數(shù)據(jù)泄露事故是給企業(yè)帶來持續(xù)影響的商業(yè)危機(jī)。當(dāng)發(fā)現(xiàn)有數(shù)據(jù)泄露事故發(fā)生時(shí)，企業(yè)應(yīng)該調(diào)查發(fā)生了什么事情、修復(fù)安全漏洞、配合執(zhí)法部門工作以及遵守通知法規(guī)，認(rèn)真遵循這些步驟可幫助企業(yè)減少影響。同時(shí)，面對數(shù)據(jù)泄露事故的企業(yè)還需要關(guān)注后續(xù)的訴訟。

這里的訴訟可能是政府執(zhí)法部門訴訟的形式，也可能是來自雇員、消費(fèi)者或第三方的私人訴訟形式。本文中我們將探討企業(yè)可能面臨的數(shù)據(jù)泄露訴訟類型、其中涉及哪些法律理論以及可采取哪些防范措施。

首先的問題是，誰起訴?這通常是與企業(yè)簽有合同以保護(hù)其個(gè)人機(jī)密信息或患者醫(yī)療信息的消費(fèi)者、金融機(jī)構(gòu)和第三方。我們會看到消費(fèi)者起訴，而且也看到越來越多金融機(jī)構(gòu)(銀行和信用機(jī)構(gòu)，數(shù)據(jù)泄露事故讓他們不得不發(fā)行新的信用卡或者償還消費(fèi)者)提起集體訴訟來彌補(bǔ)其成本和業(yè)務(wù)損失。

最近的例子是Home Depot數(shù)據(jù)泄露訴訟以及美國佐治亞州北部聯(lián)邦地區(qū)法院針對該公司的多區(qū)域訴訟，這里包括消費(fèi)者集體訴訟和金融機(jī)構(gòu)集體訴訟。

與金融機(jī)構(gòu)集體訴訟相比，消費(fèi)者集體訴訟案件可能處于不利地位，因?yàn)橄M(fèi)者可能很難證明其訴訟資格或者受到的損失。通常情況下，由于他們已經(jīng)得到賠償以及無法證明身份被盜，消費(fèi)者可能無法在法庭保留其索賠權(quán)力。而金融機(jī)構(gòu)則可能可以證明數(shù)據(jù)泄露之前、期間或者之后由于被告企業(yè)沒有采取措施或因不合理的行為造成其經(jīng)濟(jì)損失。

其次，法院何時(shí)允許訴訟?這可能取決于訴訟是在州立還是聯(lián)邦法院。在聯(lián)邦法院，原告必須符合訴訟資格要求。也就是說，根據(jù)聯(lián)邦憲法第三條的要求，他們必須反駁被告的觀點(diǎn)。即使他們克服這個(gè)障礙，他們還必須證明他們受到可被法庭認(rèn)可的傷害。

這些可能是很困難的事情。在數(shù)據(jù)泄露集體訴訟案件中，原告是否有資格通常取決于原告是否有受到實(shí)際傷害，而不僅僅是受傷害的風(fēng)險(xiǎn)或可能性。

在2013年“克拉珀訴大赦國際”一案(Clapper v Amnesty International)中，美國最高法院認(rèn)為，對于聲稱未來可能受到傷害的原告，要在聯(lián)邦法庭獲得訴訟資格，原告必須證明其聲稱的傷害即將到來。 這通常被成功地用來擊敗原告的控告，因?yàn)樗麄儫o法指出已經(jīng)發(fā)生的任何特定的身份盜竊或其他傷害，只能說明發(fā)生這種傷害的可能性。

話雖如此，并非所有原告都注定會提起訴訟而無法證明實(shí)際損害。在2015年，美國第七巡回法院判決Remijas訴Neiman Marcus Group重要案件時(shí)指出，“Clapper沒有排除任何未來傷害來支持聯(lián)邦憲法第三條的訴訟資格要求”，以及傷害的“實(shí)質(zhì)性風(fēng)險(xiǎn)”可能已經(jīng)足夠。

自從第七巡回法院判決以來，有些巡回法院也做出類似裁決：例如第六巡回法院在Galaria訴Nationwide Mutual Insurance Co.案件中認(rèn)為原告的個(gè)人信息從后者公司計(jì)算機(jī)網(wǎng)絡(luò)被竊取就有訴訟資格。盡管如此，第三條訴訟資格可能會特別繁瑣。

那么，這樣的傷害是否可以得到賠償?雖然法律學(xué)對于外行來說可能很神秘，但我們在這里不會探討這些學(xué)說，只是說，他們不僅要提出未來傷害的可能性，他們還必須證明他們所指稱的傷害是法院可以聽到的那種傷害，以及當(dāng)訴訟成功時(shí)可實(shí)際補(bǔ)救的傷害。

這可幫助鼓勵(lì)嚴(yán)格的數(shù)據(jù)安全管理和數(shù)據(jù)泄露通知合規(guī)性。越多的公司可保護(hù)消費(fèi)者以及迅速對泄露事故作出響應(yīng)，其訴訟辯護(hù)就會越強(qiáng)。這就是說，將對消費(fèi)者的傷害降到最低既是好的企業(yè)做法也是很好的訴訟策略。

應(yīng)當(dāng)指出的是，美國州立法院在這些問題上可以更寬容一些。由于他們是根據(jù)州法律來判決民事案件，他們不需要按照聯(lián)邦憲法的標(biāo)準(zhǔn)。假設(shè)原告將訴訟提交給州立法院(這對于集體訴訟可能很難，因?yàn)閿?shù)據(jù)泄露事故通常都會影響整個(gè)國家的消費(fèi)者)，那應(yīng)該按照州法，而不是憲法或者聯(lián)邦法規(guī)的立場。

第三，原告會提出什么控告?他們越來越多地會提出疏忽、違反合約、消費(fèi)者保護(hù)和不正當(dāng)競爭等。事實(shí)上，我們對過去三年的案件調(diào)查顯示，疏忽主張?jiān)絹碓绞軞g迎。上面提及的Home Depot數(shù)據(jù)泄露訴訟就包括疏忽，疏忽本身，以及違反各種不公平和欺騙性貿(mào)易慣例法規(guī)。

原告通常不能轉(zhuǎn)向數(shù)據(jù)泄露通知法規(guī)。雖然這些法規(guī)通常會為州檢察長辦公室提供對違反這些法規(guī)的人的制裁權(quán)力，但很少向個(gè)人消費(fèi)者或州居民提供私人的行動(dòng)權(quán)。

值得注意的是，數(shù)據(jù)泄露訴訟通常是以和解或解雇為結(jié)果;很少有案件得到裁決。對于一般民事訴訟來說確實(shí)是這樣，大多數(shù)案件從未在審判中得到最終裁決。舉例來說，Home Depot訴訟有兩個(gè)集體訴訟和解：一個(gè)是消費(fèi)者集體訴訟，另一個(gè)是金融機(jī)構(gòu)集體訴訟。

對于一家遭受數(shù)據(jù)泄露的公司來說，這可能看起來不公平，在淪為犯罪活動(dòng)的受害者后，該公司可能還不得不面臨監(jiān)管合規(guī)和潛在訴訟。有跡象表明，美國各州和聯(lián)邦執(zhí)法機(jī)構(gòu)越來越多地將公司視為受害者，而不是以某種方式參與數(shù)據(jù)泄露事故。

盡管如此，只要企業(yè)收集、維護(hù)和使用機(jī)密的個(gè)人信息，他們就必須維持合理的安全策略以保護(hù)信息的安全，并在發(fā)生數(shù)據(jù)安全事件時(shí)謹(jǐn)慎行事。合理的行動(dòng)可增加后續(xù)訴訟的成功率，但并不能保證一定成功。最大限度減少對消費(fèi)者的傷害不僅是正確的做法，而且可在數(shù)據(jù)泄露訴訟中提高企業(yè)自身的辯護(hù)。