[Contribution] Le procès Coupang vu dans le précédent de Sony, la « gouvernance de la sécurité des données » doit être jugée

En 2014, le tribunal fédéral du district sud de Californie a rendu une décision historique dans l'histoire des poursuites pour fuite de données dans le cadre du « procès pour violation de la sécurité des données de Sony Gaming Networks (In re Sony Gaming Networks). » En effet, le tribunal de l'époque a clairement statué quelles actions en justice survivraient et lesquelles seraient rejetées, et a présenté un « manuel de base » auquel se référer de futures poursuites similaires. Dans le cadre du recours collectif en cours contre Coupang, Inc., on s'attend à ce qu'une bataille juridique plus détaillée et sophistiquée se déroule sur la base de ce précédent.

La différence la plus cruciale entre les affaires Sony et Coupang réside dans le cadrage qui définit les affaires. L'incident de Sony est né d'une situation dans laquelle le PlayStation Network (PSN) a été piraté en 2011, provoquant la fuite des informations d'environ 77 millions d'utilisateurs et l'interruption du service. À l’époque, le procès était entièrement axé sur la « fuite de données ». La principale préoccupation était de savoir s'il y avait une intrusion externe elle-même et si Sony avait mis en œuvre des mesures de sécurité techniquement raisonnables.

D'un autre côté, l'incident de Coupang a essentiellement pour principal problème « l'échec de la gouvernance ». Au-delà de la négligence technique liée à l’incapacité à prévenir les attaques externes, il s’agit de l’échec global du système d’exploitation mondial et de la structure de gestion de la sécurité centrée sur les entreprises américaines. Le niveau de litige s'est étendu au domaine de la responsabilité de la direction, qui examine qui était responsable de la prise de décisions en matière de sécurité et s'il y a eu négligence structurelle.

Le premier obstacle dans une affaire de fuite d'informations personnelles devant la Cour fédérale des États-Unis est de savoir si la qualité de plaignant est reconnue ou non en vertu de la Constitution. Dans l’affaire Sony précédente, le tribunal s’est concentré sur le fait objectif que les informations personnelles avaient été violées et a largement ouvert la porte à l’éligibilité des plaignants, mais a appliqué des normes très strictes au stade de la détermination de l’obligation d’indemnisation. On pensait que le risque abstrait d’instabilité dû à une fuite d’informations ne suffisait pas à lui seul à répondre aux exigences d’indemnisation. À l'époque, le tribunal avait rejeté un certain nombre de réclamations pour lesquelles il manquait des « dommages réalistes » prouvables, tels qu'une utilisation abusive réelle d'informations personnelles ou une tentative de fraude, ainsi que des dépenses spécifiques et des pertes de temps. En d’autres termes, le problème clé soulevé par le précédent de Sony est que l’issue d’une affaire d’informations personnelles ne dépend pas de la question de savoir si un incident de fuite s’est produit, mais de la manière de structurer et de prouver les dommages spécifiques causés par celui-ci. Par conséquent, le succès ou l'échec de ce procès Coupang peut également être considéré comme dépendant de la manière dont les dommages réalistes, tels que les coûts de gestion du vol d'identité ou les dommages causés par des fuites tels que les pertes monétaires réelles, sont logiquement spécifiés.

L'approche juridique doit également changer. Au moment de la décision Sony, le tribunal a rejeté un grand nombre de plaintes pour négligence pure (négligence) au motif qu'« en principe, les dommages économiques relèvent du droit des contrats ». En revanche, de nombreuses réclamations fondées sur la California Consumer Protection Act (UCL, FAL, CLRA) ont été reconnues. En effet, la loi sur la protection du consommateur se concentre sur la présence de pratiques trompeuses de la part des entreprises. Le tribunal a jugé, sur la base des déclarations faites par l'entreprise concernant son niveau de sécurité, si ces déclarations étaient en contradiction avec le statut de sécurité ou la perception du risque reconnue au sein de l'entreprise à l'époque, et si les consommateurs avaient ainsi été raisonnablement induits en erreur. Cette tendance devrait également rester effective dans le procès Coupang. La question clé sera de savoir si l'entreprise a trompé les consommateurs en ne tenant pas ses promesses de « cryptage conforme aux normes de l'industrie » ou de « sécurité raisonnable », plutôt que de responsabilité pour négligence, qui a une faible probabilité de gagner. En d’autres termes, lier la tromperie du consommateur et l’échec de la gouvernance de la sécurité peut être considéré comme le lien central de ce procès.

Ce qu’il faut noter avant tout, c’est l’expansion qualitative de Discovery. Si la découverte de l'incident passé de Sony s'est limitée à confirmer l'adéquation des mesures techniques de sécurité, la portée de l'incident de Coupang devrait être élargie pour inclure le conseil d'administration et la direction. En effet, nous devons aller au-delà de la simple question de savoir « si un système de sécurité était en place » et enquêter sur « qui a laissé le système vulnérable sans surveillance et sous quelle structure organisationnelle ? » Une compréhension approfondie de la ligne hiérarchique de la direction, de l'allocation du budget de sécurité et de la structure décisionnelle au siège américain sera la clé de ce procès. une lutte juridique avancée pour tenir pour responsable le siège social de l'entreprise mondiale. Ce procès, qui appelle à une responsabilité de gouvernance au-delà de la négligence technique, deviendra une nouvelle norme judiciaire qui redéfinira à l'avenir la portée de la responsabilité en matière de sécurité des données des entreprises mondiales.

● Les contributions d'auteurs externes peuvent différer de la direction éditoriale de ce magazine.

Reporter Kim Dong-sik kds77@kyeonggi.com

[Voir l'article complet]
[Contribution] Procès Coupang basé sur le précédent de Sony, la « gouvernance de la sécurité des données » sur le banc (Raccourci)