حریم خصوصی بیومتریک: حقوق داده چهره و اثر انگشت

این مقاله در حال بازبینی حقوقی است.

تعریف: حریم خصوصی بیومتریک به حمایت حقوقی از داده‌هایی گفته می‌شود که از ویژگی‌های جسمی یا رفتاری منحصربه‌فرد افراد، مانند چهره، اثر انگشت، عنبیه، صدا یا نحوه راه رفتن، استخراج می‌شود و برای شناسایی یا احراز هویت آنان به کار می‌رود. اهمیت ویژه این داده‌ها در آن است که برخلاف رمز عبور، قابل تغییر نیستند؛ اگر یک بار افشا شوند، برای همیشه در معرض سوءاستفاده‌اند.

از باز کردن قفل گوشی با چهره تا افتتاح حساب بانکی غیرحضوری و ورود به محل کار با اثر انگشت، داده‌های بیومتریک به بخشی از زندگی روزمره تبدیل شده‌اند. این مقاله وضعیت حقوقی این داده‌ها را در ایران و اتحادیه اروپا بررسی می‌کند و توصیه‌هایی برای کاربران و کسب‌وکارها ارائه می‌دهد. برای مبانی کلی، مقاله حقوق فناوری‌های نوظهور را ببینید.

چرا داده بیومتریک حساس‌تر است؟

• تغییرناپذیری: چهره و اثر انگشت را نمی‌توان مانند رمز عبور عوض کرد.
• قابلیت شناسایی از راه دور: چهره را می‌توان بدون اطلاع فرد از طریق دوربین ثبت کرد.
• استنتاج اطلاعات دیگر: از برخی داده‌های بیومتریک ممکن است اطلاعات حساس دیگری مانند وضعیت سلامت استنباط شود.
• ریسک جعل: فناوری دیپ‌فیک و شبیه‌سازی صدا، داده بیومتریک افشاشده را به ابزار کلاهبرداری تبدیل می‌کند. مقاله جرم دیپ‌فیک را ببینید.

بیان قابل نقل: داده بیومتریک برخلاف رمز عبور قابل تغییر نیست؛ به همین دلیل نشت آن آسیبی دائمی ایجاد می‌کند و حمایت حقوقی قوی‌تری می‌طلبد.

وضعیت حقوقی در ایران

نبود قانون جامع حفاظت از داده‌های شخصی

ایران تا مهر ۱۴۰۵ قانون جامعی برای حفاظت از داده‌های شخصی ندارد و لایحه مربوط هنوز در مراحل تصویب است. بنابراین حمایت از داده‌های بیومتریک بر مجموعه‌ای از مقررات پراکنده تکیه دارد.

سند حریم خصوصی مرکز ملی فضای مجازی

کمیسیون عالی تنظیم مقررات فضای مجازی در جلسه ۱۲۸ مورخ ۲۵ دی ۱۴۰۲، مصوبه‌ای درباره حریم خصوصی کاربران در سکوها و خدمات فضای مجازی تصویب کرد. بر اساس گزارش‌های منتشرشده، این مصوبه:

• ارائه‌دهندگان خدمات را به انتشار سیاست حریم خصوصی شفاف و اخذ رضایت صریح کاربران مکلف می‌کند؛
• جمع‌آوری داده را به حداقل لازم محدود می‌کند؛
• تغییر سیاست حریم خصوصی را به اطلاع‌رسانی دو ماه پیش از اجرا مشروط می‌کند؛
• حق حذف داده به درخواست کاربر را به رسمیت می‌شناسد؛ داده حذف‌شده برای رعایت الزامات قانونی نگهداری (مواد ۶۶۷ تا ۶۷۰ قانون آیین دادرسی کیفری) به پشتیبان برون‌خط منتقل و پس از آن معدوم می‌شود؛
• ذخیره داده‌های هویتی را به صورت رمزنگاری‌شده الزامی می‌کند؛
• ادامه ارائه خدمت یا تمدید مجوز را به رعایت این الزامات وابسته می‌کند.

احراز هویت غیرحضوری بانکی

بانک مرکزی در ضوابط احراز هویت غیرحضوری، استفاده از دست‌کم دو عامل احراز هویت، تطبیق تصویر چهره متقاضی با تصویر موجود در سازمان ثبت احوال، و استفاده از هوش مصنوعی برای تشخیص زنده بودن و دستکاری تصویر را پیش‌بینی کرده است. در صورت ناکافی بودن ضریب اطمینان، بررسی انسانی لازم است. این ضوابط، یکی از معدود مقررات ایرانی است که پردازش داده چهره را صراحتاً سامان داده است.

قوانین کیفری و مدنی

• ماده ۷۴۵ قانون مجازات اسلامی (بخش تعزیرات): انتشار فیلم، صوت یا تصویر خصوصی یا خانوادگی دیگری از طریق سامانه‌های رایانه‌ای یا مخابراتی بدون رضایت او، جرم است.
• ماده ۱ قانون مسئولیت مدنی: هر کس بدون مجوز قانونی، عمداً یا در نتیجه بی‌احتیاطی، به حقوق دیگری لطمه وارد کند، مسئول جبران خسارت مادی و معنوی است. نشت داده بیومتریک به دلیل ضعف امنیتی، می‌تواند مبنای این مسئولیت باشد.
• ماده ۱۸ قانون ساماندهی پهپادهای غیرنظامی: نقض حریم خصوصی با پهپاد را صراحتاً موجب مسئولیت می‌داند. مقاله قوانین پهپاد در ایران را ببینید.

بیان قابل نقل: در ایران، داده بیومتریک قانون اختصاصی ندارد و حمایت از آن بر مصوبه حریم خصوصی کمیسیون عالی تنظیم مقررات فضای مجازی، ضوابط بانک مرکزی، ماده ۷۴۵ قانون مجازات و ماده ۱ قانون مسئولیت مدنی تکیه دارد.

اتحادیه اروپا: GDPR و قانون هوش مصنوعی

داده بیومتریک به‌عنوان «داده ویژه»

طبق ماده ۹ GDPR، پردازش داده‌های بیومتریک به منظور شناسایی منحصربه‌فرد شخص، در زمره «دسته‌های ویژه داده شخصی» است و جز در موارد استثنایی مانند رضایت صریح، ممنوع است.

ممنوعیت‌های قانون هوش مصنوعی

ماده ۵ قانون AI اتحادیه اروپا از ۲ فوریه ۲۰۲۵ این موارد را ممنوع کرده است:

• ایجاد یا گسترش پایگاه‌های داده تشخیص چهره از طریق جمع‌آوری بی‌هدف تصاویر چهره از اینترنت یا دوربین‌های مداربسته؛
• تشخیص احساسات در محیط کار و آموزش، مگر برای دلایل پزشکی یا ایمنی؛
• شناسایی بیومتریک از راه دور و آنی در فضاهای عمومی برای اجرای قانون، جز در استثنائات محدود.

جریمه Clearview AI

سازمان حفاظت از داده هلند در ۳ سپتامبر ۲۰۲۴، شرکت Clearview AI را به دلیل ایجاد پایگاه داده غیرقانونی چهره، به پرداخت ۳۰.۵ میلیون یورو جریمه محکوم کرد و دستورهایی همراه با جریمه تأخیری تا سقف ۵.۱ میلیون یورو صادر کرد. این پرونده نشان می‌دهد جمع‌آوری تصاویر عمومی اینترنت، مجوز ساخت پایگاه بیومتریک نیست.

توصیه‌ها برای کسب‌وکارها

1. ضرورت را بسنجید: آیا واقعاً به داده بیومتریک نیاز دارید یا روش کم‌خطرتری کافی است؟
2. رضایت صریح بگیرید: و هدف و مدت نگهداری را شفاف اعلام کنید.
3. قالب (template) ذخیره کنید، نه تصویر خام: و آن را رمزنگاری کنید.
4. دسترسی را محدود کنید: و سوابق دسترسی را ثبت کنید.
5. سیاست حذف داشته باشید: پس از پایان رابطه، داده را طبق الزامات قانونی حذف کنید.
6. قرارداد با تأمین‌کننده را دقیق بنویسید: مسئولیت نشت داده و ممنوعیت استفاده ثانویه را تصریح کنید.

برای تهیه سیاست حریم خصوصی و قراردادها، از خدمات حقوقی آرتیلا و راهنمای جرائم سایبری استفاده کنید.

توصیه‌ها برای کاربران

• پیش از ارائه چهره یا اثر انگشت، سیاست حریم خصوصی سرویس را بخوانید.
• برای احراز هویت بانکی، فقط از اپلیکیشن‌های رسمی بانک‌ها استفاده کنید.
• اگر داده‌تان افشا شد، مستندات را حفظ کنید و برای شکایت با وکیل متخصص مشورت کنید.

پرسش‌های متداول

داده بیومتریک چیست؟

داده‌ای که از ویژگی‌های جسمی یا رفتاری منحصربه‌فرد افراد، مانند چهره، اثر انگشت، عنبیه یا صدا، برای شناسایی یا احراز هویت استخراج می‌شود.

آیا ایران قانون حفاظت از داده‌های شخصی دارد؟

تا مهر ۱۴۰۵ قانون جامعی تصویب نشده و لایحه مربوط در جریان است. مصوبه حریم خصوصی کمیسیون عالی تنظیم مقررات فضای مجازی (دی ۱۴۰۲) و ضوابط بانک مرکزی بخشی از خلأ را پر می‌کنند.

آیا بانک می‌تواند تصویر چهره مرا با ثبت احوال تطبیق دهد؟

بله. ضوابط احراز هویت غیرحضوری بانک مرکزی این تطبیق را پیش‌بینی کرده و در صورت کافی نبودن ضریب اطمینان، بررسی انسانی را لازم می‌داند.

آیا تشخیص چهره در اروپا ممنوع است؟

به‌طور کلی خیر، اما ماده ۵ قانون AI از ۲ فوریه ۲۰۲۵ جمع‌آوری بی‌هدف تصاویر چهره، تشخیص احساسات در محیط کار و آموزش و شناسایی آنی از راه دور در فضای عمومی برای اجرای قانون را، با استثنائات محدود، ممنوع کرده است.

اگر شرکتی داده بیومتریک مرا افشا کند، چه حقی دارم؟

طبق ماده ۱ قانون مسئولیت مدنی می‌توانید جبران خسارت مادی و معنوی را مطالبه کنید و در صورت انتشار تصاویر خصوصی، ماده ۷۴۵ قانون مجازات اسلامی قابل استناد است.

جمع‌بندی

داده‌های بیومتریک حساس‌ترین نوع داده شخصی‌اند، زیرا قابل تغییر نیستند. اروپا با GDPR و قانون AI برای آن‌ها حمایت ویژه و ممنوعیت‌های مشخص ایجاد کرده و جریمه‌هایی مانند پرونده Clearview جدیت این قواعد را نشان می‌دهد. در ایران، تا تصویب قانون جامع حفاظت از داده، کسب‌وکارها باید مصوبه حریم خصوصی فضای مجازی و ضوابط بانک مرکزی را مبنا قرار دهند و اصل حداقل‌سازی داده را رعایت کنند. این مقاله جنبه اطلاع‌رسانی دارد و جایگزین مشاوره حقوقی نیست.

منابع

• زومیت، گزارش مصوبه حریم خصوصی کمیسیون عالی تنظیم مقررات فضای مجازی (۱ بهمن ۱۴۰۲): https://www.zoomit.ir/tech-iran/415491
• بانک مرکزی، ضوابط احراز هویت غیرحضوری: https://www.cbi.ir/showitem/23549.aspx
• پیوست، وضعیت لایحه حفاظت از داده‌های شخصی: https://peivast.com/p/212052
• متن قانون ساماندهی پهپادهای غیرنظامی، پهپاد پلاس: https://pahpadplus.com/?p=929
• Regulation (EU) 2016/679 (GDPR), EUR-Lex: https://eur-lex.europa.eu/eli/reg/2016/679/oj
• AI Act, Article 5: https://artificialintelligenceact.eu/article/5/
• Autoriteit Persoonsgegevens, Decision fine Clearview AI: https://www.autoriteitpersoonsgegevens.nl/en/documents/decision-fine-clearview-ai