När ett företag eller en myndighet förlorar personuppgifter är den första frågan för många drabbade enkel: kan jag stämma, och vad skulle jag faktiskt få? En fall-för-fall-granskning av koreanska domstolsutslag, publicerad av Korean Data Law Notes, försöker besvara den frågan med hjälp av själva domarna. Den sammanställer skadestånd per person vid koreanska dataintrång i en tabell, tillsammans med målnummer, den väg varje mål tog genom domstolarna och de faktorer som skilde ett skadeståndsbeslut från ett avslag.

Helhetsbilden är nykter. Skadeståndsbeloppen per person i dessa mål tenderar att vara blygsamma, och huruvida ett krav lyckas beror på de specifika omständigheterna i varje enskilt mål. Det är användbar kontext för den som överväger ett civilrättsligt krav, i Korea eller någon annanstans.

Vad koreanska domstolar har tilldömt per person

Granskningen är organiserad kring det belopp varje käranden erhöll, inte kring intrångets rubrikmässiga storlek. Den distinktionen spelar roll. Ett intrång kan omfatta miljontals register, men en skadeståndstalan avgörs käranden för käranden, och den summa som tilldöms varje person är det som avgör huruvida ett krav är värt ansträngningen.

Källan beskriver skadeståndsbeloppen som en fall-för-fall-tabell snarare än ett enda genomsnitt, och vi återger inte siffror här som vi inte kan verifiera utöver den beskrivningen. Läsare som vill ha exakta belopp och målnummer bör konsultera den ursprungliga tabellen. Den genomgående slutsatsen är att domstolarna inte har behandlat ett intrång som en automatisk väg till en stor utbetalning. Beloppen är typiskt sett blygsamma per person, och vissa krav har slutat i avslag.

Varför vissa krav lyckades och andra avslogs

Den mest värdefulla delen av granskningen är dess fokus på de faktorer som skilde ett skadeståndsbeslut från ett avslag. Eftersom tabellen bygger på domarna visar den vad domstolarna faktiskt vägde, i stället för vad kärandena hoppades att de skulle väga.

Utan att gå utöver vad källan anger är den allmänna lärdomen att utgången berodde på omständigheterna i varje enskilt mål. Två intrång av liknande storlek kan leda till olika resultat eftersom domstolarna noggrant granskar detaljerna kring vad som hände och vad varje käranden kunde visa. För potentiella käranden innebär detta att förekomsten av ett intrång i sig inte avgör saken. Hur intrånget skedde, vad som exponerades och hur organisationen hanterade uppgifterna blir alla en del av den rättsliga analysen.

Detta är också en påminnelse om att underrättelser om intrång inte är detsamma som rättsliga avgöranden. Att ett företag bekräftar att uppgifter exponerats är ett steg. Att övertyga en domstol om att det är skyldigt en specifik person ersättning är ett annat.

Hur ett intrångskrav rör sig genom domstolarna

Granskningen följer också den väg varje mål tog genom domstolarna. Det är värt att notera eftersom en skadeståndstalan inte är en enskild händelse. Resultat kan förändras från en domstolsinstans till nästa, och ett mål kan se annorlunda ut efter överklagande än det gjorde i första instans.

För läsare är den praktiska poängen timing och uthållighet. Ett krav kan ta en lång väg innan ett slutligt belopp fastställs, och ett initialt avgörande är inte alltid det sista ordet. Den som överväger rättsliga åtgärder bör förvänta sig en process, inte en snabb lösning, och bör söka råd från en kvalificerad jurist i den relevanta jurisdiktionen.

Vad drabbade av intrång utanför Korea kan ta med sig från dessa utslag

Koreansk lag är inte andra länders lag, och utslagen förutsäger inte utgången någon annanstans. Ändå är mönstret en användbar verklighetskontroll. Domstolar på många håll står inför samma underliggande fråga: hur man sätter ett monetärt värde på exponeringen av personuppgifter när skadan kan vara diffus eller ännu inte fullt utvecklad.

Det koreanska materialet tyder på att förväntningarna bör vara måttliga. Även när kärandena vinner är beloppet per person ofta litet jämfört med ansträngningen att tvista. Det gör inte kraven meningslösa, särskilt när många människor går samman, men det innebär att rättslig ersättning inte bör vara din enda försvarslinje.

Vad detta innebär för dig

Om dina uppgifter har exponerats bör du betrakta en stämning som ett möjligt alternativ, inte som planen. Ersättning, om den kommer, kan vara blygsam och långsam. Att skydda dig själv är något du kan börja med omedelbart, och det är inte beroende av någon domstol.

Intrång fortsätter också att inträffa, ofta genom välorganiserade kriminella grupper. Den senaste rapporteringen om en gemensam sydkoreansk och amerikansk insats mot ransomware-gänget GUNRA visar hur aktiv det hotet är, och fallet med en Accenture-konsult som avlägsnats från FBI efter en läcka visar att även känsliga organisationer kan förlora personuppgifter.

Åtgärder att vidta

  • Ta reda på vad som exponerades. Namn, kontaktuppgifter och identifikationsnummer innebär olika risker. Läs underrättelsen om intrånget noggrant.
  • Byt återanvända lösenord och aktivera flerfaktorsautentisering för viktiga konton.
  • Var uppmärksam på nätfiske. Exponerade kontaktuppgifter används ofta för riktade bedrägerimeddelanden.
  • Spara dokumentation. Spara underrättelser om intrång, e-postmeddelanden och allt som visar hur du påverkades, ifall du bestämmer dig för att driva ett krav.
  • Sök lokal juridisk rådgivning innan du lämnar in något, eftersom utgången beror på jurisdiktionen och omständigheterna.

Materialet om skadestånd per person vid koreanska dataintrång visar att domstolarna väger detaljerna och att beloppen vanligtvis är blygsamma. Oavsett om du någonsin kommer att framställa ett krav eller inte, ta reda på vad ett intrång faktiskt exponerade och agera utifrån det. För ett färskt koreanskt exempel på exponerade personuppgifter, se vår rapport om det sydkoreanska diplomatintrånget som exponerade 10 000 register.