Τι πρέπει να κάνει μια εταιρεία όταν συμβαίνει διαρροή πληροφοριών

Σε περίπτωση που συμβεί διαρροή πληροφοριών, μπορεί να απαιτηθούν κάποιες διοικητικές ενέργειες όπως η αναφορά του περιστατικού, ανάλογα με την περίπτωση. Εκτός από την ανταπόκριση προς τις διοικητικές αρχές, είναι απαραίτητο επίσης να γίνει κατάλληλη αποκάλυψη πληροφοριών σχετικά με το «ποιες πληροφορίες», «πότε» και «μέσω ποιας διαδικασίας» διέρρευσαν.

Έτσι, σε αυτό το άρθρο, θα εξηγήσουμε τις ενέργειες αποκάλυψης πληροφοριών που πρέπει να πραγματοποιήσει μια εταιρεία όταν συμβεί διαρροή πληροφοριών, απευθυνόμενοι στα μέλη του νομικού τμήματος της επιχείρησης.

Σχετικά με τη Διαφορά μεταξύ Διοικητικής Ανταπόκρισης και Αποκάλυψης Πληροφοριών

Σε περίπτωση διαρροής προσωπικών δεδομένων, απαιτείται να ανταποκριθεί κανείς στους διοικητικούς κανονισμούς, όπως ο Νόμος Προστασίας Προσωπικών Δεδομένων. Ωστόσο, η απλή διοικητική ανταπόκριση μπορεί να θεωρηθεί ανεπαρκής ως εταιρική αντίδραση.

Για παράδειγμα, εάν μια εταιρεία προκαλέσει διαρροή πληροφοριών, μπορεί να προκύψουν κοινωνικές επιπτώσεις.

Επιπλέον, σε περίπτωση εισηγμένων εταιρειών, υπάρχει ανάγκη για άμεση αποκάλυψη πληροφοριών προς τους μετόχους, τους εμπορικούς συνεργάτες, τους πελάτες και άλλους ενδιαφερόμενους.

Από τη μία πλευρά, η διοικητική ανταπόκριση περιλαμβάνει την τήρηση των νομικών προδιαγραφών, ενώ από την άλλη, η αποκάλυψη πληροφοριών από την εταιρεία συνδέεται έντονα με την εκπλήρωση της κοινωνικής ευθύνης ως φορέας διαχείρισης πληροφοριών.

Σχετικό Άρθρο: Τι να κάνετε σε περίπτωση διαρροής προσωπικών δεδομένων; Εξηγούμε τη διοικητική ανταπόκριση που πρέπει να ακολουθήσει μια εταιρεία[ja]

Σχετικό Άρθρο: Μαθαίνοντας από το παράδειγμα της διαρροής 650.000 πληροφοριών της Εταιρείας Τokentatsu και τον ρόλο του δικηγόρου στη διαχείριση κρίσεων[ja]

Σχετικά με την Έγκαιρη Αποκάλυψη Πληροφοριών από Εισηγμένες Εταιρείες

Οι εισηγμένες εταιρείες υποχρεούνται να αποκαλύπτουν πληροφορίες, καθώς η διαρροή πληροφοριών μπορεί να έχει εκτεταμένες επιπτώσεις.

Για παράδειγμα, στον κανονισμό εισηγμένων αξιών που έχει δημοσιεύσει η Χρηματιστηριακή Αγορά του Τόκιο, ορίζονται οι παρακάτω διατάξεις σχετικά με την έγκαιρη αποκάλυψη πληροφοριών:

（Αποκάλυψη Πληροφοριών Εταιρείας）
Άρθρο 402
Οι εισηγμένες εταιρείες πρέπει να αποκαλύψουν αμέσως τις πληροφορίες, σύμφωνα με τους κανόνες που έχουν καθοριστεί, σε περίπτωση που συμβαίνει κάτι από τα ακόλουθα (εξαιρουμένων των περιπτώσεων που οι πρότυποι κανόνες ορίζουν ως ασήμαντα ή άλλων περιπτώσεων που η Χρηματιστηριακή Αγορά αναγνωρίζει ως ελάχιστης σημασίας για τις επενδυτικές αποφάσεις των επενδυτών.）
（Παράλειψη）
ｘ　Εκτός από τα γεγονότα που αναφέρονται από το α έως το προηγούμενο ω, σημαντικά γεγονότα που αφορούν τη διοίκηση, τις επιχειρήσεις ή την περιουσία της εισηγμένης εταιρείας ή τα εισηγμένα μετοχικά της δικαιώματα και έχουν σημαντική επίδραση στις επενδυτικές αποφάσεις των επενδυτών

Χρηματιστηριακή Αγορά του Τόκιο｜Κανονισμός Εισηγμένων Αξιών[ja]

Η διαρροή πληροφοριών θεωρείται ότι ανήκει στα “σημαντικά γεγονότα που αφορούν τη διοίκηση, τις επιχειρήσεις ή την περιουσία της εισηγμένης εταιρείας ή τα εισηγμένα μετοχικά της δικαιώματα και έχουν σημαντική επίδραση στις επενδυτικές αποφάσεις των επενδυτών”, επομένως είναι απαραίτητη η έγκαιρη αποκάλυψη.

Συγκεκριμένα, μπορεί να αποκαλυφθούν πληροφορίες όπως η σύνοψη της διαρροής πληροφοριών, οι συνθήκες κάτω από τις οποίες συνέβη η διαρροή, καθώς και οι προοπτικές για την αντιμετώπιση της διαρροής πληροφοριών.

Σχετικά με την Προαιρετική Αποκάλυψη Πληροφοριών από Εταιρείες

Όπως αναφέρεται παραπάνω, υπάρχουν περιπτώσεις όπου οι εταιρείες προβαίνουν σε αποκάλυψη πληροφοριών σύμφωνα με τους κανονισμούς για την καταχώρηση έχουσας αξίας αξιογράφων και άλλες διατάξεις, ωστόσο, είναι επίσης σκόπιμο για τις εταιρείες να προβαίνουν προαιρετικά σε αποκάλυψη πληροφοριών ως μέσο αντιμετώπισης κινδύνων.

Σχετικό Άρθρο: Ο Κίνδυνος Διαρροής Προσωπικών Δεδομένων από Εταιρείες και η Αποζημίωση για Ζημίες[ja]

Πότε πρέπει να γίνεται αποκάλυψη πληροφοριών

Όσον αφορά την προαιρετική αποκάλυψη πληροφοριών, οι επιχειρήσεις έχουν τη δυνατότητα να επιλέξουν είτε να μην προβούν σε αποκάλυψη πληροφοριών είτε να το κάνουν, καθώς η απόφαση είναι προαιρετική.

Επομένως, είναι σημαντικό για τις επιχειρήσεις να έχουν σαφή κριτήρια για το αν θα προβούν σε αποκάλυψη πληροφοριών ή όχι.

Ως πρώτο κριτήριο, μπορούμε να εξετάσουμε αν υπάρχει πραγματικός κίνδυνος επέκτασης της ζημιάς από διαρροή πληροφοριών.

Αν η διαρροή πληροφοριών έχει πραγματικά συμβεί αλλά θεωρείται ότι δεν έχει πρακτικές συνέπειες, τότε η ανάγκη για προαιρετική αποκάλυψη πληροφοριών θεωρείται χαμηλή.

Αν δεν υπάρχει πραγματικός κίνδυνος επέκτασης της ζημιάς από διαρροή πληροφοριών, η προαιρετική αποκάλυψη μπορεί να οδηγήσει σε περαιτέρω σύγχυση και να επιδεινώσει την κατάσταση.

Ως δεύτερο κριτήριο, μπορούμε να εξετάσουμε αν η αποκάλυψη πληροφοριών μπορεί αντίθετα να αυξήσει τον κίνδυνο επέκτασης της ζημιάς από διαρροή πληροφοριών.

Αν αποκαλυφθεί ότι έχει συμβεί διαρροή πληροφοριών χωρίς να έχουν ληφθεί επαρκή μέτρα αντιμετώπισης, μπορεί να προσελκύσει την προσοχή ατόμων που επιθυμούν να αποκτήσουν πληροφορίες παράνομα, και έτσι να προκληθούν περισσότερες διαρροές.

Αυτό μπορεί να οδηγήσει σε περαιτέρω επέκταση της ζημιάς από διαρροές πληροφοριών και, κατά συνέπεια, σε περαιτέρω παραβιάσεις δικαιωμάτων.

Ωστόσο, τα παραπάνω κριτήρια δεν είναι πάντα γενικεύσιμα και είναι απαραίτητο να εξετάζεται προσεκτικά το κάθε περιστατικό χωριστά, προκειμένου να καθοριστεί αν πρέπει να γίνει αποκάλυψη πληροφοριών ή όχι.

Σχετικά με τα θέματα που πρέπει να αποκαλυφθούν

Όταν πραγματοποιείται αποκάλυψη πληροφοριών, είναι απαραίτητο να εξετάσουμε προσεκτικά τα θέματα που πρέπει να αποκαλυφθούν.

Τα θέματα που πρέπει να αποκαλυφθούν μπορεί, για παράδειγμα, να περιλαμβάνουν τα εξής:

• Τον τύπο της πληροφοριακής διαρροής που έχει συμβεί
• Την ημερομηνία που η εταιρεία αναγνώρισε τη διαρροή πληροφοριών
• Την ημερομηνία που συνέβη η διαρροή πληροφοριών
• Τις περιστάσεις κάτω από τις οποίες αποκαλύφθηκε η διαρροή πληροφοριών
• Την αιτία της διαρροής πληροφοριών
• Το περιεχόμενο της πιθανής ζημιάς που μπορεί να προκληθεί από τη διαρροή πληροφοριών
• Την ύπαρξη ή μη κινδύνου για επέκταση της ζημιάς ή για πρόκληση δευτερογενούς ζημιάς
• Τα μέτρα που έλαβε η εταιρεία απέναντι στη διαρροή πληροφοριών
• Το περιεχόμενο της έρευνας σχετικά με την αιτία της διαρροής πληροφοριών
• Την ύπαρξη ή μη αναφοράς στην αστυνομία ή άλλες αρχές

Ωστόσο, ακόμη και για τα θέματα που πρέπει να αποκαλυφθούν, η απόφαση για το τι είναι επιθυμητό να αποκαλυφθεί διαφέρει ανάλογα με την υπόθεση, επομένως είναι απαραίτητο να ληφθεί μια ατομική απόφαση ανάλογα με την υπόθεση.

Σχετικά με τις Μεθόδους Αποκάλυψης Πληροφοριών

Υπάρχουν διάφοροι τρόποι για την αποκάλυψη πληροφοριών, όπως για παράδειγμα:

• Δημοσίευση στην εταιρική ιστοσελίδα
• Πραγματοποίηση συνέντευξης τύπου για τα μέσα ενημέρωσης
• Ατομική επικοινωνία με τα άτομα που ενδέχεται να έχουν πληγεί από διαρροή πληροφοριών

Οι παραπάνω μέθοδοι αποκάλυψης πληροφοριών είναι απλώς παραδείγματα και είναι απαραίτητο να επιλέγεται η κατάλληλη μέθοδος ανάλογα με την περίπτωση.

Σημεία προσοχής κατά τη διεξαγωγή συνέντευξης τύπου για τα μέσα ενημέρωσης

Κατά τη διεξαγωγή μιας συνέντευξης τύπου, το περιεχόμενο της αποκάλυψης πληροφοριών θα γίνει ευρέως γνωστό. Επομένως, είναι απαραίτητο να εξετάσουμε προσεκτικά εάν η συνέντευξη τύπου είναι η κατάλληλη μέθοδος για την αποκάλυψη πληροφοριών.

Για παράδειγμα, εάν η επιχείρηση έχει ήδη δημοσιεύσει όλες τις διαθέσιμες πληροφορίες στην ιστοσελίδα της, η συνέντευξη τύπου δεν θα προσφέρει νέα δεδομένα. Αυτό μπορεί να δημιουργήσει την εντύπωση μιας εταιρείας που δεν είναι διαφανής και δεν αναλαμβάνει τις ευθύνες της για την ενημέρωση του κοινού, οπότε απαιτείται προσοχή.

Επιπλέον, μπορεί να είναι πρακτικά δύσκολο να ανακληθούν ή να διορθωθούν οι πληροφορίες που έχουν ανακοινωθεί κατά τη διάρκεια μιας συνέντευξης τύπου.

Για αυτόν τον λόγο, είναι απαραίτητο να προετοιμάσουμε καλά το περιεχόμενο που θα παρουσιαστεί στη συνέντευξη τύπου, συμβουλευόμενοι ειδικούς όπως δικηγόρους, και να καθορίσουμε εκ των προτέρων τι θα συζητηθεί.

Σημεία προσοχής κατά την ατομική επικοινωνία με άτομα που ενδέχεται να έχουν πληγεί από διαρροή πληροφοριών

Όταν είναι γνωστά τα άτομα που ενδέχεται να έχουν πληγεί από διαρροή πληροφοριών, είναι προτιμότερο να επικοινωνήσουμε μαζί τους πριν από τη δημοσίευση των πληροφοριών.

Εάν προχωρήσουμε σε δημοσίευση πριν επικοινωνήσουμε με τα θύματα, υπάρχει κίνδυνος να αναπτύξουν αίσθημα δυσπιστίας προς την εταιρεία και να ενισχυθεί η εχθρική τους στάση.

Επιπρόσθετα, αν παρά τη δυνατότητα ατομικής επικοινωνίας με τα θύματα, προηγηθεί η δημοσίευση, μπορεί να υπονομευθεί η κοινωνική εμπιστοσύνη προς την εταιρεία.

Πώς μπορούν οι επιχειρήσεις να προλάβουν τις διαρροές πληροφοριών

Μέχρι στιγμής, έχουμε εξηγήσει τι πρέπει να κάνει μια επιχείρηση σε περίπτωση που συμβεί διαρροή πληροφοριών, ωστόσο, είναι προφανώς σημαντικό να μην επιτρέψουμε την εμφάνιση διαρροής πληροφοριών εξαρχής.

Στο Άρθρο 23 του Νόμου για την Προστασία Προσωπικών Δεδομένων (Japanese Personal Information Protection Law), ορίζονται τα μέτρα ασφαλείας διαχείρισης ως εξής:

（Μέτρα Ασφαλείας Διαχείρισης）
Άρθρο 23. Οι επιχειρήσεις που χειρίζονται προσωπικά δεδομένα πρέπει να λάβουν τα απαραίτητα και κατάλληλα μέτρα για την πρόληψη διαρροής, απώλειας ή καταστροφής των προσωπικών δεδομένων και για την ασφαλή διαχείριση των προσωπικών δεδομένων.

e-Gov｜Νόμος για την Προστασία Προσωπικών Δεδομένων[ja]

Ως περιεχόμενο των μέτρων ασφαλείας διαχείρισης, μπορούμε να σκεφτούμε τα εξής μέτρα:

• Διαμόρφωση βασικής πολιτικής για τη διαχείριση προσωπικών δεδομένων
• Εγκαθίδρυση κανονισμών για τη διαχείριση προσωπικών δεδομένων
• Οργανωτική δομή
• Λειτουργία σύμφωνα με τους κανονισμούς για τη διαχείριση προσωπικών δεδομένων
• Διασφάλιση μέσων για τον έλεγχο της κατάστασης διαχείρισης προσωπικών δεδομένων
• Δημιουργία συστήματος ανταπόκρισης σε περιστατικά διαρροής πληροφοριών
• Κατανόηση της κατάστασης διαχείρισης προσωπικών δεδομένων και επανεξέταση των μέτρων ασφαλείας διαχείρισης
• Εκπαίδευση των υπαλλήλων που χειρίζονται προσωπικά δεδομένα
• Εφαρμογή φυσικών μέτρων ασφαλείας διαχείρισης για την πρόληψη διαρροής προσωπικών δεδομένων
• Εφαρμογή τεχνικών μέτρων ασφαλείας διαχείρισης για την πρόληψη διαρροής προσωπικών δεδομένων

Προσαρμόζοντας τα παραπάνω μέτρα ασφαλείας διαχείρισης στην κατάσταση της επιχείρησης, μπορούμε να μειώσουμε τον κίνδυνο εμφάνισης διαρροής πληροφοριών.

Συνοπτικά: Συμβουλευτείτε δικηγόρο για την αποκάλυψη πληροφοριών σε περίπτωση διαρροής πληροφοριών

Σε αυτό το άρθρο, περιγράψαμε τις ενέργειες αποκάλυψης πληροφοριών που πρέπει να πραγματοποιήσει μια εταιρεία σε περίπτωση που συμβεί διαρροή πληροφοριών, στοχεύοντας στα μέλη του νομικού τμήματος της επιχείρησης.

Είναι προφανώς προτιμότερο να μην συμβεί καθόλου διαρροή πληροφοριών, αλλά η πρόληψη της διαρροής πληροφοριών σε ποσοστό 100% είναι πρακτικά δύσκολη.

Ως εκ τούτου, σε περίπτωση που συμβεί διαρροή πληροφοριών, είναι σημαντικό για την εταιρεία να αντιδράσει κατάλληλα.

Όσον αφορά την αντιμετώπιση διαρροής πληροφοριών, απαιτείται προσεκτική εξέταση ανάλογα με την υπόθεση, επομένως συνιστούμε τη συμβουλή δικηγόρου με ειδίκευση στον τομέα.

Οδηγίες για τα Μέτρα από το Δικηγορικό μας Γραφείο

Το Δικηγορικό Γραφείο Monolith είναι ένα γραφείο με υψηλή εξειδίκευση στον τομέα της πληροφορικής, και ειδικότερα στο διαδίκτυο και το δίκαιο. Η δημιουργία εταιρικών κανονισμών απαιτεί ειδικευμένη γνώση. Το γραφείο μας αναλαμβάνει την αναθεώρηση διαφόρων υποθέσεων, από εισηγμένες στο Τόκιο Χρηματιστήριο εταιρείες (Tokyo Stock Exchange) μέχρι επιχειρήσεις νεοφυών (startups). Εάν αντιμετωπίζετε δυσκολίες με τους εταιρικούς κανονισμούς, παρακαλούμε ανατρέξτε στο παρακάτω άρθρο.