizo la empresa sobre su nivel de seguridad, si esas declaraciones entraban en conflicto con el estado de seguridad o la percepción de riesgo reconocida dentro de la empresa en ese momento, y si como resultado los consumidores fueron razonablemente engañados. Se espera que esta tendencia siga siendo efectiva también en la demanda Coupang. La cuestión clave será si la empresa engañó a los consumidores al no cumplir sus promesas de "cifrado estándar de la industria" o "seguridad razonable", en lugar de responsabilidad por negligencia, que tiene pocas probabilidades de ganar. En otras palabras, vincular el engaño al consumidor y la falla en la gobernanza de la seguridad puede verse como el vínculo clave en esta demanda.

Lo más importante a tener en cuenta es la expansión cualitativa de Discovery. Si el descubrimiento del pasado incidente de Sony se limitó a confirmar la idoneidad de las medidas técnicas de seguridad, el alcance del incidente de Coupang debería ampliarse para incluir a la junta directiva y a la dirección. Esto se debe a que necesitamos ir más allá de simplemente “si existía un sistema de seguridad” e investigar “¿quién dejó el sistema vulnerable desatendido y bajo qué estructura organizacional?”

Al final, se espera que la demanda de Coupang no sólo siga el precedente de libro de texto del caso Sony, sino que lo utilice como un trampolín para convertirse en una lucha legal avanzada que responsabilice a la sede de una empresa global. Esta demanda, que busca la responsabilidad de la gobernanza más allá de la negligencia técnica, se convertirá en un nuevo estándar judicial que redefinirá el alcance de las responsabilidades de seguridad de los datos de las empresas globales en el futuro.

● Las contribuciones de escritores externos pueden diferir de nuestra dirección editorial.

Reportero Kim Dong-sik kds77@kyeonggi.com

[Ver artículo completo]
[Contribución] Demanda de Coupang basada en el precedente de Sony, 'gobernanza de seguridad de datos' en el tribunal (atajo)