مسئولیت سازمان‌ها در زمان نشت اطلاعات شخصی کاربران چیست؟ 

از تیرماه سال ۱۴۰۲ تا خردادماه سال ۱۴۰۴ معادل ۱۵ رخداد امنیتی در کشور اتفاق افتاده است. این گزاره، بخشی از بررسی مرکز پژوهش‌های مجلس از وضعیت امنیت سایبری ایران است که در آن هک سرورهای بنیاد شهید، تپسی، اطلاعات شرکت‌های بیمه و سامانه ثبت‌احوال در تابستان ۱۴۰۲، تا حمله به سایت وزارت علوم، شبکه سوخت، اسنپ‌فود، سایت مجلس، سامانه قوه قضائیه و بنیاد مستضعفان در پاییز و زمستان همان سال مرور شده است. در ادامه، هک بیش از بیست بانک ایرانی در شهریور ۱۴۰۳ و سرانجام، حمله‌های همزمان به بانک سپه، بانک پاسارگاد و صرافی نوبیتکس در جریان جنگ دوازده‌روزه رژیم صهیونیستی علیه ایران در خرداد ۱۴۰۴ هم ارزیابی شده است.

مرکز پژوهش‌های مجلس در این گزارش با بررسی ۱۵ رخداد امنیتی، پنج ضعف ساختاری در امنیت سایبری کشور را شناسایی کرده است. یکی از محورهای اصلی این گزارش، نبود مسئولیت‌پذیری سازمان‌ها و شرکت‌ها پس از وقوع حملات سایبری است. طبق نظر مرکز پژوهش‌های مجلس: «بسیاری از شرکت‌ها و سازمان‌ها پس از حمله‌های سایبری، هیچ‌گونه اقدام موثری برای جبران خسارت کاربران انجام نمی‌دهند.» در حالی سازمان‌ها و شرکت‌ها مسئولیت خود را در زمان یا پس از وقوع حملات سایبری نمی‌پذیرند که در بسیاری از کشورها شرکت‌ها موظف‌اند نقض داده را اعلام کنند، خسارت کاربران را جبران کنند یا خدمات جبرانی در اختیار آنها قرار دهند.

علت این وضعیت از نبود قانون جامع حفاظت از داده در ایران و نهاد ناظر مستقل نشات می‌گیرد. برای مثال، بر خلاف نمونه‌های خارجی بررسی‌شده در گزارش مرکز پژوهش‌های مجلس، زمان حمله به اسنپ‌فود، تپسی و همچنین حمله به بیش از ۲۰ بانک ایرانی در سال ۱۴۰۳ تاکید شده است که «در کشور ما دعاوی جمعی علیه شرکت شکل نگرفت» و «هیچ‌گونه اطلاعی در دست نیست که سازمان‌های مربوطه نیز شرکت را متهم و جریمه کرده باشند.»

همین الگو در زمان حملات سایبری به بانک‌های ملی، صادرات، تجارت و توسعه صادرات و دسترسی غیرمجاز به برخی داده‌های کاربران دیجی‌شهر در سال ۱۴۰۵ نیز تکرار شد. طبق بررسی‌های انجام شده، سازمان‌های مسئول پس از رخدادهای امنیتی سال جاری نیز اقدامی برای جبران خسارت کاربران یا اصلاح آسیب‌پذیری‌های امنیتی انجام نداده‌اند. کاربران ایرانی باز هم با ضعف در اطلاع‌رسانی و پاسخ‌گویی پس از وقوع حملات، نبود قانون جامع حفاظت از داده و نهاد مستقل ناظر، کمبود نیروی انسانی متخصص در امنیت سایبری و در نهایت، فقدان مسئولیت‌پذیری سازمان‌ها در قبال رخدادهای امنیتی و حقوقشان مواجه شدند.

کاربران ایرانی در برابر نشت اطلاعات شخصی چه حقوقی دارند؟

بررسی رخدادهای امنیتی سال‌های اخیر نشان می‌دهد که ایران هنوز یک قانون جامعه حفاظت از داده‌های شخصی با سازوکار مشابه GDPR ندارد. با این حال، برخی مواد در قانون تجارت الکترونیکی و قانون جرایم رایانه‌ای به حقوق کاربران ایرانی نسبت به اطلاعات شخصی و حفاظت از آن‌ها اشاره کرده است.  بر اساس ماده ۵۹ قانون تجارت الکترونیکی، کاربران ایرانی باید به اطلاعات شخصی در یک سایت مشخص دسترسی و حتی باید با رعایت ضوابط مربوطه، حق درخواست اصلاح یا حذف آن‌ها را داشته باشند. همچنین این ماده بر مشخص بودن هدف جمع‌آوری و نگهداری اطلاعات تاکید دارد. به این صورت که وقتی فردی رضایت خود را برای پردازش داده‌های شخصی می‌دهد، هدف جمع‌آوری باید مشخص و به‌روشنی توضیح داده شده باشد و اطلاعات نیز فقط به اندازه ضرورت و متناسب با همان هدف جمع‌آوری و برای همان اهداف استفاده شود.

خسارت کاربران پس از نشت اطلاعات شخصی جبران می‌شود؟

مواد ۱۲ و ۱۷ قانون جرایم رایانه‌ای عمدتاً ناظر بر رفتارهای مجرمانه مانند ربایش داده و انتشار محتوای خصوصی هستند، نه ایجاد یک حق عمومی برای دریافت خسارت. ماده ۱۲ قانون جرایم رایانه‌ای، سرقت غیرمجاز از داده‌های معلق به دیگری را جرم‌انگاری کرده است. همچنین، ماده یک همین قانون، دسترسی غیرمجاز به داده‌ها یا سامانه‌های رایانه‌ای و مخابراتی حفاظت‌شده را مصداق جرم دانسته است. بر این اساس، اگر مهاجم وارد سامانه شود و داده‌های کاربران را به‌طور غیرمجاز به دست آورد، بسته به شرایط پرونده می‌تواند مشمول این ماده یا عناوین مجرمانه دیگر شود.

 این در حالی است که بر اساس ماده ۷۸ قانون تجارت الکترونیکی، اگر در بستر مبادلات الکترونیکی به دلیل نقض یا ضعف سیستم موسسات خصوصی یا دولتی، اشخاص متحمل خسارت شوند، موسسه مربوطه مسئول جبران خسارت است. البته، در صورتی که خسارت به دلیل کوتاهی افراد باشد، مسئولیت متوجه آن شخص خواهد بود.  علاوه بر این، در قوانین ایران حمایت کیفری قوی‌تری نسبت به انتشار اطلاعات خصوصی اشخاص وجود دارد. برای مثال، اگر فردی به عکس‌ و فیلم‌های خصوصی یا خانوادگی شما دسترسی پیدا و آن‌ها را منتشر کند، دیگر با نشت داده مواجه نیستید و این موضوع می‌تواند عناوین کیفری دیگری هم پیدا کند.

خلاهای قانونی ایران در برابر نشت اطلاعات شخصی

بررسی قوانین ایران درباره حقوق کاربران ایرانی در زمان نشت اطلاعات شخصی آن‌ها نشان می‌دهد که هر چند قوانینی برای حمایت از داده‌های شخصی کاربران وجود دارد، اما این قوانین با ضعف‌های ساختاری و الزام‌آوری در مسئولیت‌پذیری و پاسخ‌گویی سازمان‌های دولتی و خصوصی نسبت به رخداد مواجه هستند. قانون تجارت الکترونیکی برای اشخاص حقیقی، حقوقی مانند دسترسی به داده‌های شخصی، اصلاح یا حذف داده‌های نادرست و ناقص و پرداخت خسارت در صورت ورود خسارت ناشی از نقض یا ضعف سیستم موسسات پیش‌بینی کرده است. از سوی دیگر، قانون جرایم رایانه‌ای رفتارهایی مانند دسترسی غیرمجاز و ربودن داده‌ها را جرم‌انگاری کرده است.

با این وجود، در ایران هیچ قانون جامع حفاظت از داده‌های شخصی وجود ندارد که مهلت مشخصی برای اطلاع‌رسانی نقض داده تعیین کند، شرکت‌ها را به جبران خسارت ملزم سازد یا نهادی مستقل را مسئول تحقیق و جریمه متخلفان قرار دهد. در غیاب چنین قانونی، «نهادهای نظارتی نیز قدرت و اختیار کافی برای مقابله با تخلف‌ها را ندارند» و همین خلا اجازه می‌دهد سازمان‌ها بدون هیچ الزام قانونی، رخداد را اعلام یا کتمان کنند، پاسخ‌گو باشند یا نباشند.