اصلاح قانون حریم خصوصی استرالیا: آزمون منصفانه و معقول
پیش‌نویس لایحه حفاظت از داده ۲۰۲۶ استرالیا آزمون «منصفانه و معقول»، اعلام ۷۲ ساعته نشت داده، حق حذف در پلتفرم‌های بزرگ و رضایت برای فروش داده را پیشنهاد می‌کند.
تحریریه آرتیلا · ۱۴۰۵/۰۷/۱۸
این مقاله در حال بازبینی حقوقی است.
تعریف: اصلاح قانون حریم خصوصی استرالیا در این مقاله به بسته پیشنهادی دولت استرالیا گفته میشود که هسته آن پیش‌نویس «لایحه اصلاح حریم خصوصی (حفاظت از داده شخصی) ۲۰۲۶» است. این پیش‌نویس در ۳۱ اوت ۲۰۲۶ همراه با یک سند مشورتی منتشر شد و پیشنهاد می‌کند اصول فعلی جمع‌آوری، استفاده و افشای اطلاعات شخصی در «قانون حریم خصوصی ۱۹۸۸» با یک آزمون واحد «منصفانه و معقول» جایگزین شود و تکالیفی مانند اعلام نشت داده ظرف ۷۲ ساعت و حق حذف در پلتفرم‌های دیجیتال بزرگ افزوده شود.
بیشتر قوانین حفاظت از داده جهان بر «رضایت» یا «مبنای قانونی» استوارند. پیشنهاد استرالیا گامی متفاوت برمی‌دارد: حتی اگر کاربر رضایت داده یا سیاست حریم خصوصی همه‌چیز را گفته باشد، پردازش داده باید در مجموع شرایط منصفانه و معقول باشد. مهلت ارسال نظرات عمومی ۱۸ سپتامبر ۲۰۲۶ به پایان رسید و در منابعی که برای این مقاله بررسی شد، خبری از تقدیم متن نهایی به پارلمان دیده نشد.
بیان قابل نقل: آزمون «منصفانه و معقول» استرالیا می‌گوید رضایت کاربر پایان بحث نیست؛ پرسش این است که آیا یک انسان متعارف چنین استفاده‌ای از داده‌اش را انتظار داشت.
زمینه: چرا استرالیا دوباره قانون را اصلاح می‌کند؟
طبق بیانیه دادستان کل استرالیا، میشل رولند، اصلاحات برای مقابله با خطرات فناوری‌های نوظهور از جمله هوش مصنوعی و ابزارهای پوشیدنی مانند عینک هوشمند طراحی شده است. او گفته است «تقریباً از هر پنج استرالیایی، چهار نفر» می‌گویند کنترل کمی یا هیچ کنترلی بر نحوه جمع‌آوری و استفاده از اطلاعات شخصی‌شان ندارند.
به گفته سند مشورتی، این بسته مرحله بعدی پس از «قانون اصلاح حریم خصوصی و سایر قوانین ۲۰۲۴» است و حدود ۴۰ پیشنهاد دارد: ۲۵ پیشنهاد برگرفته از بازبینی قانون حریم خصوصی برای ارتقای حمایت‌ها، ۵ پیشنهاد برای شفاف‌سازی و ساده‌سازی تکالیف، ۴ اقدام اضافی برای ساده‌سازی و ۷ اقدام برای کارآمدتر کردن نهاد ناظر، یعنی دفتر کمیسیونر اطلاعات استرالیا (OAIC).
آزمون واحد «منصفانه و معقول»
طبق سند مشورتی، اصول ۳، ۴ و ۶ از «اصول حریم خصوصی استرالیا» (APPs) که اکنون جمع‌آوری، اطلاعات ناخواسته و استفاده و افشا را تنظیم می‌کنند، حذف و با چارچوبی جایگزین میشوند که پردازش اطلاعات شخصی را فقط در صورتی مجاز می‌داند که در اوضاع و احوال، منصفانه و معقول باشد. نهاد مشمول باید فهرستی غیرحصری از عوامل قانونی را در نظر بگیرد، اما لازم نیست همه عوامل را تأمین کند و هیچ عاملی به‌تنهایی تعیین‌کننده نیست. OAIC نیز رهنمود و نمونه‌های عملی منتشر خواهد کرد.
عوامل قانونی آزمون
- انتظار معقول: آنچه یک فرد متعارف در موقعیت شخص انتظار دارد، نه انتظار ذهنی خود او. سند تصریح می‌کند صرف ذکر یک رویه در سیاست حریم خصوصی آن را «مورد انتظار» نمی‌کند و در روابط با عدم توازن قدرت یا خدمات ضروری، انتظار استفاده فراتر از کارکرد اصلی کمتر است.
- ارتباط با کارکردها و فعالیت‌های نهاد: باید پیوند روشنی میان پردازش و فعالیت‌های نهاد وجود داشته باشد.
- شفافیت: آیا اطلاعات ارائه‌شده به فرد متعارف امکان می‌دهد بفهمد چرا و چگونه داده‌اش پردازش میشود؛ سیاست طولانی و مبهم کافی نیست.
- حداقل‌سازی داده: اگر هدف با داده کمتر یا داده بی‌نام‌شده قابل دستیابی است، نهاد باید توجیه کند چرا داده بیشتر یا حساس‌تر لازم است.
- انتخاب واقعی: شرایط «یا بپذیر یا برو»، تحمیل زیان در صورت امتناع یا استفاده از الگوهای فریبنده (dark patterns) انتخاب واقعی نیست.
- اثر بر فرد و تناسب: هرچه خطر آسیب بیشتر، توجیه و تدابیر حفاظتی قوی‌تر لازم است؛ پردازشی که خطر جدی برای فرد دارد و سودش عمدتاً به نهاد می‌رسد، احتمالاً متناسب نیست.
- منافع عالیه کودک: وقتی داده مربوط به کودک است، منافع عالیه او باید ملاحظه اصلی باشد.
بیان قابل نقل: در پیشنهاد استرالیا، سیاست حریم خصوصی طولانی دیگر سپر نیست؛ شفافیت با «درک فرد متعارف» سنجیده میشود، نه با تعداد صفحات.
برای بحث حمایت از کودکان در محیط آنلاین، تأیید سن حریم‌محور اتحادیه اروپا را ببینید.
رضایت برای «فروش» داده شخصی
پیش‌نویس تصریح می‌کند سازمان نباید بدون رضایت، اطلاعات حساس را جمع‌آوری یا اطلاعات شخصی را «تجارت» (trade) کند، مگر استثنایی وجود داشته باشد. طبق سند مشورتی، «تجارت» یعنی افشای اطلاعات شخصی در برابر عوض مالی یا غیرمالی یا برای اهداف بازاریابی مستقیم، و این مفهوم به‌طور موسع تفسیر میشود؛ تا جایی که سند صراحتاً افشای کوکی‌ها یا پیکسل‌ها در فرایندهای تبلیغات برنامه‌ریزی‌شده را نمونه می‌آورد.
چهار استثنا وجود دارد: افشای لازم برای ارائه کالا یا خدمت درخواستی فرد؛ افشای فرعیِ ناشی از خرید یا انتقال کسب‌وکار، به شرط آنکه افشای داده هدف اصلی معامله نباشد؛ افشا به پردازشگر طبق دستور مکتوب کنترل‌کننده؛ و افشای لازم برای پیشگیری یا کشف فعالیت غیرقانونی یا تقلب جدی. وزیر نیز در بیانیه‌اش گفته هدف این است که عادات خرید، علایق آنلاین یا داده موقعیت مکانی «پشت سر مردم» خرید و فروش نشود.
اعلام نشت داده ظرف ۷۲ ساعت
طبق اصلاحات پیشنهادی، نهاد باید ظرف ۷۲ ساعت از زمانی که از وجود دلایل معقول برای باور به وقوع «نشت داده واجد شرایط» آگاه میشود، بیانیه‌ای با محتوای مقرر به کمیسیونر اطلاعات بدهد. نکات مهم:
- این مهلت با چارچوب‌های دیگر استرالیا مانند قانون امنیت زیرساخت‌های حیاتی ۲۰۱۸ و قانون امنیت سایبری ۲۰۲۴ هماهنگ شده است؛
- اگر ارائه بیانیه کامل در ۷۲ ساعت ممکن نباشد، بیانیه ناقص مجاز است و بقیه اطلاعات بعداً ارائه میشود؛
- تکلیف موجود برای تکمیل ارزیابی نشت مشکوک ظرف ۳۰ روز باقی است؛
- عدم ارائه هیچ بیانیه‌ای در ۷۲ ساعت ممکن است به اخطار تخلف یا اخطار انطباق منجر شود و «مداخله در حریم خصوصی» فرد تلقی میشود؛
- بیانیه باید اقدامات انجام‌شده یا پیشنهادی برای کاهش آسیب به افراد را نیز در بر گیرد.
حق حذف در پلتفرم‌های دیجیتال بزرگ
پیش‌نویس یک اصل جدید اضافه می‌کند: «پلتفرم‌های دیجیتال بزرگ» باید به درخواست فرد، اطلاعات شخصی او را از بین ببرند، مگر استثنایی وجود داشته باشد، و نتیجه را ظرف مدت معقول کتباً اعلام کنند. طبق سند مشورتی، سازمانی پلتفرم بزرگ است که خدمتی از نوع رسانه اجتماعی، خدمت الکترونیکی مرتبط یا خدمت اینترنتی تعیین‌شده در قانون ایمنی آنلاین ۲۰۲۱ ارائه دهد و یکی از این دو معیار را داشته باشد:
- درآمد ناخالص سال مالی قبل ۵۰۰ میلیون دلار یا بیشتر؛ یا
- ۲.۵ میلیون کاربر نهایی ماهانه یا بیشتر به‌طور میانگین.
استثناهایی برای منافع عمومی و موارد عدم امکان فنی پیش‌بینی شده است.
فناوری‌های نوظهور: عینک هوشمند، ابزار پوشیدنی و استنتاج هوش مصنوعی
سند مشورتی بخشی ویژه به فناوری‌های نوظهور دارد و می‌گوید چند اقدام لایحه به این خطرات پاسخ می‌دهد:
- روزآمدسازی تعریف «اطلاعات شخصی» برای تصریح اینکه اطلاعات رفتاری و داده‌های تولیدشده توسط ابزارهای پوشیدنی را در بر می‌گیرد؛
- اصلاح تعریف «جمع‌آوری» تا استنتاج‌های هوش مصنوعی درباره یک فرد نیز «جمع‌آوری» اطلاعات محسوب شود؛
- طبقه‌بندی داده موقعیت مکانی دقیق به‌عنوان اطلاعات حساس که جمع‌آوری آن رضایت معنادار می‌خواهد؛
- لزوم رضایت برای تجارت داده جمع‌آوری‌شده با فناوری پوشیدنی.
سند یادآوری می‌کند قانون حریم خصوصی، جز «شبه‌جرم قانونی نقض جدی حریم خصوصی» که در ۲۰۲۴ افزوده شد، بر افراد در فعالیت شخصی اعمال نمی‌شود؛ بنابراین فردی که با عینک هوشمند دیگران را ضبط می‌کند، عمدتاً از مسیر همین شبه‌جرم مسئول است. درباره این موضوع در اروپا، حریم خصوصی عینک هوشمند را بخوانید.
بیان قابل نقل: وقتی استنتاج هوش مصنوعی «جمع‌آوری داده» به حساب بیاید، حدس الگوریتم درباره شما همان حمایتی را می‌گیرد که اطلاعاتی که خودتان داده‌اید.
نگاه تطبیقی: ایران
ایران هنوز قانون جامع حفاظت از داده شخصی ندارد. طبق گزارش پیوست، لایحه «حفاظت از داده‌های شخصی در فضای مجازی» در ۲۰ تیر ۱۴۰۳ در هیئت دولت تصویب شد و قرار بود به مجلس برود؛ پیوست در ۳۰ مهر ۱۴۰۳ گزارش داد که لایحه هنوز به مجلس نرسیده و طرحی با همین عنوان با امضای ۴۱ نماینده اعلام وصول شده است. در منابعی که برای این مقاله بررسی شد، خبری از تصویب نهایی هیچ‌یک یافت نشد.
قاعده موجود، مواد ۵۸ و ۵۹ قانون تجارت الکترونیکی است: پردازش داده‌پیام‌های حساس (از جمله قومیت، عقاید، وضعیت جسمانی و روانی) بدون رضایت صریح غیرقانونی است و برای سایر داده‌ها شرایطی مانند مشخص بودن هدف، جمع‌آوری به اندازه ضرورت و متناسب با هدف اعلام‌شده، صحت و روزآمد بودن و دسترسی شخص به پرونده‌اش مقرر شده است. این شرایط به عوامل «حداقل‌سازی» و «شفافیت» در پیشنهاد استرالیا نزدیک‌اند، اما در قانون ایران معیار کلی «منصفانه و معقول»، تکلیف عام اعلام نشت داده با مهلت مشخص یا حق حذف در برابر پلتفرم‌ها یافت نشد. برای حریم خصوصی داده‌های بیومتریک، حریم خصوصی بیومتریک را ببینید.
پرسش‌های متداول
لایحه حریم خصوصی ۲۰۲۶ استرالیا تصویب شده است؟
خیر. دولت در ۳۱ اوت ۲۰۲۶ پیش‌نویس لایحه و سند مشورتی را منتشر کرد و مهلت نظرخواهی ۱۸ سپتامبر ۲۰۲۶ تمام شد. در منابع بررسی‌شده خبری از تقدیم یا تصویب متن نهایی یافت نشد و متن ممکن است تغییر کند.
آزمون «منصفانه و معقول» چه عواملی دارد؟
انتظار معقول، ارتباط با فعالیت نهاد، شفافیت، حداقل‌سازی داده، انتخاب واقعی، اثر بر فرد و تناسب، و منافع عالیه کودک. هیچ عاملی به‌تنهایی تعیین‌کننده نیست و ارزیابی کلی است.
مهلت اعلام نشت داده در پیشنهاد استرالیا چقدر است؟
۷۲ ساعت از زمانی که نهاد دلایل معقول برای باور به وقوع نشت داده واجد شرایط پیدا می‌کند. اگر بیانیه کامل ممکن نباشد، بیانیه ناقص مجاز است و اطلاعات بعداً تکمیل میشود.
حق حذف داده شامل چه شرکت‌هایی است؟
فقط پلتفرم‌های دیجیتال بزرگ، یعنی ارائه‌دهندگان خدمات تعریف‌شده در قانون ایمنی آنلاین که درآمد سالانه ۵۰۰ میلیون دلار یا بیشتر یا میانگین ۲.۵ میلیون کاربر ماهانه یا بیشتر دارند.
آیا ایران قانونی مشابه برای حفاظت از داده شخصی دارد؟
قانون جامع ندارد. مواد ۵۸ و ۵۹ قانون تجارت الکترونیکی شرایطی برای پردازش داده شخصی تعیین می‌کنند و لایحه حفاظت از داده‌های شخصی طبق گزارش‌های ۱۴۰۳ هنوز به قانون تبدیل نشده بود.
جمع‌بندی
پیشنهاد استرالیا یکی از جاه‌طلبانه‌ترین بازطراحی‌های قانون حفاظت از داده در سال ۲۰۲۶ است: آزمون واحد «منصفانه و معقول» به جای اصول پراکنده، رضایت برای تجارت داده حتی در تبلیغات مبتنی بر پیکسل، اعلام ۷۲ ساعته نشت، حق حذف در پلتفرم‌های بزرگ و حمایت صریح در برابر استنتاج‌های هوش مصنوعی و ابزارهای پوشیدنی. این متن هنوز پیش‌نویس است، اما جهت حرکت روشن است. برای قانون‌گذار و کسب‌وکارهای ایرانی، عوامل این آزمون چک‌لیستی کاربردی برای طراحی محصول و تدوین لایحه داده شخصی است. برای بازبینی سیاست حریم خصوصی کسب‌وکار خود با کارشناسان آرتیلا مشورت کنید. این مقاله اطلاع‌رسانی است و جایگزین مشاوره حقوقی نیست.
منابع
- Attorney-General’s portfolio (The Hon Michelle Rowland MP), Modernising Australia’s privacy laws for the digital age (31 Aug 2026): https://ministers.ag.gov.au/media-centre/modernising-australias-privacy-laws-digital-age-31-08-2026
- Attorney-General’s Department, Privacy Reform – Consultation Paper (2026): https://consultations.ag.gov.au/rights-and-protections/privacy-reform/user_uploads/consultation_paper.pdf
- Attorney-General’s Department, Exposure Draft – Privacy Amendment (Personal Data Protection) Bill 2026: https://consultations.ag.gov.au/rights-and-protections/privacy-reform/user_uploads/exposure-draft-bill-2026.pdf
- پیوست، لایحه حفاظت از داده‌های شخصی در دولت تصویب شد (۲۳ تیر ۱۴۰۳): https://peivast.com/p/202493
- پیوست، طرح «حفاظت از داده‌های شخصی» در مجلس اعلام وصول شد؛ لایحه دولت همچنان در حال بررسی (۳۰ مهر ۱۴۰۳): https://peivast.com/p/212052
- وزارت ارتباطات و فناوری اطلاعات (اداره کل فارس)، متن قانون تجارت الکترونیکی: https://fars.ict.gov.ir/ICTContent/media/image/2017/10/52758_orig.pdf