حریم خصوصی بیومتریک: اثر انگشت و چهره شما در امان است؟

این مقاله در حال بازبینی حقوقی است.

حریم خصوصی بیومتریک به حق افراد بر کنترل جمع‌آوری، نگهداری، استفاده و انتقال داده‌هایی گفته می‌شود که از ویژگی‌های منحصربه‌فرد بدن یا رفتار آن‌ها به دست می‌آید؛ مانند اثر انگشت، تصویر و هندسه چهره، عنبیه چشم، صدا، امضا و حتی الگوی راه‌رفتن. تفاوت اصلی داده بیومتریک با رمز عبور این است که قابل تغییر نیست: اگر رمزتان لو برود عوضش می‌کنید، اما اگر الگوی اثر انگشت یا چهره‌تان نشت کند، تا آخر عمر همراه شماست. در ایران قانون خاصی برای داده‌های بیومتریک تصویب نشده است و حمایت از آن‌ها از طریق اصول قانون اساسی، قانون تجارت الکترونیکی، قانون جرایم رایانه‌ای و قواعد عمومی مسئولیت انجام می‌شود.

داده‌های بیومتریک کجا از ما گرفته می‌شود؟

امروز تقریباً هر ایرانی دست‌کم یک بار داده بیومتریک خود را در اختیار نهادی قرار داده است:

• کارت ملی هوشمند و گذرنامه: ثبت اثر انگشت و تصویر چهره.
• بانک‌ها و کیف پول‌ها: احراز هویت غیرحضوری با فیلم سلفی یا تطبیق چهره.
• محل کار: دستگاه‌های حضور و غیاب با اثر انگشت یا تشخیص چهره.
• گوشی‌های هوشمند: قفل با چهره یا اثر انگشت.
• اپلیکیشن‌ها: فیلترهای چهره، ابزارهای ویرایش عکس و سرویس‌های تولید تصویر با هوش مصنوعی.
• فضاهای عمومی: دوربین‌هایی که ممکن است قابلیت تشخیص چهره داشته باشند.

با گسترش هوش مصنوعی، صدا و چهره به ابزار جعل نیز تبدیل شده‌اند؛ موضوعی که در مقاله کلاهبرداری با شبیه‌سازی صدا بررسی شده است.

چارچوب حقوقی در ایران

قانون اساسی

اصل ۲۲ قانون اساسی حیثیت، جان، مال، حقوق، مسکن و شغل اشخاص را از تعرض مصون می‌داند، مگر در مواردی که قانون تجویز کند. اصل ۲۵ نیز بازرسی و نرساندن نامه‌ها، ضبط و فاش‌کردن مکالمات تلفنی و هرگونه تجسس را جز به حکم قانون ممنوع می‌کند. این اصول پایه نظری حریم خصوصی در ایران هستند و هر جمع‌آوری گسترده داده بیومتریک باید بر مبنای قانون باشد.

قانون تجارت الکترونیکی

ماده ۵۸ قانون تجارت الکترونیکی ذخیره، پردازش و توزیع داده‌پیام‌های شخصی مبیّن ریشه‌های قومی یا نژادی، دیدگاه‌های عقیدتی و مذهبی، خصوصیات اخلاقی و داده‌پیام‌های راجع به وضعیت جسمانی، روانی یا جنسی اشخاص را بدون رضایت صریح آن‌ها غیرقانونی می‌داند. هرچند واژه «بیومتریک» در این ماده نیامده، بسیاری از حقوق‌دانان داده‌هایی مانند تصویر چهره یا عنبیه را، که می‌توانند اطلاعاتی درباره نژاد یا وضعیت جسمانی آشکار کنند، مشمول این حمایت می‌دانند. ماده ۵۹ همین قانون نیز شرایطی مانند مشخص و مشروع بودن هدف، تناسب داده با هدف و حق دسترسی و اصلاح را برای پردازش داده‌های شخصی مقرر کرده است. باید توجه داشت که دامنه این قانون، داده‌پیام‌ها در بستر مبادلات الکترونیکی است.

قانون جرایم رایانه‌ای

اگر کسی به‌طور غیرمجاز به پایگاه داده‌ای که اثر انگشت یا تصاویر افراد را نگه می‌دارد دسترسی پیدا کند، مشمول ماده ۱ قانون جرایم رایانه‌ای (ماده ۷۲۹ قانون مجازات اسلامی - تعزیرات) درباره دسترسی غیرمجاز است. انتشار تصویر یا فیلم خصوصی دیگری بدون رضایت او نیز، اگر منجر به ضرر یا عرفاً موجب هتک حیثیت او شود، طبق ماده ۱۷ قانون جرایم رایانه‌ای (ماده ۷۴۵) جرم است. این مواد برای مقابله با نشت و سوءاستفاده از داده‌های بیومتریک کاربرد دارند.

قانون مدیریت داده‌ها و اطلاعات ملی

قانون مدیریت داده‌ها و اطلاعات ملی مصوب ۱۴۰۱ چارچوب تبادل داده میان دستگاه‌های اجرایی را تنظیم می‌کند. این قانون عمدتاً ناظر به داده‌های دولتی و تعامل‌پذیری دستگاه‌هاست و جایگزین یک قانون جامع حمایت از داده‌های شخصی نیست.

لایحه حمایت از داده‌های شخصی

ایران هنوز قانون جامع حمایت از داده‌های شخصی ندارد. لایحه دولت و طرح نمایندگان در این زمینه سال‌هاست در جریان است، اما تا زمان نگارش این مقاله به قانون تبدیل نشده‌اند. جزئیات را در مقاله لایحه حمایت از داده‌ها در ایران بخوانید.

حضور و غیاب با اثر انگشت: کارفرما چه حدی دارد؟

استفاده از دستگاه اثر انگشت برای ثبت ورود و خروج در ایران رایج است و قانون صریحاً آن را منع نکرده است. اما اصول کلی حکم می‌کند:

1. هدف محدود: داده فقط برای حضور و غیاب استفاده شود، نه پایش رفتار یا فروش به دیگران.
2. حداقل داده: بسیاری از دستگاه‌ها به‌جای تصویر کامل اثر انگشت، الگوی رمزنگاری‌شده ذخیره می‌کنند؛ این روش ارجح است.
3. امنیت: کارفرما باید از دسترسی غیرمجاز جلوگیری کند. نشت این داده‌ها ممکن است بر اساس ماده ۱ قانون مسئولیت مدنی موجب مسئولیت شود.
4. حذف پس از پایان همکاری: نگهداری بی‌دلیل داده‌های کارکنان سابق توجیهی ندارد.

تشخیص چهره و هوش مصنوعی

سامانه‌های تشخیص چهره با هوش مصنوعی کار می‌کنند و خطاهایشان برای همه گروه‌ها یکسان نیست؛ ممکن است برای برخی گروه‌های سنی یا جمعیتی نرخ خطای بیشتری داشته باشند و به شناسایی اشتباه فرد بی‌گناه منجر شوند. این همان خطری است که در مقاله تبعیض الگوریتمی توضیح داده شده است. قانون ملی توسعه هوش مصنوعی نیز سامانه‌های تشخیص چهره را در تعریف «لایه کاربست» نام برده و حریم خصوصی را از معیارهای سنجش مخاطره دانسته است، هرچند جزئیات به آیین‌نامه‌ها موکول شده است. در سطح بین‌المللی، اتحادیه اروپا برخی کاربردهای بیومتریک، مانند جمع‌آوری انبوه و هدف‌نگرفته تصاویر چهره از اینترنت برای ساخت پایگاه تشخیص چهره، را ممنوع کرده است.

احراز هویت بانکی با چهره

احراز هویت غیرحضوری در بانک‌ها و صرافی‌ها معمولاً با تطبیق فیلم سلفی کاربر با تصویر ثبت‌شده انجام می‌شود. کاربر باید بداند داده‌اش برای چه هدفی، تا چه مدت و نزد چه کسی نگهداری می‌شود. هرگز فیلم احراز هویت را برای افراد ناشناس یا در گروه‌های پیام‌رسان ارسال نکنید؛ این فیلم‌ها ممکن است برای افتتاح حساب جعلی یا ساخت دیپ‌فیک استفاده شوند.

اصول طلایی برای سازمان‌هایی که داده بیومتریک جمع می‌کنند

با الهام از ماده ۵۹ قانون تجارت الکترونیکی و اصول پذیرفته‌شده حمایت از داده، هر سازمانی که داده بیومتریک جمع می‌کند بهتر است: هدف جمع‌آوری را پیش از دریافت داده به‌روشنی اعلام کند؛ فقط به اندازه ضرورت داده بگیرد؛ داده را رمزنگاری کند و دسترسی کارکنان را محدود سازد؛ به افراد امکان دسترسی، اصلاح و درخواست حذف بدهد؛ و برای انتقال داده به پیمانکار یا سرویس ابری، قرارداد محرمانگی و امنیت ببندد. رعایت این اصول هم ریسک حقوقی را کم می‌کند و هم اعتماد کاربران را افزایش می‌دهد.

اگر داده بیومتریک شما نشت کرد

• مراتب را کتباً از سازمان یا شرکت مربوط پیگیری کنید و توضیح بخواهید.
• اگر سوءاستفاده‌ای رخ داده، به پلیس فتا گزارش دهید.
• در صورت ورود ضرر، با وکیل درباره مطالبه خسارت بر اساس مسئولیت مدنی مشورت کنید.
• روش‌های احراز هویت جایگزین (رمز دومرحله‌ای) را فعال کنید.

برای مشاوره درباره سیاست حریم خصوصی کسب‌وکار خود می‌توانید به آرتیلا مراجعه کنید.

نکات کلیدی

• داده بیومتریک برخلاف رمز عبور قابل تغییر نیست و نشت آن آسیب دائمی دارد.
• ایران قانون خاصی برای داده‌های بیومتریک ندارد و حمایت از طریق قوانین عمومی انجام می‌شود.
• ماده ۵۸ قانون تجارت الکترونیکی پردازش داده‌های حساس شخصی بدون رضایت صریح را غیرقانونی می‌داند.
• دسترسی غیرمجاز به پایگاه داده بیومتریک، طبق قانون جرایم رایانه‌ای، جرم است.
• کارفرمایی که از اثر انگشت برای حضور و غیاب استفاده می‌کند، مسئول حفاظت از این داده‌هاست.

سوالات متداول

آیا کارفرما می‌تواند مرا مجبور به ثبت اثر انگشت کند؟

قانون صریحاً آن را منع نکرده و در عمل رایج است، اما داده باید فقط برای هدف اعلام‌شده و با رعایت امنیت استفاده شود. می‌توانید درباره نحوه نگهداری و حذف آن توضیح بخواهید.

آیا انتشار عکس چهره من بدون اجازه جرم است؟

اگر تصویر خصوصی یا خانوادگی باشد و بدون رضایت منتشر شود و این انتشار منجر به ضرر یا عرفاً موجب هتک حیثیت شما شود، طبق ماده ۱۷ قانون جرایم رایانه‌ای جرم است. اگر تصویر دستکاری شده و موجب هتک حیثیت شود، ماده ۱۶ همان قانون مطرح است.

آیا اپلیکیشن‌های فیلتر چهره داده‌های من را نگه می‌دارند؟

بستگی به سیاست حریم خصوصی هر اپلیکیشن دارد. پیش از استفاده، شرایط نگهداری و انتقال داده را بخوانید؛ به‌ویژه درباره سرویس‌های خارجی.

اگر بانک داده‌های احراز هویتم را لو دهد، چه حقی دارم؟

می‌توانید بر اساس قواعد مسئولیت مدنی مطالبه خسارت کنید و در صورت وقوع جرم، شکایت کیفری مطرح کنید. نهادهای نظارتی بانکی نیز مرجع شکایت هستند.

آیا قانون جامع حمایت از داده در ایران تصویب شده است؟

خیر. تا زمان نگارش این مقاله، لایحه و طرح حمایت از داده‌های شخصی به قانون تبدیل نشده‌اند.