[비즈한국] Các doanh nghiệp đôi khi đưa ra những quyết định khó có thể giải thích chỉ bằng tiền bạc. Nếu hiểu rõ luật pháp hay thể chế ẩn sau đó, chúng ta có thể thấu hiểu cặn kẽ hơn nội tình của vấn đề. ‘Bí quyết pháp luật kinh doanh hữu ích (Alssul-bibeop)’ giới thiệu những manh mối giúp bạn hiểu rõ dòng chảy kinh doanh.
Nếu phát hiện muộn màng rằng một nhân viên đã nghỉ việc mang theo tài liệu của công ty, doanh nghiệp có thể làm được gì? Kết luận là tại thời điểm đó, không có nhiều việc có thể làm. Tòa án thường có cái nhìn tiêu cực đối với các vụ kiện mà công ty khởi kiện nhân viên. Ngay cả khi đã ký cam kết bảo mật hoặc biên bản bảo mật, không hiếm trường hợp tòa phủ nhận hiệu lực của chính văn bản đó, và việc bác bỏ các yêu cầu bồi thường thiệt hại hoặc yêu cầu phạt vi phạm dựa trên văn bản đó cũng rất phổ biến. Gần đây, dù có bằng chứng xác thực việc một nhân viên gửi hàng loạt tài liệu công ty qua KakaoTalk ngay trước khi nghỉ việc, tòa án vẫn bác bỏ yêu cầu của công ty với lý do 'có nhu cầu công việc và trước đó vẫn thường sử dụng KakaoTalk để làm việc'.
Vì vậy, bảo vệ thông tin không phải là vấn đề ứng phó hậu quả, mà là vấn đề thiết kế trước. Tuy nhiên, thiết kế đó cần phải cụ thể hơn so với những gì chúng ta thường nghĩ. Điểm gây nhầm lẫn trong các vụ rò rỉ thông tin chính là giá trị của thông tin. Mọi người thường cố gắng chứng minh giá trị của thông tin vì cho rằng thông tin bị rò rỉ có giá trị rất lớn, từ đó đòi bồi thường thiệt hại.
Nhưng đây lại là lập luận dễ bị phản bác. Có thể lập luận rằng thông tin kinh doanh thông thường, không phải là thông tin kỹ thuật cao, thì ai cũng có thể tạo ra nếu bỏ thời gian. Hơn nữa, việc chứng minh thông tin đó quan trọng đến mức quyết định sự sống còn của công ty là điều gần như bất khả thi. Nói cách khác, cách tiếp cận đánh giá khách quan giá trị thông tin để tính toán mức thiệt hại thường là không thực tế.
Do đó, thực tiễn gần đây đang tiếp cận theo hướng thông tin đã được quản lý như thế nào thay vì giá trị của nó ra sao. Phán quyết 2023Gadan100497 của Tòa án quận Seoul phía Bắc đã chấp nhận yêu cầu bồi thường thiệt hại đối với nhân viên đã nghỉ việc và tuyên mức bồi thường 15 triệu Won. Trong vụ việc này, khi ký hợp đồng lao động, nhân viên đã cam kết sẽ không tự ý tiết lộ hoặc sử dụng bí mật kinh doanh và tài liệu mật biết được trong thời gian làm việc, ngay cả sau khi nghỉ việc. Tuy nhiên, người này đã làm rò rỉ thông tin khách hàng và thông tin về các vấn đề kinh doanh là đối tượng cam kết, và sự thật đó đã được xác nhận bằng bằng chứng khách quan.
Để ngăn chặn rò rỉ thông tin quan trọng, công ty đã cấp cho nhân viên máy tính xách tay và máy tính để bàn để làm việc, nhưng nhân viên này đã đơn phương thông báo sẽ sử dụng máy tính cá nhân và tải thông tin khách hàng xuống máy tính đó. Tòa án cho rằng dù công nhận thiệt hại đã xảy ra nhưng khó chứng minh được số tiền cụ thể, nên theo nguyên tắc pháp luật có thể ấn định một khoản tiền đáng kể làm mức bồi thường, tòa đã tổng hợp các yếu tố như diễn biến và hình thức rò rỉ, việc có vào công ty đối thủ hay khởi nghiệp hay không, và việc các khách hàng cũ có rời đi hay không để ấn định mức bồi thường.
Có ba bài học rút ra từ phán quyết này. Thứ nhất, phải lập văn bản cam kết bảo mật một cách rõ ràng. Điều quan trọng nhất không phải là giá trị khách quan của thông tin mà là việc nó đã được quản lý về mặt vật lý và pháp lý hay chưa. Thứ hai, phải chứng minh sự thật về việc rò rỉ bằng phương pháp khách quan. Điều này có nghĩa là phải thường xuyên ghi chép và quản lý việc rò rỉ thông tin bằng các phương pháp kỹ thuật. Thứ ba, kết quả nào đã xảy ra do việc rò rỉ chỉ là yếu tố cân nhắc khi tính toán số tiền thiệt hại mà thôi.
Dòng chảy cùng hướng này có thể được nhìn thấy ở những nơi khác. Xem xét việc sửa đổi Luật thầu phụ gần đây và thực tiễn thi hành của Ủy ban Thương mại Công bằng, 해석 (cách hiểu) chủ đạo hiện nay là thay vì đong đếm giá trị khách quan của thông tin, nếu thông tin đó đã được quản lý như một bí mật và được đánh giá là có giá trị kinh doanh thì việc bảo vệ nó là điều đương nhiên. Giá trị kinh tế mà thông tin đó tạo ra không phải là vấn đề then chốt.
Tóm lại, điều công ty cần chứng minh không phải là 'thông tin này tuyệt vời đến mức nào' mà là 'chúng ta đã coi thông tin này là bí mật như thế nào'. Việc để lại dấu vết quản lý chính là khả năng ứng phó pháp lý. Có sáu cách để để lại dấu vết đó như sau.
Thứ nhất, cam kết không phải là để nhận về mà là để thiết kế. Nhiều công ty an tâm sau khi nhận được một tờ cam kết lúc mới vào làm. Tuy nhiên, quan trọng hơn việc có văn bản là nội dung của cam kết đó được cấu trúc như thế nào. Trước hết, cần định nghĩa lại thông tin cần bảo vệ. Nếu phạm vi quá rộng, tranh cãi về sự bất công có thể xảy ra, và nếu quá hẹp, lợi ích thực tế của văn bản sẽ biến mất. Điều khoản phạt vi phạm cũng vậy. Nếu số tiền quá lớn, tòa có thể tuyên vô hiệu toàn bộ điều khoản khiến nó không thể sử dụng khi thực sự cần, vì vậy an toàn hơn là thiết kế lại cho tương xứng với mức lương thực nhận. Ngoài ra, cần đảm bảo sự đồng ý trước về việc thực hiện điều tra pháp y đối với các thiết bị điện tử khi nghi ngờ rò rỉ. Nếu không có sự đồng ý này, bạn sẽ bị chặn ngay từ bước thu thập bằng chứng sau này.
Thứ hai, không có kiểm soát pháp lý nếu không có kiểm soát kỹ thuật. Việc bảo vệ tài sản thông tin không hoàn thiện chỉ bằng văn bản pháp lý. Cần thực hiện song song các biện pháp như chuyển dữ liệu công ty sang đám mây để bản sao không còn lưu lại trên thiết bị cá nhân, và cài đặt chương trình quản lý an ninh trên máy tính làm việc để có thể kiểm tra lịch sử sử dụng và mang tệp tin ra ngoài từ trung tâm. Các biện pháp kỹ thuật này vừa ngăn chặn rò rỉ, vừa có ý nghĩa lớn hơn ở việc để lại bằng chứng khách quan về việc ai đã mang cái gì ra ngoài và khi nào. Việc công ty cấp thiết bị làm việc đã ảnh hưởng đến phán quyết nêu trên cũng nằm trong cùng bối cảnh này. Tuy nhiên, vì việc đưa công nghệ vào không phải là mục đích cuối cùng, cần thảo luận trước với công ty bảo mật để phù hợp với hệ thống quản lý và kiểm soát pháp lý.
Thứ ba, quy định không được dừng lại ở ban hành mà phải thực thi. Quy định bảo mật phải được ban hành như một phần của quy tắc làm việc, thông qua nghị quyết của hội đồng quản trị và đăng tải lên mạng nội bộ công ty. Trong quy định, cần ghi rõ rằng việc truyền tài liệu công ty qua KakaoTalk hoặc Telegram cá nhân không phải là kênh liên lạc chính thức, bất kể mục đích công việc hay người nhận, đều bị coi là vi phạm quy định công ty. Khi nhớ lại trường hợp lời biện minh 'có nhu cầu công việc' được chấp nhận, lý do cho điều này trở nên rõ ràng. Hơn nữa, cần giám sát máy tính của nhân viên trong một thời gian nhất định để lập báo cáo kiểm toán bảo mật và chia sẻ kết quả. Điều này là để có thể chứng minh khách quan rằng quy định không chỉ là lời tuyên bố mà thực sự đang được thực thi.
Thứ tư, trước quy định phải có giáo dục. Trước khi thu cam kết và thi hành quy định bảo mật, phải thực hiện giáo dục để giải thích ý nghĩa của nó. Sự kiểm soát đột ngột sẽ tạo ra phản kháng, và phản kháng chính là nguyên liệu để tranh cãi về hiệu lực của thỏa thuận sau này. Bản thân hồ sơ đã trải qua quá trình giáo dục cũng là bằng chứng cho thấy công ty đã coi trọng việc quản lý thông tin.
Thứ năm, cửa ải cuối cùng là thủ tục nghỉ việc. Phải tiêu chuẩn hóa quy trình ứng phó khi nghỉ việc. Từ phỏng vấn người nghỉ việc, thu hồi thiết bị điện tử, thực hiện pháp y nếu cần thiết, đến việc viết biên bản xác nhận hoàn trả và biên bản hủy tài liệu, tất cả các bước riêng lẻ phải được quy định bằng văn bản và áp dụng không ngoại lệ. Hầu hết các tranh chấp đều tạo ra hoặc làm mất bằng chứng trong giai đoạn ngắn ngủi này.
Thứ sáu, kiểm soát nhưng phải trả thù lao. Chính sách công ty cấp riêng máy tính làm việc và cấm sử dụng máy tính xách tay cá nhân, chính sách hạn chế sử dụng tin nhắn cá nhân, bản thân nó là một chế độ bất tiện cho nhân viên. Do đó, cần xem xét phương án trả phụ cấp bảo vệ thông tin riêng. Việc này không chỉ nâng cao sự chấp nhận của nhân viên mà sự kiện có bồi thường tương xứng với sự kiểm soát có thể hoạt động có lợi cho công ty khi tranh cãi về hiệu lực của thỏa thuận sau này.
Tóm lại những nội dung trên như sau. Thứ nhất, thuyết phục tòa án không phải bằng giá trị thông tin mà bằng dấu vết quản lý. Thứ hai, cam kết, quy định bảo mật, kiểm soát kỹ thuật và thủ tục nghỉ việc không phải là các biện pháp tách rời mà hoạt động như một bộ sản phẩm. Thứ ba, chi phí cho tất cả những biện pháp này thấp hơn nhiều so với chi phí và thời gian cho một vụ kiện rò rỉ thông tin. Tài sản thông tin của công ty là kết quả của sự tin tưởng và nỗ lực tích lũy trong thời gian dài. Công việc bảo vệ nó không phải bắt đầu sau khi sự việc xảy ra, mà phải bắt đầu ngay từ bây giờ khi chưa có chuyện gì xảy ra.