قانون SB 690 کالیفرنیا: پایان دعاوی پیکسل ردیابی وب‌سایت
قانون SB 690 کالیفرنیا دعوای خصوصی «پن رجیستر» علیه پیکسل و کوکی سایت و اپ را حذف و به دادستان کل سپرد؛ اثر عطف به ماسبق، دعاوی باقی‌مانده و درس ایران.
تحریریه آرتیلا · ۱۴۰۵/۰۷/۱۸
این مقاله در حال بازبینی حقوقی است.
تعریف: دعاوی ردیابی وب‌سایت در کالیفرنیا به شکایت‌هایی گفته میشود که بر اساس «قانون تجاوز به حریم خصوصی کالیفرنیا» (CIPA) علیه گردانندگان سایت‌ها و اپلیکیشن‌ها به دلیل استفاده از پیکسل، کوکی، ابزار تحلیل و فناوری‌های مشابه ردیابی طرح میشود. قانون SB 690 که در ۳۰ سپتامبر ۲۰۲۶ امضا و با شماره Chapter 976 ثبت شد، حق اقامه دعوای خصوصی را برای یکی از پرکاربردترین این نظریه‌ها، یعنی نقض ماده 638.51 (منع «پن رجیستر» و «ردیاب تماس» بدون حکم دادگاه)، در فضای وب و اپ حذف و آن را فقط به دادستان کل واگذار کرده است.
اگر یک سایت فروشگاهی، رسانه یا بانک در سال‌های اخیر به کاربران کالیفرنیایی خدمت داده باشد، احتمالاً با نامه مطالبه یا دعوایی روبه‌رو شده که می‌گفت پیکسل تبلیغاتی سایت نشانی IP بازدیدکننده را بدون حکم دادگاه «ضبط» کرده است. SB 690 این مسیر پرتکرار را برای اشخاص خصوصی می‌بندد، اما همه درها را نه.
بیان قابل نقل: SB 690 ردیابی وب‌سایت را قانونی نکرد؛ فقط تعیین کرد که شکایت «پن رجیستر» علیه سایت‌ها را دیگر نه هر شاکی، بلکه فقط دادستان کل می‌تواند طرح کند.
CIPA و نظریه «پن رجیستر» چه بود؟
CIPA در اصل برای مقابله با شنود و استراق سمع تلفنی نوشته شده، اما به تحلیل مؤسسه حقوقی Proskauer، عبارات آن به قدری کلی است که دادگاه‌های ایالتی و فدرال آن را بر جمع‌آوری داده در وب‌سایت‌های امروزی نیز اعمال کرده‌اند. ماده 638.51 استفاده از «پن رجیستر» یا «ردیاب تماس» را بدون حکم دادگاه منع می‌کند. پن رجیستر در این قانون یعنی دستگاه یا فرایندی که اطلاعات شماره‌گیری، مسیریابی، نشانی‌دهی یا سیگنال‌دهی ارتباط را ثبت یا رمزگشایی می‌کند، اما نه محتوای ارتباط را.
از حدود سال ۲۰۲۳، به نوشته Proskauer، خواهان‌ها استدلال کردند پیکسل‌ها، کوکی‌ها و ابزارهای مشابه که نشانی IP، شناسه دستگاه یا شناسه‌های دیگر را جمع می‌کنند، در حکم پن رجیستر هستند، حتی اگر هیچ محتوای ارتباطی را نگیرند. جذابیت این نظریه در سه چیز بود:
- خسارت قانونی: ماده 637.2 به آسیب‌دیده اجازه می‌دهد بیشترِ این دو مبلغ را مطالبه کند: ۵,۰۰۰ دلار برای هر نقض یا سه برابر خسارت واقعی؛ و طبق بند (c) نیازی به اثبات خسارت واقعی نیست؛
- تکرارپذیری: جمع‌آوری IP و شناسه کوکی خروجی معمول اغلب سایت‌های تجاری است، پس با یک روش آزمون ثابت می‌شد شمار زیادی خوانده یافت؛
- رویه متشتت: به گفته Proskauer، نبود رویه تجدیدنظر کافی و آرای ناهمسو در دادگاه‌های بدوی باعث می‌شد خواندگان به‌سختی بتوانند در ابتدای دعوا رد آن را بگیرند.
طبق همین تحلیل، پیشنهاددهنده لایحه به هزاران دعوا و ده‌ها هزار نامه مطالبه اشاره کرده و گزارش کمیته مجلس کالیفرنیا ماده پن رجیستر را «نماد دعاوی سوءاستفاده‌آمیز» خوانده است. Proskauer همچنین از سازش ۳.۸۵ میلیون دلاری لس‌آنجلس تایمز در یک دعوای جمعی پن رجیستر نام برده است.
SB 690 دقیقاً چه می‌گوید؟
متن مصوب بند (d) را به ماده 637.2 قانون مجازات کالیفرنیا اضافه کرده است:
- (d)(1): دعوا علیه شخص خصوصی برای نقض ماده 638.51 که ادعا میشود از رفتار در وب‌سایت، اپلیکیشن آنلاین یا اپلیکیشن موبایل ناشی شده، فقط توسط دادستان کل قابل طرح است؛
- (d)(2): این اصلاحات عطف به ماسبق میشود و بر هر ادعای در جریان در دعوایی که ظرف دو سال پیش از تاریخ اجرای قانون اقامه شده اعمال میشود.
به نوشته Proskauer، تاریخ اجرای قانون ۱ ژانویه ۲۰۲۷ است؛ یعنی ادعاهای در جریان در دعاوی اقامه‌شده از ۱ ژانویه ۲۰۲۵ به بعد مشمول اثر عطف به ماسبق خواهند بود. این مؤسسه یادآوری می‌کند که خواندگان می‌توانند بر این اساس درخواست رد دعوا بدهند، اما اعمال بند عطف به ماسبق ممکن است خود محل اختلاف شود.
بیان قابل نقل: اثر عطف به ماسبق SB 690 مهم‌ترین بخش آن برای شرکت‌هاست: دعاوی پن رجیستری که از ۲۰۲۵ اقامه شده‌اند، ممکن است مبنای خود را از دست بدهند.
آنچه از لایحه حذف شد
طبق Proskauer، نسخه پیشین SB 690 یک «پناهگاه امن» گسترده برای پردازش اطلاعات شخصی با «هدف تجاری» در برابر دعاوی مواد 631 (شنود)، 632 (استراق سمع) و 638.51 پیش‌بینی می‌کرد، اما این عبارت پیش از تصویب حذف شد و نسخه محدود بدون مخالف تصویب شد. فرماندار نیز به نقل از همین منبع گفته است CIPA مقررات قدیمی دیگری هم دارد که در معرض سوءاستفاده است و از مجلس خواسته سال آینده به آن بپردازد.
چه دعاوی همچنان باقی است؟
SB 690 فقط یک نظریه را می‌بندد. طبق تحلیل Proskauer، این مسیرها باز می‌مانند:
- ماده 631 (شنود): وقتی ادعا میشود ابزار شخص ثالث، مانند ضبط جلسه کاربر (session replay)، محتوای ارتباط کاربر با سایت را هم‌زمان رهگیری کرده است؛
- ماده 632 (استراق سمع ارتباط محرمانه): به‌ویژه درباره چت‌بات‌ها و ابزارهای گفت‌وگوی زنده شخص ثالث؛ درباره تکالیف چت‌بات پشتیبانی، قانون AB 1609 کالیفرنیا را ببینید؛
- قانون فدرال شنود (Wiretap Act)، دعاوی کامن‌لا مانند «ورود به خلوت»، ادعاهای مبتنی بر حریم خصوصی در قانون اساسی کالیفرنیا و قانون CDAFA؛
- اجرای دولتی: دادستان کل همچنان می‌تواند ماده 638.51 را اجرا کند، هرچند به گفته Proskauer بعید است اجرای دولتی هزاران دعوای استاندارد را بازتولید کند.
میدان نبرد آینده: فراداده یا محتوا؟
Proskauer پیش‌بینی می‌کند اختلاف اصلی به مرز «فراداده» و «محتوا» منتقل شود. نشانی IP فراداده است، اما نشانی صفحه‌ای که عبارت جست‌وجو یا موضوع حساسی مانند دارو یا وکیل ورشکستگی را نشان می‌دهد، ممکن است «محتوا» تلقی شود. این مؤسسه به رأی دادگاه فدرال در پرونده Ortiz v. Foris Dax (ناحیه شمالی کالیفرنیا، ۲۱ مه ۲۰۲۶) اشاره می‌کند که ادعای کلی درباره آنچه کوکی‌ها «می‌توانند» جمع کنند را برای دعوای ماده 631 کافی ندانست، اما در همان دستور پذیرفت که پن رجیستر محدود به دستگاه‌های تلفنی نیست.
بیان قابل نقل: پس از SB 690، پرسش دعوا از «آیا سایت IP را جمع کرد؟» به «آیا سایت محتوای حساس ارتباط کاربر را به شخص ثالث داد؟» تغییر می‌کند.
نگاه تطبیقی: ردیابی آنلاین در حقوق ایران
حقوق ایران مفهومی معادل «پن رجیستر» برای ردیاب‌های وب ندارد، اما چند قاعده مرتبط وجود دارد:
- ماده ۲ قانون جرایم رایانه‌ای «شنود غیرمجاز» را جرم‌انگاری می‌کند و موضوع آن محتوای در حال انتقال ارتباطات غیرعمومی است. این تمرکز بر «محتوا» شبیه همان تمایزی است که پس از SB 690 در کالیفرنیا محوری میشود؛ اینکه جمع‌آوری صرف IP یا شناسه کوکی مشمول این ماده باشد، به نظر نویسنده محل تردید جدی است.
- ماده ۱ قانون جرایم رایانه‌ای دسترسی غیرمجاز را فقط درباره داده یا سامانه‌ای که با تدابیر امنیتی حفاظت شده جرم می‌داند.
- مواد ۵۸ و ۵۹ قانون تجارت الکترونیکی پردازش داده‌پیام‌های حساس را به رضایت صریح منوط می‌کنند و برای سایر داده‌های شخصی شرایطی مانند مشخص بودن هدف، تناسب با ضرورت، صحت و حق دسترسی شخص را مقرر کرده‌اند؛ ماده ۷۱ برای نقض این شرایط ضمانت اجرای کیفری گذاشته است.
- ماده ۴۸ همان قانون به سازمان‌های قانونی و مدنی حمایت از حقوق مصرف‌کننده اجازه می‌دهد به‌عنوان شاکی اقامه دعوا کنند؛ سازوکاری که از نظر کارکرد، و نه شکل، با نقش دادستان کل در SB 690 قابل مقایسه است.
در منابعی که نویسنده بررسی کرد، سازوکاری مشابه خسارت قانونی ثابت برای هر نقض در حقوق ایران یافت نشد؛ بنابراین مدل «دعاوی انبوه» کالیفرنیا در ایران به همان شکل قابل تکرار نیست. برای نمونه‌ای از اجرای مقررات داده مکانی در اروپا، جریمه گوگل برای داده موقعیت مکانی و برای جرایم سایبری، دانشنامه سایبری آرتیلا را ببینید.
توصیه عملی برای سایت‌ها و اپ‌هایی با کاربر آمریکایی
- دعاوی و نامه‌های در جریان را بازبینی کنید: تاریخ اقامه دعوا و سایر ادعاهای مطرح‌شده تعیین می‌کند SB 690 چه کمکی می‌کند؛
- بدانید ردیاب‌ها چه جمع می‌کنند: به‌ویژه URLهای حاوی عبارت جست‌وجو، فرم‌ها، چت و ضبط جلسه؛
- انطباق عمل و افشا: تنظیمات کوکی، سیاست حریم خصوصی و قرارداد با فروشندگان باید با عملکرد واقعی فناوری هماهنگ باشد.
پرسش‌های متداول
قانون SB 690 کالیفرنیا از چه زمانی اجرا میشود؟
این قانون در ۳۰ سپتامبر ۲۰۲۶ امضا شد و طبق تحلیل Proskauer از ۱ ژانویه ۲۰۲۷ اجرایی میشود. اثر آن بر ادعاهای در جریان در دعاوی اقامه‌شده ظرف دو سال پیش از این تاریخ نیز اعمال میشود.
آیا SB 690 استفاده از پیکسل و کوکی را قانونی کرده است؟
خیر. قانون فقط حق دعوای خصوصی بر اساس ماده 638.51 را در فضای وب و اپ حذف می‌کند. دادستان کل همچنان می‌تواند اقدام کند و دعاوی مواد 631 و 632 و سایر قوانین باقی است.
خسارت قانونی در CIPA چقدر است؟
طبق ماده 637.2، آسیب‌دیده می‌تواند بیشترِ ۵,۰۰۰ دلار برای هر نقض یا سه برابر خسارت واقعی را مطالبه کند و اثبات خسارت واقعی شرط دعوا نیست؛ این قاعده برای سایر مواد CIPA باقی است.
پس از SB 690 کدام نوع ردیابی پرریسک‌تر است؟
به نظر Proskauer، ابزارهایی که محتوای ارتباط را می‌گیرند، مانند ضبط جلسه، چت شخص ثالث، فرم‌ها و URLهای حاوی جست‌وجو یا اطلاعات حساس سلامت، کانون دعاوی آینده خواهند بود.
در ایران جمع‌آوری IP کاربر بدون اطلاع او جرم است؟
قاعده صریحی یافت نشد. ماده ۲ قانون جرایم رایانه‌ای بر شنود محتوا تمرکز دارد و مواد ۵۸ و ۵۹ قانون تجارت الکترونیکی شرایط پردازش داده شخصی را تعیین می‌کنند؛ شمول آن‌ها بر IP نیازمند بررسی موردی است.
جمع‌بندی
SB 690 یکی از پرحجم‌ترین موج‌های دعاوی حریم خصوصی آمریکا را مهار می‌کند: دعوای پن رجیستر علیه سایت‌ها و اپ‌ها از این پس فقط در اختیار دادستان کل است و این قاعده بر دعاوی اخیر نیز اثر می‌گذارد. اما دعاوی شنود، استراق سمع و حریم خصوصی کامن‌لا باقی است و تمرکز به سمت محتوای حساس و رضایت فریبنده می‌رود. درس این تحول برای کسب‌وکارهای ایرانی، شناخت دقیق جریان داده ردیاب‌ها و هماهنگی سیاست حریم خصوصی با عملکرد واقعی فناوری است. برای بازبینی سیاست حریم خصوصی و قراردادهای فناوری با کارشناسان آرتیلا مشورت کنید. این مقاله اطلاع‌رسانی است و جایگزین مشاوره حقوقی نیست.
منابع
- California Legislative Information, SB-690 Crimes: invasion of privacy (Chapter 976, Statutes of 2026): https://leginfo.legislature.ca.gov/faces/billNavClient.xhtml?bill_id=202520260SB690
- Proskauer on Privacy (Anna W. Chan & Jonathan Mollod), California’s SB 690 May Close One Door on Website Tracking Claims While Leaving Others Open (5 Oct 2026): https://privacylaw.proskauer.com/2026/10/articles/privacy-litigation/californias-sb-690-may-close-one-door-on-website-tracking-claims-while-leaving-others-open/
- وزارت ارتباطات و فناوری اطلاعات (اداره کل خراسان رضوی)، متن قانون جرایم رایانه‌ای: https://razavi.ict.gov.ir/ictcontent/razavi/fa/terms/informationtech/4.pdf
- وزارت ارتباطات و فناوری اطلاعات (اداره کل فارس)، متن قانون تجارت الکترونیکی: https://fars.ict.gov.ir/ICTContent/media/image/2017/10/52758_orig.pdf