Riscul de scurgere a informațiilor personale în companii și răspunderea pentru daune

Riscurile care înconjoară managementul corporativ includ crize de management, accidente cauzate de încălcarea obligațiilor de siguranță ale companiei, dar în ultimii ani, scurgerile de informații personale și riscul de despăgubiri pentru daune cauzate de acestea au devenit o problemă majoră.

Tokyo Shoko Research a raportat că în anul 2019 (Anul Reiwa 1), 66 de companii listate și subsidiarele lor au anunțat accidente de scurgere și pierdere de informații personale, numărul de accidente fiind de 86, iar informațiile personale scurse au ajuns la 9.031.734 de persoane. Dacă adăugăm companiile nelistate, companiile străine, agențiile guvernamentale, autoritățile locale și școlile, numărul poate crește la un nivel astronomic.

https://monolith.law/corporate/trends-in-personal-information-leakage-and-loss-accidents-in-2019[ja]

Dintre toate accidentele de scurgere și pierdere de informații personale, cel mai mare până acum a fost cel dezvăluit în iulie 2014 (Anul Heisei 26), când 35 de milioane de informații personale au fost scurse de la Benesse Holdings (Corporația Benesse Japoneză) prin obținerea ilegală a informațiilor clienților de către un angajat al unei companii contractante. În 2019, au existat noi evoluții în unele dintre procesele legate de acest incident.
În timp ce clarificăm problema Benesse, vom lua în considerare riscul de scurgere a informațiilor personale și despăgubiri pentru daune pentru companii.

Ce a fost incidentul de scurgere de informații personale Benesse

În jurul lunii iunie 2014, clienții Benesse au început să primească mailuri directe de la compania de educație prin corespondență “Just System”, ceea ce a dus la o creștere bruscă a întrebărilor dacă informațiile personale înregistrate doar la Benesse sunt folosite sau dacă informațiile personale au fost scurse de la Benesse.

La 27 iunie, Benesse a început o investigație internă și la 30 iunie a raportat poliției și Ministerului Economiei, Comerțului și Industriei. La 9 iulie, a ținut o conferință de presă și a anunțat că informațiile personale, cum ar fi numele copiilor și ale părinților, adresa, numărul de telefon, sexul și data nașterii, care au fost înregistrate pentru cursurile de studiu Zemi, au fost scurse.

La 17 iulie, un inginer de sistem în vârstă de 39 de ani, care avea acces la informațiile clienților și care era responsabil de gestionarea sistemului de baze de date al companiei, a fost arestat pentru că a luat informații personale și le-a vândut unei companii de liste de adrese. Acest inginer a fost trimis de o companie subcontractantă către Symform, o companie afiliată Benesse care se ocupa de gestionarea informațiilor clienților.

În septembrie, Benesse a ținut o conferință de presă și a anunțat că numărul de cazuri de scurgere de informații ale clienților a fost de 35,04 milioane. Deși a declarat că a pregătit deja 20 de miliarde de yeni ca fonduri de compensare pentru victimele scurgerii de informații personale, a trimis scrisori de scuze clienților cărora li s-a confirmat scurgerea de informații și a anunțat că va implementa compensații prin metoda de a trimite cupoane în valoare de 500 de yeni (cadou de bani electronici sau card de carte național comun) în funcție de alegerea clienților, sau de a dona 500 de yeni pe caz de scurgere către Fundația Benesse pentru Copii, care a fost înființată cu scopul de a sprijini copiii în urma acestui incident de scurgere.

În răspuns la acest lucru, unele dintre victime au format mai multe grupuri de avocați și au intentat acțiuni în instanță. În 2019, au fost observate câteva mișcări în legătură cu acest lucru. În ceea ce privește cazul penal, în procesul penal împotriva inginerului de sistem acuzat de încălcarea Legii privind prevenirea concurenței neloiale (reproducerea și divulgarea secretelor comerciale) pentru că a luat informații personale, la 21 martie 2017, Curtea Superioară din Tokyo a confirmat o sentință de închisoare de 2 ani și jumătate și o amendă de 3 milioane de yeni, fără suspendare.

Decizia Curții Supreme și apelul de retrimitere

Într-un proces în care un bărbat a cerut Benesse despăgubiri de 100.000 de yeni pentru suferința psihică cauzată de scurgerea numelui, adresei și numărului de telefon al său și al copilului său, Curtea Supremă a anulat decizia instanței de origine, Curtea Superioară din Osaka, și a trimis cazul înapoi pentru judecată, deoarece nu s-a epuizat examinarea.

Înainte de retrimitere, instanța de primă instanță, Tribunalul Districtual Kobe, secția Himeji, a respins cererea bărbatului pe 2 decembrie 2015, recunoscând ca un fapt indiscutabil că numele bărbatului gestionat de Benesse a fost scurs, dar nu există dovezi suficiente pentru a stabili că acest lucru a fost cauzat de neglijența Benesse.

În apelul pe care bărbatul l-a depus (decizia Curții Superioare din Osaka din 29 iunie 2016), a fost recunoscut faptul că numele copilului apelantului, sexul, data nașterii, codul poștal, adresa, numărul de telefon și numele părintelui (numele apelantului) gestionate de apelat au fost scurse. Pe baza acestui fapt, a fost posibil să se constate că informațiile personale ale apelantului, cum ar fi numele, codul poștal, adresa, numărul de telefon și numele membrilor familiei sale, sexul, data nașterii, au fost scurse. Cu toate acestea, în timp ce recunoștea că scurgerea informațiilor personale ale apelantului poate provoca nu numai disconfort, ci și anxietate pentru o persoană obișnuită, a fost înțeles că nu se poate solicita imediat despăgubiri doar pentru că s-a simțit acest disconfort, etc. Apelul a fost respins pe motiv că nu există dovezi că a suferit daune care depășesc acest disconfort, etc.

Decizia Curții Supreme

Atunci când apelantul a depus o cerere de recurs împotriva acestei decizii, Curtea Supremă a acceptat-o și a constatat că, deși se poate spune că apelantul și-a avut intimitatea încălcată prin scurgerea de informații în cauză, Curtea Superioară din Osaka a respins cererea apelantului fără a examina în mod corespunzător existența și gradul de prejudiciu psihic al apelantului cauzat de încălcarea intimității, doar pe baza faptului că nu s-a demonstrat existența unui prejudiciu care depășește disconfortul. Curtea a considerat că această decizie a instanței inferioare, care a rezultat dintr-o interpretare și aplicare greșită a legilor privind prejudiciul în cazul unui act ilicit, este ilegală pentru că nu a examinat în mod corespunzător aspectele menționate mai sus. Prin urmare, Curtea Supremă a anulat decizia inițială și a trimis cazul înapoi la Curtea Superioară pentru a examina mai departe existența unei neglijențe din partea apelatului și existența și gradul de prejudiciu psihic al apelantului (Decizia Curții Supreme din 23 octombrie 2017).

https://monolith.law/reputation/privacy-invasion[ja]

Decizia în apelul de retrimitere

În apelul de retrimitere, Curtea Superioară din Osaka (hotărârea din 20 noiembrie 2019) a stabilit că angajatul în cauză a obținut ilegal informații personale prin conectarea unui smartphone compatibil cu MTP la un computer de serviciu prin intermediul unui cablu USB și transferarea datelor prin comunicare MTP, pe care le-a vândut apoi unui comerciant de liste. Cu toate acestea, compania Shinform ar fi trebuit să ia măsuri adecvate, cum ar fi prevenirea aducerii unui smartphone compatibil cu MTP în biroul menționat și evitarea accesului la informațiile personale în cauză, dar a neglijat această obligație. Prin urmare, s-a considerat că există o neglijență și că Benesse a încălcat obligația sa de a supraveghea în mod adecvat Shinform, care a permis utilizarea informațiilor personale pe care le gestiona, rezultând în scurgerea de informații de către angajați. Prin urmare, s-a stabilit că cele două companii sunt responsabile pentru actele ilicite comune (Articolul 719, paragraful 1, al Codului Civil Japonez).

În plus, în ciuda prevederilor articolului 22 din Legea Japoneză privind Protecția Informațiilor Personale, care stipulează că “operatorii de afaceri care manipulează informații personale trebuie să supravegheze în mod adecvat și necesar persoanele cărora le-au încredințat manipularea totală sau parțială a datelor personale pentru a asigura gestionarea în siguranță a acestora”, s-a considerat că a fost încălcată intimitatea, luând în considerare faptul că adresa, numele și numărul de telefon al apelantului au fost dezvăluite pe site-uri web și altele asemenea, și s-a ordonat plata unei despăgubiri de 1000 de yeni.

Acest proces este al treilea caz în care s-a recunoscut responsabilitatea de despăgubire a Benesse. La începutul acestui articol, am scris că “în 2019, au existat noi evoluții în unele dintre procesele legate de acest caz”, dar toate cele trei hotărâri care au recunoscut responsabilitatea de despăgubire a Benesse au fost emise în 2019.

https://monolith.law/corporate/act-on-the-protection-of-personal-information-privacy-issues[ja]

Primul caz juridic care a recunoscut responsabilitatea Benesse

Judecata în primă instanță

Un bărbat a cerut despăgubiri pentru suferința psihică cauzată de scurgerea de către Benesse a informațiilor personale ale sale, ale soției și fiului său. În apel, a fost pentru prima dată când responsabilitatea Benesse a fost recunoscută.

În primă instanță (Judecătoria Yokohama, 16 februarie 2017), s-a recunoscut că Benesse a încălcat obligația de a fi atent, dar nu s-a găsit nicio dovadă concretă că a încălcat obligația de a înțelege modul în care sunt gestionate datele personale, astfel că cererea împotriva Benesse a fost respinsă. Bărbatul a făcut apel.

În primă instanță, deși Benesse a primit o recomandare de la Ministrul Economiei, Comerțului și Industriei pentru nerespectarea obligațiilor prevăzute de articolele 20 și 22 ale Legii Japoneze privind Protecția Datelor Personale și a cauzat această scurgere de informații, recomandarea în conformitate cu articolul 34 alineatul (1) al aceleiași legi este făcută atunci când este necesar să se protejeze drepturile și interesele individuale și nu necesită existența sau încălcarea obligației de a prevedea sau de a evita rezultatele la momentul scurgerii de informații. Prin urmare, doar faptul că a fost făcută această recomandare nu este suficient pentru a recunoaște că Benesse a avut o neglijență în conformitate cu articolul 709 al Codului Civil Japonez la momentul scurgerii de informații.

Judecata în apel

În apel, Curtea Superioară din Tokyo (27 iunie 2019) a presupus că acesta nu a fost un delict complex care a necesitat aplicarea unor cunoștințe avansate sau utilizarea unor tehnici speciale, ci un delict simplu care a fost comis după ce s-a descoperit că transferul de date este posibil prin conectarea unui smartphone la un computer de serviciu cu un cablu USB comercial pentru încărcare. S-a recunoscut că firma Synform a avut o neglijență în nerespectarea obligației de a lua măsuri de control al scrierii pentru smartphone-urile compatibile MTP. De asemenea, s-a recunoscut că Benesse, care a delegat gestionarea unei cantități mari de informații personale, a avut o neglijență în nerespectarea obligației de a supraveghea corespunzător contractorul în ceea ce privește gestionarea informațiilor personale la momentul scurgerii. Aceste acte ilicite comise de ambele companii au fost considerate acte ilicite comune (articolul 719 alineatul (1) al Codului Civil Japonez).

Și apoi, “Este natural ca apelanții să nu dorească ca aceste informații personale să fie dezvăluite la întâmplare altor persoane pe care nu le doresc, deci aceste informații personale sunt subiectul protecției legale ca informații legate de intimitatea apelanților, și prin această scurgere, se poate spune că intimitatea apelanților a fost încălcată”. Pe baza acestui fapt, imediat după descoperirea scurgerii, au început să ia măsuri, au luat măsuri pentru a preveni extinderea daunelor cauzate de scurgerea de informații, au raportat și au investigat în conformitate cu instrucțiunile autorității de supraveghere. În plus, au trimis scrisori de scuze clienților care se crede că au avut scurgeri de informații și au distribuit cupoane în valoare de 500 de yeni în funcție de alegere, iar apelanții au primit fiecare un cadou electronic de 500 de yeni. Pe baza acestor fapte, Benesse a fost obligată să plătească fiecăruia 2000 de yeni ca despăgubiri.

Al doilea caz juridic în care responsabilitatea Benesse a fost recunoscută

Pe 6 septembrie 2019, la Tribunalul din Tokyo, a avut loc o hotărâre într-un proces în care 13 clienți au cerut companiei și companiei asociate despăgubiri în valoare totală de 980.000 de yeni. Benesse și compania Shinform au fost obligate să plătească 3.000 de yeni pe persoană (3.300 de yeni pentru o persoană), totalizând 42.300 de yeni.

Instanța nu a recunoscut responsabilitatea utilizatorului Benesse față de compania Shinform, așa cum au solicitat reclamanții, deoarece este o entitate separată. Cu toate acestea, Shinform nu a revizuit setările software-ului de securitate, ceea ce a permis transferul de date de la un computer de serviciu la un smartphone compatibil MTP. Prin urmare, a fost considerat că există o neglijență în încălcarea obligației de control al exportului de informații. Benesse, în dezvoltarea acestui sistem, a avut obligația de a supraveghea selectarea contractorilor în baza principiului bunei credințe atunci când a încredințat manipularea unei cantități mari de informații ale clienților, inclusiv reclamanții. Prin urmare, a fost recunoscută o acțiune ilegală comună (Articolul 719, paragraful 1, al Codului Civil Japonez) și a fost ordonată plata despăgubirilor către reclamanți.

https://monolith.law/reputation/employer-liability-responsibility-in-defamation[ja]

În această hotărâre, articolul 22 din Legea Japoneză privind Protecția Datelor cu Caracter Personal a fost citat, stipulând că “operatorii de date cu caracter personal trebuie să supravegheze în mod adecvat și necesar persoanele cărora le-au încredințat totalitatea sau o parte a prelucrării datelor cu caracter personal, pentru a asigura gestionarea sigură a datelor cu caracter personal încredințate”. De asemenea, a fost subliniat că “supravegherea adecvată și necesară” din Ghidul Ministerului Economiei, Comerțului și Industriei din anul Heisei 21 (2009) include selectarea adecvată a contractorilor, încheierea unui contract necesar pentru a asigura respectarea măsurilor de securitate prevăzute de articolul 20 din Legea Japoneză privind Protecția Datelor cu Caracter Personal și înțelegerea situației de prelucrare a datelor cu caracter personal încredințate de către contractor.

Rezumat

Inițial, Benesse a pregătit un fond de 200 de miliarde de yeni pentru compensarea victimelor, dar acesta s-a dovedit a fi insuficient. În noiembrie 2014, Asociația Japoneză pentru Promovarea Economiei și Societății Informaționale a retras marca de confidențialitate acordată companiilor care gestionează corespunzător informațiile personale, pe care Benesse Holdings o deținea. Numărul de membri ai “Shinken Seminar” și “Kodomo Challenge” în aprilie 2015 (Anul Heisei 27) a fost de 2,71 milioane, o scădere de 940.000 față de aceeași lună a anului precedent. În trimestrul aprilie-iunie, vânzările consolidate au scăzut cu 7% față de aceeași perioadă a anului precedent, iar profitul operațional a scăzut cu 88%. Profitul operațional a trecut de la un profit de 3,91 miliarde de yeni în aceeași perioadă a anului precedent la o pierdere de 430 de milioane de yeni. Riscul de despăgubiri pentru scurgerile de informații personale poate deveni o problemă de viață și de moarte pentru companii.