[Kontribusi] Gugatan Coupang dilihat dari yurisprudensi Sony — 'tata kelola keamanan data' yang diadili

Pada 2014 lalu, Pengadilan Federal California Selatan menjatuhkan putusan yang layak dikenang dalam sejarah gugatan kebocoran data pada 'gugatan pelanggaran keamanan data Sony Gaming Networks (In re Sony Gaming Networks)'. Sebab, saat itu pengadilan secara jelas memutuskan argumen yuridis mana yang bertahan dan mana yang ditolak, sehingga menyajikan 'buku ajar dasar' yang harus dijadikan acuan oleh gugatan serupa berikutnya. Dalam gugatan kelompok (class action) Coupang, Inc. yang sedang berjalan pun diperkirakan akan berkembang perseteruan hukum yang selangkah lebih cermat dan canggih berdasarkan preseden ini.

Perbedaan paling menentukan antara perkara Sony dan Coupang terletak pada framing yang mendefinisikan perkara. Perkara Sony berawal dari peristiwa pada 2011 ketika PlayStation Network (PSN) diretas sehingga informasi sekitar 77 juta pengguna bocor dan layanan terhenti. Saat itu, seluruh fokus gugatan tertuju pada 'kebocoran data'. Yang menjadi perhatian utama adalah apakah fakta penyusupan dari luar itu sendiri benar-benar ada, dan apakah Sony telah menjalankan langkah keamanan yang secara teknis wajar (Reasonable security).

Sebaliknya, perkara Coupang pada hakikatnya menjadikan 'kegagalan tata kelola (Governance failure)' sebagai agenda inti. Melampaui kelalaian teknis yang gagal mencegah serangan dari luar, perkara ini menangani kegagalan menyeluruh dari sistem operasi global dan struktur pengelolaan keamanan yang berpusat pada badan hukum di Amerika Serikat. Dengan demikian, lapisan gugatan meluas ke ranah tanggung jawab manajemen yang mempersoalkan siapa subjek pengambil keputusan keamanan dan apakah ada pembiaran struktural.

Gerbang pertama perkara kebocoran data pribadi di pengadilan federal Amerika Serikat adalah diakui atau tidaknya legal standing (kedudukan hukum penggugat) secara konstitusional. Dalam perkara Sony sebelumnya, pengadilan mengutamakan fakta objektif bahwa data pribadi telah dilanggar sehingga membuka lebar pintu legal standing, tetapi justru pada tahap mempersoalkan tanggung jawab ganti rugi ia menerapkan tolok ukur yang sangat ketat. Maksudnya, sekadar risiko abstrak berupa kecemasan karena informasi bocor dipandang tidak memenuhi syarat ganti rugi. Saat itu, pengadilan menolak banyak tuntutan yang tidak memiliki 'kerugian nyata' yang dapat dibuktikan, seperti penyalahgunaan data pribadi yang sesungguhnya, upaya penipuan, serta pengeluaran biaya konkret dan kerugian waktu. Artinya, inti yang diberikan yurisprudensi Sony adalah bahwa penentuan menang-kalah dalam perkara data pribadi tidak terletak pada terjadi atau tidaknya insiden kebocoran, melainkan pada bagaimana kerugian konkret yang timbul akibatnya disusun dan dibuktikan. Oleh karena itu, berhasil atau gagalnya gugatan Coupang kali ini pun dapat dipandang bergantung pada seberapa logis kerugian nyata dikonkretkan, seperti biaya pengelolaan pencurian identitas atau kerugian finansial yang sesungguhnya akibat kebocoran.

Pendekatan yuridis pun perlu berubah. Saat putusan terkait Sony, pengadilan menolak secara besar-besaran tuntutan kelalaian murni (Negligence) dengan alasan 'pada prinsipnya kerugian ekonomi adalah ranah hukum kontrak'. Sebaliknya, tuntutan yang berdasar pada undang-undang perlindungan konsumen California (UCL, FAL, CLRA) sebagian besar diakui. Ini karena undang-undang perlindungan konsumen menyorot ada atau tidaknya perbuatan menyesatkan oleh perusahaan. Pengadilan menilai dengan berfokus pada pernyataan apa yang disampaikan perusahaan mengenai tingkat keamanan, apakah pernyataan itu bertentangan dengan kondisi keamanan atau kesadaran risiko yang saat itu diketahui di internal perusahaan, dan apakah akibatnya konsumen secara wajar tersesatkan. Dalam gugatan Coupang pun arus ini dianalisis akan tetap berlaku. Alih-alih teori tanggung jawab kelalaian yang peluang menangnya rendah, yang akan menjadi isu inti adalah apakah perusahaan menyesatkan konsumen dengan tidak menepati janji 'enkripsi standar industri' atau 'keamanan yang wajar' meskipun telah menjanjikannya. Artinya, menghubungkan penyesatan konsumen dengan kegagalan tata kelola keamanan dapat dipandang sebagai mata rantai inti gugatan kali ini.

Yang terutama harus diperhatikan adalah perluasan kualitatif discovery. Jika discovery pada perkara Sony di masa lalu berhenti pada pemastian kelayakan langkah keamanan teknis, maka perkara Coupang harus memperluas cakupannya hingga ke dewan direksi dan jajaran manajemen. Sebab, melampaui sekadar 'apakah sistem keamanan telah disiapkan', harus dipastikan pula 'siapa, di bawah struktur organisasi seperti apa, yang membiarkan sistem yang rentan'. Mencermati secara teliti jalur pelaporan eksekutif kantor pusat Amerika Serikat, alokasi anggaran keamanan, dan struktur pengambilan keputusan akan menjadi kunci gugatan kali ini.

Pada akhirnya, gugatan Coupang diperkirakan tidak akan berhenti pada sekadar mengikuti buku ajar berupa yurisprudensi perkara Sony, melainkan menjadikannya batu loncatan untuk meluas menjadi perjuangan hukum canggih yang mempersoalkan tanggung jawab kantor pusat perusahaan global. Gugatan kali ini, yang mempersoalkan tanggung jawab tata kelola melampaui kelalaian teknis, akan menjadi standar yudisial baru yang menata ulang cakupan tanggung jawab keamanan data perusahaan global ke depan.

● Kontribusi penulis eksternal dapat berbeda dari arah editorial media ini.

Wartawan Kim Dong-sik kds77@kyeonggi.com

[Baca artikel selengkapnya]
[Opini] Gugatan Coupang dilihat dari yurisprudensi Sony, 'tata kelola keamanan data' yang naik ke meja hijau (kunjungi)