هشدار درباره خلأ قانون حفاظت از دادههای شخصی
محمدرضا علیزاده ثابت، وکیل دادگستری، در گفتوگو با ۲۴نیوز، از مسئولیت حقوقی شرکتها در قبال نشت اطلاعات، حریم خصوصی دیجیتال و ضرورت قانون جامع حفاظت از دادههای شخصی میگوید.
محمدرضا علیزاده ثابت، وکیل پایه یک دادگستری و مدرس دانشگاه، در گفتوگویی اختصاصی با خبرنگار 24نیوز از ابعاد حقوقی افشای اطلاعات کاربران، مسئولیت شرکتها، مدیران، کارکنان و پیمانکاران در قبال نشت یا نقض دادهها و همچنین وضعیت حریم خصوصی دیجیتال در قوانین ایران گفته است.
علیزاده ثابت در این گفتوگو همچنین به تبعات نبود قانون جامع حفاظت از دادههای شخصی برای شهروندان و کسبوکارها و ضرورت تدوین یک نظام حقوقی منسجم برای حفاظت از دادهها در عصر اقتصاد داده و هوش مصنوعی پرداخته است.
در ادامه شرحی از این گفتوگو را میخوانیم:
در صورت افشای اطلاعات کاربران یک شرکت یا سازمان، مسئولیت حقوقی متوجه چه کسانی است؟
باید توجه کرد که افشای اطلاعات ممکن است در نتیجه «نشر اطلاعات»، «نشت اطلاعات» یا «نقض اطلاعات» رخ دهد. بدیهی است هر یک از این سه مورد ویژگیهای خاص خود را داشته و طبعاً آثار و نتایج متفاوتی خواهد داشت.
بهطور کلی، در تقسیم مسئولیت میتوان چنین گفت که افشای اطلاعات، بسته به شرایط وقوع و اینکه در قالب کدامیک از حالات سهگانه فوق رخ داده باشد، ممکن است منجر به مسئولیت مدنی، کیفری یا اداری و انتظامی شود.
اشخاصی که در این شرایط دارای مسئولیت هستند نیز، بسته به مورد و اینکه افشای اطلاعات تا چه حد در نتیجه عمد یا سهو بوده است، بهصورت مستقل، تضامنی یا مشارکتی قابل شناسایی هستند. برخی از حالات و اشخاص مسئول به شرح زیر قابل دستهبندی است.
الف) شخص حقوقی (شرکت یا سازمان)
نظر به اینکه شخص حقوقی بهعنوان متصدی جمعآوری و پردازش داده و ضامن حفظ امنیت آنهاست، ممکن است دارای مسئولیت کیفری باشد. همچنین ممکن است از باب اتلاف یا تسبیب، ضامن جبران خسارات مادی و معنوی واردشده به کاربران تلقی شود.
باید توجه کرد که حتی اگر افشاگری توسط عامل خارجی (هکر) صورت گرفته باشد، این امر رافع مسئولیت شخص حقوقی نیست؛ مگر آنکه شرکت اثبات کند تمام تدابیر متعارف و قانونی امنیتی را به کار بسته است.
ب) مدیران ارشد و اعضای هیئتمدیره
در صورت احراز قصور یا تقصیر در پیادهسازی استانداردهای امنیتی، مانند عدم استقرار سامانههای مدیریت امنیت اطلاعات یا عدم رعایت الزامات افتا، مدیران عامل و اعضای هیئتمدیره نیز ممکن است مسئولیت کیفری و مدنی داشته باشند.
اگر ثابت شود که مدیران با علم به آسیبپذیریها، اقدامی برای رفع آن نکردهاند، ممکن است مشمول مسئولیت کیفری شوند.
ج) کارکنان و عوامل داخلی
اگر افشای اطلاعات ناشی از عملکرد عمدی یا بیاحتیاطی کارکنان باشد و امکان اثبات عدم قصور و تقصیر مدیران فراهم باشد، اشخاص حقیقی که بهعنوان کارکنان و عوامل داخلی در این موضوع نقش داشتهاند نیز ممکن است مسئول شناخته شوند.
در صورت عمدی بودن افشای اطلاعات، این افراد ممکن است مشمول مجازاتهای مقرر در مواد ۱، ۲، ۱۵ و ۱۶ قانون جرایم رایانهای، از جمله در زمینه دسترسی غیرمجاز و انتشار دادههای حساس، شوند.
در صورت غیرعمدی بودن موضوع و وقوع آن در نتیجه بیاحتیاطی یا بیمبالاتی، علاوه بر مسئولیت مدنی در قبال کاربر، ممکن است بر اساس قانون کار و آییننامههای انضباطی شرکت، با ضمانت اجراهای مربوط به نقض تعهدات محرمانگی (NDA) مواجه شوند.
د) پیمانکاران و پردازشگران داده (Third-Party Processors)
با توجه به اهمیت تنظیم قراردادها، این بخش بسیار حائز اهمیت است. اگر شرکت اصلی، پردازش دادهها را به پیمانکار خارجی، مانند سرویسدهنده ابری یا شرکت پشتیبانی فنی، سپرده باشد و نشت اطلاعات از آن سمت رخ دهد، شرکت اصلی در برابر کاربر نهایی مسئول است؛ این موضوع بر مبنای اصل پاسخگویی یا Accountability قابل بررسی است.
با این حال، شرکت اصلی پس از جبران خسارت کاربر میتواند بر اساس قرارداد سطح خدمات و شروط محرمانگی و جبران خسارت مندرج در قرارداد فیمابین، به پیمانکار رجوع کرده و خسارت را مطالبه کند.
در نظام حقوقی فعلی، رویه قضایی به سمت «مسئولیت عینی» یا «تقریباً مطلق» شرکتها در قبال دادههای کاربران حرکت کرده است. بنابراین، حلقه نخست مسئولیت متوجه شخص حقوقی است، اما مدیران و پیمانکاران متخلف نیز بر اساس میزان تقصیر و تأثیرشان در افشای اطلاعات، ممکن است در معرض پیگرد کیفری و مطالبه خسارت قرار گیرند.
آیا در قوانین ایران تعریف روشنی از حریم خصوصی دیجیتال وجود دارد؟
گرچه حریم خصوصی در قوانین مختلف و بهصورتهای مختلف، مستقیم و غیرمستقیم، مورد اشاره قرار گرفته است، اما تعریف مشخص و جامعی از آن بهصورت مستقل دیده نمیشود. بدیهی است نمیتوان توقع داشت که حریم خصوصی دیجیتال نیز تعریف مشخصی در قانون داشته باشد.
با این حال، در قوانینی مانند اصول ۲۲، ۲۳ و ۲۵ قانون اساسی، حریم خصوصی مورد اشاره قرار گرفته است. مواردی مانند حیثیت، جان و مسکن در اصل ۲۲، عقاید در اصل ۲۳ و نامهها و مکالمات تلفنی و الکترونیکی نیز در زمره حریم خصوصی تلقی شدهاند و از تعرض مصون هستند.
علاوه بر این، مواردی همچون قانون احترام به آزادیهای مشروع و حفظ حقوق شهروندی، قانون تجارت الکترونیک، قانون انتشار و دسترسی آزاد به اطلاعات و آییننامه اجرایی این قانون، مواد ۴ و ۱۳۷ قانون آیین دادرسی کیفری، مواد ۶۴۸ و ۵۸۲ قانون مجازات اسلامی و مواد ۱۶ و ۱۷ قانون جرایم رایانهای، نمونههای دیگری از توجه قانونگذار به ضرورت تعیین محدودههای حریم خصوصی افراد هستند که بعضاً به حریم خصوصی دیجیتال اشخاص نیز مربوط میشوند.
شایسته است در همین موضوع به این مهم توجه شود که حریم خصوصی دارای ابعاد و انواع مختلفی است که از آن جمله میتوان به حریم خصوصی فیزیکی یا مکانی، حریم خصوصی مالی، حریم خصوصی جسمانی، حریم خصوصی فردی، حریم خصوصی اطلاعاتی و حریم خصوصی دیجیتال اشاره کرد. هر یک از این موارد تعریف و محدوده اعمال خاص خود را دارد.
در خصوص حریم خصوصی دیجیتال، میتوان به ضرورت حفظ حریم در موضوعاتی مانند اطلاعات، تصویر، صوت، نوشتهها، اسناد و فیلمهایی اشاره کرد که بهصورت الکترونیکی یا دیجیتالی ذخیره شده و مربوط به اطلاعات شخص یا اشخاص هستند.
حتی موضوعاتی مانند احوال شخصیه، امور شغلی و درآمدی، اطلاعات فردی، اطلاعات بیماری، اطلاعات بانکی، ارتباطات شخص و امثال آنها نیز میتوانند مشمول عنوان حریم خصوصی دیجیتال قرار گرفته و باید مورد حمایت قرار گیرند.
میتوان چنین نتیجه گرفت که موضوع حریم خصوصی از دید قانون پنهان نمانده، اما تعریف مشخصی از آن وجود ندارد. در خصوص حریم خصوصی دیجیتال نیز باید توجه کرد که ضروری است بین «شناسایی حمایت قانونی از مصادیق حریم خصوصی دیجیتال» و وجود یک «تعریف جامع و مانع از حریم خصوصی دیجیتال» قائل به تفکیک باشیم.
در حقوق ایران، اگرچه مقررات متعددی بهصورت مستقیم یا غیرمستقیم از بخشهایی از حریم خصوصی در فضای دیجیتال حمایت میکنند، اما هنوز با یک تعریف جامع، یک نظام حقوقی یکپارچه برای حریم خصوصی دیجیتال و یک قانون منسجم در این موضوع مواجه نیستیم.
به عبارت دیگر، نظام حقوقی ایران «حریم خصوصی دیجیتال» را بهعنوان یک مفهوم نوین حقوقی بهطور کامل نادیده نگرفته است، اما هنوز آن را در قالب یک نهاد حقوقی مستقل، منسجم و متناسب با اقتضائات عصر داده و هوش مصنوعی صورتبندی نکرده است.
نبود قانون جامع حفاظت از دادههای شخصی چه تبعاتی برای کسبوکارها و شهروندان دارد؟
به اعتقاد من، نبود قانون جامع و منسجم برای حفاظت از دادههای شخصی در ایران، یکی از جدیترین خلأهای حقوقی در اقتصاد دیجیتال کشور است.
البته همانگونه که قبلاً گفته شد، این به معنای آن نیست که در حقوق ایران هیچ مقررهای درباره حریم خصوصی، اطلاعات اشخاص یا دادههای الکترونیکی وجود ندارد. مقررات پراکندهای در قوانین مختلف وجود دارد، اما مشکل اصلی این است که ما هنوز با یک نظام حقوقی جامع، یکپارچه، شفاف و قابل پیشبینی برای چرخه حیات دادههای شخصی مواجه نیستیم.
این خلأ از دو جهت بسیار مهم است: نخست از منظر حقوق شهروندان و دوم از منظر امنیت حقوقی کسبوکارها.
از منظر شهروندان، امروز اطلاعات شخصی افراد فقط نام و شماره تلفن نیست. اطلاعات هویتی، شماره ملی، اطلاعات بانکی، سوابق خرید، موقعیت مکانی، علایق، رفتارهای اینترنتی، سوابق جستوجو، تصاویر، صدا، اطلاعات مربوط به ارتباطات، دادههای مربوط به سلامت و حتی الگوهای رفتاری افراد، همگی میتوانند در زمره دادههای ارزشمند شخصی قرار گیرند.
مشکل زمانی آغاز میشود که شهروند نمیداند چه دادهای از او جمعآوری شده، چه کسی آن را در اختیار دارد، برای چه هدفی از آن استفاده میشود، تا چه زمانی نگهداری خواهد شد، آیا به شخص یا شرکت دیگری منتقل میشود و در صورت سوءاستفاده یا افشای اطلاعات، دقیقاً چه حقوق و چه ابزار جبرانی در اختیار اوست.
در واقع، در عصر اقتصاد داده، «حریم خصوصی» دیگر صرفاً یک مفهوم اخلاقی یا شخصی نیست؛ بلکه یک حق اقتصادی، اجتماعی و حتی امنیتی است.
از سوی دیگر، این خلأ برای کسبوکارها نیز خطرناک است. ممکن است یک کسبوکار با حسن نیت اطلاعات مشتریان خود را جمعآوری و پردازش کند، اما دقیقاً نداند چه مقدار از این پردازش از نظر حقوقی مجاز است، چه نوع رضایتی باید از صاحب داده دریافت کند، چه دادهای را اساساً نباید جمعآوری کند و در صورت وقوع نشت اطلاعات، چه تکالیف فوری و چه مسئولیتهایی بر عهده خواهد داشت.
بدیهی است که این وضعیت نوعی نااطمینانی حقوقی ایجاد میکند.
از نظر من، یکی از خطرناکترین پیامدهای این وضعیت، تبدیل داده شخصی به دارایی بدون صاحب مشخص است.
داده متعلق به یک انسان است، اما در بسیاری از مدلهای کسبوکار دیجیتال، داده به ماده اولیه تجارت تبدیل شده است. پلتفرمها، فروشگاههای اینترنتی، اپلیکیشنها، شرکتهای تبلیغاتی، مؤسسات مالی و حتی سامانههای مبتنی بر هوش مصنوعی، از داده برای پیشبینی رفتار، تحلیل شخصیت و ترجیحات، تبلیغات هدفمند و تصمیمگیری استفاده میکنند.
اهمیت این موضوع زمانی بیشتر جلوه پیدا میکند که بدانیم هوش مصنوعی ممکن است ارزش و خطر دادههای شخصی را چند برابر کند.
امروز یک سامانه هوش مصنوعی میتواند حجم عظیمی از دادههای بهظاهر پراکنده را با یکدیگر ترکیب کند و از آنها الگوهایی درباره شخصیت، علایق، رفتار، وضعیت اقتصادی یا حتی احتمال انجام یک رفتار در آینده استخراج کند.
بنابراین، در عصر هوش مصنوعی، حفاظت از داده فقط به این معنا نیست که «اطلاعات من منتشر نشود». مسئله این است که از اطلاعات من چه استنباطی میشود و این استنباط برای چه تصمیمی علیه من یا درباره من به کار میرود.
این موضوع در حوزههایی مانند اعتبارسنجی، استخدام، بیمه، بانکداری، تبلیغات، تجارت الکترونیکی و خدمات عمومی اهمیت فوقالعادهای پیدا میکند.
به همین دلیل، قانون جامع حفاظت از دادههای شخصی را نباید تنها یک قانون حمایتی برای شهروندان دانست. این قانون در واقع بخشی از زیرساخت حقوقی اقتصاد دیجیتال و حتی زیرساخت جذب سرمایهگذاری است.
ما به قانونی نیاز داریم که میان حفاظت از حریم خصوصی، امنیت داده، آزادیهای مشروع، نوآوری، توسعه کسبوکارهای دیجیتال و منافع عمومی تعادل برقرار کند.
در چنین قانونی باید موضوعاتی مانند تعریف دقیق داده شخصی و داده حساس، مبنای قانونی پردازش، رضایت، هدفمندی جمعآوری داده، حداقلگرایی در جمعآوری، حق دسترسی، اصلاح، حذف یا محدودسازی پردازش در حدود مقتضی، انتقال داده، امنیت داده، مسئولیت پردازشگر و کنترلکننده داده، برونسپاری پردازش، انتقال برونمرزی داده، نشت اطلاعات، اعلام رخدادهای امنیتی، مسئولیت مدنی و سازوکار نظارت و ضمانت اجرا بهصورت روشن تعیین شود.
در حقیقت، شهروند باید بداند «داده من در اختیار چه کسی است و با آن چه میکند» و کسبوکار نیز باید بداند «برای حفاظت از این داده دقیقاً چه تکلیفی دارد».
اگر این دو سؤال پاسخ روشن نداشته باشند، ما نه حریم خصوصی واقعی خواهیم داشت و نه امنیت حقوقی پایدار برای کسبوکارها.
.
