Co po kradzieży danych?

Z ostatniego orzeczenia sądu w Kalifornii wynika, że firmy zajmujące się wystawianiem kart płatniczych, oraz ich obsługą nie muszą informować swoich klientów o tym, że z różnych powodów prywatne dane klientów (w tym dane finansowe) wyciekły z ich przedsiębiorstwa...

Sprawę relacjonuje The Register. Wszystko się zaczęło od zbiorowego pozwu (PDF) przeciwko CardSystems Solutions, Visa oraz MasterCard, z których to firm wyciekły w czerwcu dane.

Firma prawnicza, która prowadziła tę sprawę argumentowała, że wystawcy kart naruszyli prawo stanowe Stanu Kalifornie, gdyż nie poinformowali osób, których dane zostały wykradzione o tym fakcie.

Problem w tym, że wystawcy kart nie współpracują z "konsumentami" w rozumienia tamtejszego prawa, a z przedsiębiorcami (klientami wystawców kart płatniczych są banki). Zatem jeśli prawo mówi o tym, że należy poinformować konsumenta w przypadku wycieku danych (a nie mówi o osobie, której dane dotyczą), to nawet jak wyciekło te - bagatela - 200 tys rekordów, a uzyskano dostęp do danych blisko 40 milionów osób, to nie są to dane konsumentów w rozumieniu tamtego prawa.

Sąd zaś przychylił się do koncepcji, że wystawcy kart nie musieli informować osób, których dane dotyczą, gdyż "nie było bezpośredniej groźby powstania nienaprawialnego naruszenia prawa (szkody) dla tych osób ("I don't think there is an immediate threat of irreparable injury" powiedział sędzia Richard Kramer).

Nawet w tym serwisie sporo razy pisałem o kradzieży tożsamości...