حقوق فناوری‌های نوظهور: داده، اینترنت اشیا و قانون

این مقاله در حال بازبینی حقوقی است.

حقوق فناوری‌های نوظهور به مجموعه قواعدی گفته می‌شود که بر فناوری‌هایی مانند هوش مصنوعی، اینترنت اشیا، بلاکچین، پردازش ابری، زیست‌سنجی (بیومتریک) و دستگاه‌های متصل حاکم است. ویژگی مشترک این فناوری‌ها، سرعت تحولی است که از سرعت قانون‌گذاری جلوتر است؛ پدیده‌ای که در ادبیات حقوقی به «مسئله عقب‌ماندگی قانون» معروف است. در این مقاله توضیح می‌دهیم کدام قوانین فعلی ایران بر فناوری‌های نوظهور اعمال می‌شود، چه خلأهایی وجود دارد و مقررات جدید اروپا چه درس‌هایی برای کسب‌وکارهای ایرانی دارد.

چرا حقوق فناوری‌های نوظهور اهمیت دارد؟

هر محصول فناورانه امروز با سه پرسش حقوقی روبه‌روست: داده‌ها متعلق به کیست و چگونه باید محافظت شود؟ اگر محصول آسیب بزند چه کسی پاسخ‌گوست؟ و آیا اسناد و ادله دیجیتال در دادگاه پذیرفته می‌شوند؟ پاسخ این پرسش‌ها، هزینه انطباق، ریسک سرمایه‌گذاری و اعتماد کاربران را تعیین می‌کند. برای استارتاپ‌ها، شناخت زودهنگام این قواعد ارزان‌تر از اصلاح محصول پس از بروز اختلاف است.

قوانین فعلی ایران که بر فناوری‌های نوظهور حاکم‌اند

قانون تجارت الکترونیکی (۱۳۸۲)

این قانون پایه اعتبار حقوقی معاملات و اسناد دیجیتال است:

• ماده ۶: «داده پیام» در حکم نوشته است، به‌جز مواردی مانند اسناد مالکیت اموال غیرمنقول، فروش مواد دارویی به مصرف‌کننده نهایی و اخطارهای مربوط به نحوه استفاده از کالا.
• ماده ۱۲: اسناد و ادله اثبات دعوا ممکن است به صورت داده پیام باشند و دادگاه نمی‌تواند صرفاً به دلیل شکل و قالب، ارزش اثباتی آن را رد کند.
• ماده ۱۴: داده پیامی که به «طریق مطمئن» ایجاد و نگهداری شده، از حیث محتویات و امضا در حکم اسناد معتبر و قابل استناد در مراجع قضایی است.

قانون جرایم رایانه‌ای (۱۳۸۸)

مواد این قانون به کتاب پنجم قانون مجازات اسلامی (تعزیرات) منتقل شده است. برای نمونه، جعل رایانه‌ای (ماده ۶ قانون جرایم رایانه‌ای، ماده ۷۳۴ قانون مجازات اسلامی) شامل تغییر یا ایجاد غیرمجاز داده‌های قابل استناد است. مبالغ جزای نقدی بسیاری از این جرایم در سال ۱۴۰۳ تعدیل شده و از ۷ مرداد ۱۴۰۳ لازم‌الاجراست.

قانون مدیریت داده‌ها و اطلاعات ملی (۱۴۰۱)

این قانون، مصوب ۳۰ شهریور ۱۴۰۱، چارچوب تبادل داده میان دستگاه‌های اجرایی را تعیین می‌کند. اهمیت آن در سال ۱۴۰۵ بیشتر شده است، زیرا قانون ملی توسعه هوش مصنوعی در ماده ۹ برای ایجاد «فرایند ویژه تبادل داده‌های هوش مصنوعی» و انعقاد قراردادهای تبادل داده با بخش خصوصی، رعایت همین قانون و حفظ حریم خصوصی را شرط کرده است.

قانون جهش تولید دانش‌بنیان (۱۴۰۱)

این قانون، مصوب ۱۱ اسفند ۱۴۰۱، مجموعه‌ای از مشوق‌ها را برای شرکت‌های دانش‌بنیان پیش‌بینی کرده است. قانون ملی توسعه هوش مصنوعی نیز در مواد ۱۱ و ۱۲ به احکام این قانون ارجاع داده و برخی سرمایه‌گذاری‌ها در زیرساخت هوش مصنوعی را مشمول مزایای آن کرده است.

آیین دادرسی کیفری و ادله الکترونیکی

در دعاوی کیفری، ماده ۶۸۵ قانون آیین دادرسی کیفری داده‌های رایانه‌ای را در صورتی قابل استناد می‌داند که سامانه مربوط به نحوی درست عمل کند که به صحت، تمامیت، اعتبار و انکارناپذیری داده‌ها خدشه وارد نشود. این معیار برای هر محصول فناورانه‌ای که لاگ و داده تولید می‌کند، یک الزام طراحی هم محسوب می‌شود: اگر سامانه‌تان قابلیت اثبات تمامیت داده نداشته باشد، داده‌هایش در دادگاه آسیب‌پذیر است.

خلأ بزرگ: حفاظت از داده‌های شخصی

ایران هنوز قانون جامع حفاظت از داده‌های شخصی ندارد. به گزارش رسانه‌های تخصصی فناوری، لایحه دولت در این زمینه سال‌ها در دولت و کمیسیون‌های تخصصی در دست بررسی بوده و طرحی نیز در مجلس اعلام وصول شده، اما تا زمان نگارش این مقاله به قانون تبدیل نشده است. پیامد عملی این خلأ:

• تکالیف شفاف درباره رضایت کاربر، حق دسترسی و حق حذف داده در قانون عادی وجود ندارد.
• حمایت از کاربران عمدتاً از مسیر قواعد عمومی (مانند مسئولیت مدنی) و جرایم رایانه‌ای مانند انتشار اسرار و داده‌های خصوصی ممکن است.
• کسب‌وکارهایی که با بازارهای خارجی کار می‌کنند، عملاً باید استانداردهای سخت‌گیرانه‌تری مانند GDPR اروپا را مبنا قرار دهند.

اینترنت اشیا و محصولات متصل: درس‌های اروپا

قانون داده اتحادیه اروپا (Data Act)

قانون داده اتحادیه اروپا از ۱۲ سپتامبر ۲۰۲۵ اجرایی شده است. این قانون به کاربران محصولات متصل (مانند خودروها، لوازم خانگی هوشمند و تجهیزات صنعتی) حق دسترسی به داده‌های تولیدشده توسط دستگاه را می‌دهد. طبق اطلاعات کمیسیون اروپا، الزامات طراحی مربوط به دسترسی‌پذیری داده برای محصولات متصلی اعمال می‌شود که پس از ۱۲ سپتامبر ۲۰۲۶ به بازار عرضه شوند.

قانون تاب‌آوری سایبری (Cyber Resilience Act)

این قانون، الزامات امنیت سایبری را برای محصولات دارای اجزای دیجیتال تعیین می‌کند. تکالیف گزارش‌دهی آسیب‌پذیری‌ها و رخدادها (ماده ۱۴) از ۱۱ سپتامبر ۲۰۲۶ و تکالیف اصلی از ۱۱ دسامبر ۲۰۲۷ اعمال می‌شود.

مسئولیت محصول برای نرم‌افزار

دستورالعمل جدید اروپا درباره مسئولیت محصولات معیوب (۲۰۲۴/۲۸۵۳) نرم‌افزار را «محصول» می‌داند و از ۹ دسامبر ۲۰۲۶ برای محصولات تازه‌عرضه اعمال می‌شود. یعنی تولیدکننده دستگاه هوشمند یا نرم‌افزار، حتی بدون اثبات تقصیر، ممکن است مسئول خسارت ناشی از نقص محصول باشد.

تنظیم‌گری فناوری در ایران: از نهادسازی تا محیط آزمون

قانون ملی توسعه هوش مصنوعی (۱۴۰۵) نمونه‌ای از رویکرد جدید قانون‌گذار به فناوری‌های نوظهور است: ایجاد یک نهاد مستقل (سازمان ملی هوش مصنوعی)، تعیین سطوح مخاطره، ارزیابی دوره‌ای سامانه‌ها و پیش‌بینی «محیط‌های آزمون» برای توسعه‌دهندگان در بند «ت» ماده ۷. این الگو احتمالاً در قانون‌گذاری درباره سایر فناوری‌ها نیز تکرار خواهد شد. برای فعالان بازار، معنای این رویکرد آن است که ارتباط با نهادهای تنظیم‌گر و مشارکت در تدوین آیین‌نامه‌ها، بخشی از راهبرد کسب‌وکار است.

چک‌لیست حقوقی برای استارتاپ‌های فناوری‌های نوظهور

1. نقشه داده تهیه کنید: چه داده‌ای جمع می‌کنید، کجا نگه می‌دارید و با چه کسی به اشتراک می‌گذارید.
2. سیاست حریم خصوصی روشن بنویسید، حتی اگر قانون جامع داده هنوز تصویب نشده است.
3. قراردادهای الکترونیکی را مطمئن کنید: از روش‌های احراز هویت و امضای قابل اثبات استفاده کنید تا ماده ۱۴ قانون تجارت الکترونیکی به نفع شما عمل کند.
4. لاگ‌های امن و غیرقابل تغییر نگه دارید تا معیار ماده ۶۸۵ آیین دادرسی کیفری تأمین شود.
5. مسئولیت را در قراردادها تخصیص دهید: میان تأمین‌کننده سخت‌افزار، توسعه‌دهنده نرم‌افزار و ارائه‌دهنده خدمات ابری.
6. برای بازار خارجی، مقررات مقصد را بررسی کنید: Data Act، Cyber Resilience Act و GDPR برای محصولات عرضه‌شده در اروپا.
7. مالکیت فکری را زود ثبت کنید: علامت تجاری، نرم‌افزار و طرح‌های صنعتی.

پرسش‌های متداول

آیا قراردادی که آنلاین و با کلیک امضا شده در ایران معتبر است؟

اصولاً بله. طبق ماده ۶ قانون تجارت الکترونیکی، داده پیام در حکم نوشته است و طبق ماده ۱۲، ارزش اثباتی آن را نمی‌توان صرفاً به دلیل قالب الکترونیکی رد کرد؛ البته استثناهایی مانند اسناد مالکیت اموال غیرمنقول وجود دارد.

آیا ایران قانون حفاظت از داده‌های شخصی دارد؟

تا زمان نگارش این مقاله، قانون جامع حفاظت از داده‌های شخصی تصویب نشده است. لایحه دولت و طرح مجلس در این زمینه در جریان بررسی بوده‌اند.

داده‌های ثبت‌شده توسط یک دستگاه هوشمند در دادگاه کیفری قابل استناد است؟

طبق ماده ۶۸۵ قانون آیین دادرسی کیفری، در صورتی که سامانه به‌درستی عمل کرده و صحت، تمامیت، اعتبار و انکارناپذیری داده‌ها حفظ شده باشد، قابل استناد است. معمولاً احراز این موضوع با کارشناسی انجام می‌شود.

اگر محصول من در اروپا فروخته شود، چه مقرراتی را باید رعایت کنم؟

بسته به نوع محصول، ممکن است GDPR، قانون داده، قانون تاب‌آوری سایبری، قانون هوش مصنوعی و دستورالعمل جدید مسئولیت محصول اعمال شوند. ارزیابی دقیق نیازمند بررسی تخصصی است.

مهم‌ترین ریسک حقوقی استارتاپ‌های فناور در ایران چیست؟

نبود قانون جامع داده، ابهام در مسئولیت محصولات نرم‌افزاری و ضعف مستندسازی قراردادها از مهم‌ترین ریسک‌ها هستند که با قراردادنویسی دقیق و سیاست داده شفاف قابل مدیریت‌اند.

جمع‌بندی

حقوق فناوری‌های نوظهور در ایران بر پایه چند قانون اصلی بنا شده است: قانون تجارت الکترونیکی برای اعتبار اسناد دیجیتال، قوانین کیفری رایانه‌ای، قانون مدیریت داده‌ها و قانون جدید هوش مصنوعی. خلأ اصلی، نبود قانون جامع حفاظت از داده‌های شخصی است. در مقابل، اروپا با قانون داده، قانون تاب‌آوری سایبری و دستورالعمل مسئولیت محصول، استانداردهای تازه‌ای تعیین کرده که برای هر کسب‌وکار صادرات‌محور مهم است. این مقاله جنبه آموزشی دارد و جایگزین مشاوره حقوقی نیست.

منابع

• قانون تجارت الکترونیکی، ماده ۶ (وکیلیک): https://vakilik.com/laws/view/MTM2NTc
• قانون تجارت الکترونیکی، ماده ۱۲ (عدالت‌سرا): https://edalatsara.com/rules/قانون-تجارت-الکترونیکی/ماده-12
• قانون تجارت الکترونیکی، ماده ۱۴ (وکیلیک): https://vakilik.com/laws/view/MTM2Njg
• ماده ۷۳۴ قانون مجازات اسلامی (جعل رایانه‌ای)، عدالت‌سرا: https://edalatsara.com/rules/قانون-مجازات-اسلامی/ماده-734
• ماده ۶۸۵ قانون آیین دادرسی کیفری: https://akbarivahid.ir/article-685-islamic-penal-code-computer-data-evidence/
• متن «قانون ملی توسعه هوش مصنوعی» (ارجاع به قانون مدیریت داده‌ها و اطلاعات ملی و قانون جهش تولید دانش‌بنیان): https://shenasname.ir/laws/84376
• پیوست، «طرح حفاظت از داده‌های شخصی در مجلس اعلام وصول شد؛ لایحه دولت همچنان در حال بررسی»: https://peivast.com/p/212052
• خبرگزاری مهر، «لایحه حفاظت از داده به زودی نهایی می‌شود»: https://www.mehrnews.com/news/6569685
• European Commission, Data Act explained: https://digital-strategy.ec.europa.eu/en/factpages/data-act-explained
• European Commission, Cyber Resilience Act – Reporting obligations: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
• Directive (EU) 2024/2853, EUR-Lex: https://eur-lex.europa.eu/legal-content/EN/AUTO/?uri=celex:32024L2853