Eine Datei mit sensiblen personenbezogenen Informationen wurde versehentlich versendet. Der Vorfall wirft Fragen dazu auf, wie solche Fehler entstehen und wie sie behandelt werden.
Die jüngste Diskussion über Sullivan & Cromwell LLP konzentrierte sich auf die Risiken künstlicher Intelligenz in der Rechtspraxis. Dort entschuldigte sich die Kanzlei bei einem New Yorker Gericht, nachdem Schriftsätze mit unzutreffenden Zitaten eingereicht worden waren. Der Fall wurde häufig als Warnung vor den Risiken neuer KI-Technologien dargestellt.
Das zugrunde liegende Problem ist jedoch vertrauter: die Zuverlässigkeit professioneller Schutzmechanismen und der Systeme, die Fehler verhindern sollen, bevor sie die Außenwelt erreichen.
Ein separater Vorfall in London, an dem Orrick, Herrington & Sutcliffe LLP beteiligt war, rückt dieselbe Frage aus einem anderen Blickwinkel in den Mittelpunkt.
In einem aktuellen Fall wurde ein etwa 1.200 Seiten umfassender Schriftsatz über einen Dateifreigabelink an einen nicht vorgesehenen Empfänger übermittelt. Das Material enthielt personenbezogene Daten, Finanzinformationen und umfangreiche medizinische Unterlagen. Solche Daten erfordern im Allgemeinen besondere Sorgfalt.
Die Kanzlei hat eingeräumt, dass die Übermittlung versehentlich erfolgte. Nach der vorliegenden Darstellung wurde der Vorfall innerhalb relativ kurzer Zeit bearbeitet. Zugleich deutet der Sachverhalt darauf hin, dass die Angelegenheit von der anderen Empfängerseite angesprochen wurde und nicht bereits vorher durch die Kanzlei erkannt worden war.
Bei derartigen Vorfällen richten sich die ersten Fragen häufig darauf, was danach geschah: Wurde die Datei geöffnet, gespeichert oder weitergegeben? Diese Fragen sind wichtig. Es gibt jedoch auch einen früheren entscheidenden Moment: den Zeitpunkt, an dem die Daten die Kontrolle des Absenders verlassen. Von diesem Augenblick an besteht zumindest vorübergehend Unsicherheit.
Für Menschen, deren Informationen betroffen sind, ist diese Unsicherheit nicht abstrakt. Das gilt besonders, wenn medizinische oder finanzielle Angaben enthalten sind. Sie kann unabhängig davon belastend sein, was später über den Zugriff oder die Nutzung festgestellt wird.
Die moderne Rechtspraxis stützt sich auf technische und organisatorische Schutzmaßnahmen. Dazu gehören Prüfungen des Dokumenteninhalts, die Kontrolle von Empfängern und Verfahren, die sicherstellen sollen, dass sensible Informationen nur an berechtigte Personen weitergegeben werden.
Wenn trotz solcher Schutzmaßnahmen ein „Fehler“ geschieht, stellt sich nicht nur die Frage, was schiefgelaufen ist. Es geht auch darum, wie die Schutzmaßnahmen praktisch funktioniert haben, ob sie umgangen oder missverstanden wurden oder unter den konkreten Umständen nicht robust genug waren.
Der Vergleich mit Sullivan & Cromwell ist nicht vollständig und sollte nicht überdehnt werden. Die Sachverhalte und Zusammenhänge unterscheiden sich. Der eine Fall betrifft die Richtigkeit von Material vor Gericht, der andere den Umgang mit sensiblen personenbezogenen Daten.
Die breitere Schlussfolgerung ist dennoch maßvoll: Fehler dieser Art sind in Umgebungen, in denen unter Zeitdruck große Materialmengen bearbeitet werden, nicht unbekannt. Beide Situationen zeigen, dass Systeme, deren zuverlässige Funktion als selbstverständlich angenommen wird, unter bestimmten Umständen nicht wie vorgesehen arbeiten können.
Was danach geschieht
Solche Situationen werden selten allein durch den ursprünglichen Fehler bestimmt. Entscheidend sind häufig die Klarheit der Erklärung, eine mögliche Entschuldigung, die Angemessenheit der Schutzmaßnahmen und die Frage, ob Vertrauen wiederhergestellt werden kann.
Werden solche Vorfälle sorgfältig behandelt, können sie begrenzt bleiben. Werden sie weniger wirksam behandelt, kann eine weitergehende Prüfung entstehen, nicht nur des einzelnen Ereignisses, sondern auch der Systeme und Annahmen, die es ermöglicht haben.
Dann geht es nicht mehr nur um eine einzelne irrtümliche Übermittlung. Es geht darum, ob die Verfahren, die solche Ereignisse verhindern sollen, tatsächlich so zuverlässig funktionieren, wie es von ihnen erwartet wird.
Dieser Beitrag wird im öffentlichen Interesse veröffentlicht. Orrick, Herrington & Sutcliffe (UK) LLP wurde Gelegenheit zur Stellungnahme gegeben. Eine eingehende Antwort wird ergänzt.
Loopline Media
Hinweis: Dieser Beitrag ist eine deutsche Übersetzung und redaktionelle Bearbeitung des englischen Originals und stellt keine Rechtsberatung dar.
