Η Shopify αντιμετωπίζει μια ομαδική αγωγή για παραβίαση δεδομένων στις ΗΠΑ, η οποία θα μπορούσε να αλλάξει τον τρόπο με τον οποίο οι εταιρείες που δραστηριοποιούνται παγκοσμίως μπορούν να θεωρηθούν υπόλογες.
Η προτεινόμενη ομαδική αγωγή αποτελεί αναβίωση μιας υπόθεσης που είχε απορριφθεί από έναν δικαστή κατώτερου δικαστηρίου και μια τριμελή επιτροπή του Εφετείου του 9ου Περιφερειακού Δικαστηρίου. Αλλά τώρα έχει επανέλθει μετά από απόφαση της ολομέλειας του 9ου Περιφερειακού Δικαστηρίου.
Η Shopify είναι μια παγκόσμια πλατφόρμα εμπορίου με έδρα την Οτάβα του Καναδά. Παρέχει την υποδομή και τα εργαλεία που χρησιμοποιούν επιχειρήσεις όλων των μεγεθών για λιανικές δραστηριότητες, τόσο online όσο και offline.
Για την παροχή αυτών των υπηρεσιών, η Shopify συλλέγει προσωπικά αναγνωρίσιμες πληροφορίες (PII) από τους αγοραστές, κυρίως για να διευκολύνει και να βελτιώσει την εμπειρία εμπορίου τους. Αυτά τα δεδομένα περιλαμβάνουν ονόματα, διευθύνσεις email, αριθμούς τηλεφώνου, διευθύνσεις αποστολής και χρέωσης, διευθύνσεις IP, πληροφορίες συσκευής και δεδομένα συμπεριφοράς. Δηλαδή, όλες τις πληροφορίες που απαιτούνται για την επεξεργασία παραγγελιών, τη διαχείριση πληρωμών, την αποστολή προϊόντων και την αποτελεσματική επικοινωνία με τους τελικούς πελάτες.
Με αυτήν τη συλλογή PII έρχεται και η ευθύνη. Η Shopify αναγνωρίζει ότι τα δεδομένα ανήκουν στους χρήστες και συλλέγονται μόνο στο βαθμό που είναι απαραίτητο για την παροχή των υπηρεσιών της. Ισχυρίζεται ότι εφαρμόζει ισχυρά μέτρα ασφαλείας για την προστασία αυτών των δεδομένων από μη εξουσιοδοτημένη πρόσβαση και συμμορφώνεται με τους σχετικούς νόμους περί απορρήτου, όπως ο GDPR.
Ωστόσο, ο Brandon Briskin, κάτοικος της Καλιφόρνια, ισχυρίζεται ότι το Shopify εγκατέστησε cookies παρακολούθησης στο iPhone του χωρίς τη συγκατάθεσή του όταν αγόρασε αθλητικά ρούχα από έναν λιανοπωλητή και χρησιμοποίησε τα δεδομένα του για να δημιουργήσει ένα προφίλ που θα μπορούσε να πουλήσει σε άλλους εμπόρους.
Η υπόθεση απορρίφθηκε αρχικά αφού το Shopify υποστήριξε ότι δεν έπρεπε να μηνυθεί στην Καλιφόρνια επειδή λειτουργεί σε εθνικό επίπεδο και δεν στόχευε τη συμπεριφορά του προς αυτήν την πολιτεία.
Η απόρριψη ανακλήθηκε επειδή οι δικαστές διαπίστωσαν ότι:
«Το Shopify σκόπιμα προσέγγισε… εγκαθιστώντας εν γνώσει του λογισμικό παρακολούθησης σε τηλέφωνα ανυποψίαστων Καλιφορνέζων, ώστε να μπορεί αργότερα να πουλήσει τα δεδομένα που έλαβε, με τρόπο που δεν ήταν ούτε τυχαίος, ούτε μεμονωμένος ούτε τυχαίος».
Ένας εκπρόσωπος του Shopify δήλωσε στο Reuters ότι η απόφαση καθιστά τους διαδικτυακούς λιανοπωλητές ευάλωτους σε αγωγές οπουδήποτε και «επιτίθεται στα βασικά του τρόπου λειτουργίας του διαδικτύου» και ότι σύρει τους επιχειρηματίες που διευθύνουν διαδικτυακές επιχειρήσεις σε μακρινές δικαστικές αίθουσες, ανεξάρτητα από το πού λειτουργούν.
Ο δικηγόρος του Briskin δήλωσε ότι το δικαστήριο ενίσχυσε την λογοδοσία για τις εταιρείες που βασίζονται στο διαδίκτυο απορρίπτοντας το επιχείρημα ότι μια εταιρεία δεν βρίσκεται δικαιοδοτικά «πουθενά» επειδή δραστηριοποιείται «παντού».
Και πολλές πολιτείες των ΗΠΑ συμφώνησαν ότι χρειάζονται την ικανότητα να επιβάλλουν τους δικούς τους νόμους προστασίας των καταναλωτών έναντι εταιρειών που επωφελούνται από τις τοπικές αγορές μέσω του διαδικτύου.
Η γενική προσδοκία είναι ότι αυτή η απόφαση θα μπορούσε να διευκολύνει τα αμερικανικά δικαστήρια να διεκδικήσουν δικαιοδοσία επί των πλατφορμών που βασίζονται στο διαδίκτυο. Η πλειοψηφία του 9ου Περιφερειακού Δικαστηρίου, το οποίο περιλαμβάνει εννέα δυτικές πολιτείες των ΗΠΑ, το Γκουάμ και τις Βόρειες Μαριάνες Νήσους, τήρησε τον «κανόνα του ταξιδεύοντος cookie» επειδή «παράγει ανεπίτρεπτα δικαιοδοσία όπου κι αν πάει ο ενάγων».
Πηγή: MalwareBytes