حمایت از داده‌های شخصی در ایران و لایحه حمایت از داده‌ها

این مقاله در حال بازبینی حقوقی است.

حمایت از داده‌های شخصی یعنی مجموعه قواعدی که مشخص می‌کند سازمان‌ها، شرکت‌ها و دولت چه اطلاعاتی از افراد را، با چه هدفی، تا چه مدت و با چه شرایطی می‌توانند جمع‌آوری، نگهداری، پردازش و منتقل کنند و افراد چه حقوقی بر داده‌های خود دارند؛ مانند حق دسترسی، اصلاح، حذف و اعتراض. داده شخصی هر اطلاعاتی است که به‌طور مستقیم یا غیرمستقیم یک فرد را شناسایی می‌کند: نام، کد ملی، شماره تلفن، آدرس، موقعیت مکانی، سوابق خرید و حتی تصویر چهره. ایران تا زمان نگارش این مقاله قانون جامع حمایت از داده‌های شخصی ندارد. حمایت فعلی از طریق چند قانون پراکنده انجام می‌شود و «لایحه حفاظت از داده‌های شخصی» و طرح مشابه نمایندگان، سال‌هاست در مسیر قانون‌گذاری مانده‌اند.

چرا قانون جامع مهم است؟

در سال‌های اخیر، خبرهای متعددی از نشت اطلاعات کاربران سرویس‌های مختلف منتشر شده است. پس از هر نشت، پرسش‌های تکراری مطرح می‌شود: آیا شرکت باید به کاربران اطلاع می‌داد؟ چه کسی مسئول جبران خسارت است؟ چه جریمه‌ای در انتظار شرکت است؟ قوانین پراکنده فعلی پاسخ روشن و یکپارچه‌ای به این پرسش‌ها نمی‌دهند. یک قانون جامع می‌تواند هم از مردم حمایت کند و هم برای کسب‌وکارها قواعد بازی را مشخص کند؛ چیزی که برای اعتماد به سکوهای داخلی و رشد اقتصاد دیجیتال ضروری است.

قوانین فعلی چه حمایتی می‌کنند؟

قانون اساسی

اصل ۲۲ حیثیت، جان، مال، حقوق، مسکن و شغل اشخاص را از تعرض مصون می‌داند و اصل ۲۵ هرگونه تجسس را جز به حکم قانون ممنوع می‌کند. این اصول پایه نظری حریم خصوصی‌اند، اما به‌تنهایی سازوکار اجرایی تفصیلی ندارند.

قانون تجارت الکترونیکی (۱۳۸۲)

مهم‌ترین مقررات فعلی درباره داده‌های شخصی در این قانون است:

• ماده ۵۸: ذخیره، پردازش و توزیع داده‌پیام‌های شخصی حساس، مانند داده‌های مربوط به ریشه قومی، عقاید مذهبی، خصوصیات اخلاقی و وضعیت جسمانی، روانی یا جنسی، بدون رضایت صریح افراد غیرقانونی است.
• ماده ۵۹: حتی با رضایت، پردازش داده شخصی باید شرایطی داشته باشد: هدف مشخص و روشن، جمع‌آوری به اندازه ضرورت، صحت و روزآمدی داده، حق دسترسی و اصلاح، و امکان درخواست حذف کامل.

محدودیت اصلی این قانون این است که ناظر به «مبادلات الکترونیکی» است، نهاد ناظر مستقلی ندارد و تکالیفی مانند اطلاع‌رسانی نشت داده را پیش‌بینی نکرده است.

قانون جرایم رایانه‌ای (۱۳۸۸)

این قانون سوءاستفاده‌های کیفری را پوشش می‌دهد: دسترسی غیرمجاز (ماده ۱ / ماده ۷۲۹ تعزیرات)، شنود غیرمجاز (ماده ۲ / ماده ۷۳۰) و انتشار صوت، تصویر یا اسرار خصوصی دیگری بدون رضایت، به نحوی که منجر به ضرر یا عرفاً موجب هتک حیثیت او شود (ماده ۱۷ / ماده ۷۴۵). یعنی هکری که پایگاه داده را می‌دزدد یا کسی که اطلاعات خصوصی را منتشر می‌کند مجازات می‌شود، اما شرکتی که به‌دلیل امنیت ضعیف داده‌ها را از دست داده، لزوماً مسئولیت کیفری ندارد.

قانون انتشار و دسترسی آزاد به اطلاعات (۱۳۸۸)

این قانون در کنار تضمین دسترسی مردم به اطلاعات عمومی، دسترسی به اطلاعات شخصی دیگران را محدود کرده و دستگاه‌ها را از افشای اطلاعات شخصی افراد بدون مجوز منع می‌کند.

قانون مدیریت داده‌ها و اطلاعات ملی (۱۴۰۱)

این قانون چارچوب تبادل داده میان دستگاه‌های اجرایی را تنظیم می‌کند و قانون ملی توسعه هوش مصنوعی نیز تبادل داده‌های هوش مصنوعی را به رعایت آن موکول کرده است. اما این قانون جایگزین قانون جامع حمایت از داده‌های شخصی نیست.

قواعد عمومی مسئولیت مدنی

اگر نشت داده موجب ضرر شود، زیان‌دیده می‌تواند بر اساس ماده ۱ قانون مسئولیت مدنی مطالبه خسارت کند؛ به شرط اثبات تقصیر شرکت، ضرر و رابطه سببیت، که در عمل دشوار است.

سرگذشت لایحه حفاظت از داده‌های شخصی

بر اساس گزارش‌های رسانه‌ای:

• تدوین لایحه از حدود سال ۱۳۹۶ در وزارت ارتباطات آغاز شد و نسخه‌های مختلفی از آن منتشر شد.
• در دولت سیزدهم، متن بازبینی شد و برای تصویب به هیئت دولت رفت. رسانه‌ها گزارش دادند لایحه «حفاظت از داده‌های شخصی در فضای مجازی» در تیر ۱۴۰۳ در هیئت دولت تصویب شد.
• با این حال، در مهر ۱۴۰۳ گزارش شد لایحه هنوز به مجلس نرسیده و در همان زمان، طرح حفاظت از داده‌های شخصی با امضای جمعی از نمایندگان در مجلس اعلام وصول شد.
• در شهریور ۱۴۰۴ رئیس سازمان فناوری اطلاعات ایران از نهایی‌شدن «به‌زودی» لایحه خبر داد.

این گزارش‌ها نشان می‌دهد مسیر لایحه پرفرازونشیب بوده است. تا مهر ۱۴۰۵، ما شاهدی از تصویب نهایی قانونی با این عنوان در مجلس و تأیید آن در شورای نگهبان نیافته‌ایم.

محتوای پیشنهادی (به نقل از گزارش‌ها)

بر اساس آنچه درباره طرح و لایحه گزارش شده:

• تشکیل نهاد یا کمیسیونی برای تنظیم‌گری و نظارت بر پردازش داده‌ها، که در طرح نمایندگان دبیرخانه آن در وزارت ارتباطات پیش‌بینی شده است؛
• تعیین حقوق و تکالیف «پردازشگران» داده؛
• پیش‌بینی جریمه برای کسب‌وکارها در صورت هک و نشت اطلاعات؛
• مهلتی (در طرح نمایندگان، شش ماه) برای تطبیق وضعیت پردازشگران با قانون.

تا تصویب نهایی، هیچ‌کدام از این موارد الزام‌آور نیست و متن نهایی ممکن است تفاوت زیادی داشته باشد.

داده‌های شخصی و هوش مصنوعی

گسترش هوش مصنوعی، اهمیت قانون حمایت از داده را دوچندان کرده است. مدل‌های هوش مصنوعی با حجم عظیمی از داده آموزش می‌بینند و بخشی از این داده‌ها ممکن است اطلاعات شخصی افراد باشد. کاربرانی که اطلاعات شخصی، پزشکی یا کاری خود را در چت‌بات‌ها وارد می‌کنند، اغلب نمی‌دانند این اطلاعات کجا ذخیره می‌شود و آیا برای آموزش مدل‌ها استفاده خواهد شد. تصمیم‌گیری خودکار درباره افراد، مانند اعتبارسنجی یا غربالگری استخدام، نیز پرسش‌هایی درباره حق توضیح و اعتراض مطرح می‌کند که در مقاله تبعیض الگوریتمی بررسی شده است. در نبود قانون جامع، این پرسش‌ها عمدتاً بی‌پاسخ مانده‌اند و قانون آینده حمایت از داده باید به آن‌ها بپردازد.

تجربه جهانی و اثر آن بر ایران

مقررات عمومی حمایت از داده اتحادیه اروپا (GDPR) الگوی بسیاری از کشورهاست. کسب‌وکارهای ایرانی که به کاربران اروپایی خدمات می‌دهند، ممکن است مشمول آن شوند. همچنین قانون هوش مصنوعی اتحادیه اروپا الزامات داده‌ای تازه‌ای برای سامانه‌های هوش مصنوعی ایجاد کرده است.

کسب‌وکارها از امروز چه کنند؟

حتی بدون قانون جامع، این اقدامات ریسک حقوقی را کاهش می‌دهد:

1. سیاست حریم خصوصی شفاف بنویسید و بگویید چه داده‌ای، برای چه، تا کی نگه می‌دارید.
2. حداقل داده جمع کنید؛ داده‌ای که ندارید، نشت نمی‌کند.
3. برای داده‌های حساس، رضایت صریح بگیرید (ماده ۵۸ قانون تجارت الکترونیکی).
4. امنیت فنی: رمزنگاری، کنترل دسترسی و ثبت رویدادها.
5. برنامه واکنش به نشت داشته باشید و در صورت حادثه، کاربران را مطلع کنید.
6. در قرارداد با پیمانکاران و سرویس‌های ابری، تعهدات محرمانگی و امنیت را درج کنید.

برای تدوین سیاست حریم خصوصی و قراردادهای پردازش داده، می‌توانید از آرتیلا کمک بگیرید. همچنین مقاله حریم خصوصی بیومتریک را درباره حساس‌ترین نوع داده‌ها بخوانید.

نکات کلیدی

• ایران تا مهر ۱۴۰۵ قانون جامع حمایت از داده‌های شخصی ندارد.
• ماده ۵۸ قانون تجارت الکترونیکی پردازش داده‌های حساس شخصی بدون رضایت صریح را غیرقانونی می‌داند.
• ماده ۵۹ قانون تجارت الکترونیکی حق دسترسی، اصلاح و درخواست حذف داده‌های شخصی را پیش‌بینی کرده است.
• قانون جرایم رایانه‌ای دسترسی غیرمجاز و انتشار اسرار خصوصی را جرم می‌داند، اما تکلیف اطلاع‌رسانی نشت داده ندارد.
• لایحه دولت و طرح نمایندگان درباره حفاظت از داده‌های شخصی هنوز به قانون تبدیل نشده‌اند.

سوالات متداول

آیا در ایران قانون حمایت از داده‌های شخصی وجود دارد؟

قانون جامعی با این عنوان وجود ندارد. حمایت از طریق قانون تجارت الکترونیکی، قانون جرایم رایانه‌ای، قانون انتشار و دسترسی آزاد به اطلاعات و قواعد عمومی انجام می‌شود.

اگر اطلاعاتم از یک اپلیکیشن نشت کند، چه حقی دارم؟

می‌توانید در صورت اثبات تقصیر شرکت و ورود ضرر، مطالبه خسارت کنید. اگر کسی اطلاعات را هک یا منتشر کرده، شکایت کیفری نیز ممکن است.

آیا می‌توانم از شرکتی بخواهم اطلاعاتم را حذف کند؟

ماده ۵۹ قانون تجارت الکترونیکی امکان درخواست حذف کامل داده‌های شخصی در بستر مبادلات الکترونیکی را پیش‌بینی کرده است.

لایحه حفاظت از داده‌ها کی تصویب می‌شود؟

تاریخ مشخصی وجود ندارد. لایحه و طرح مشابه سال‌هاست در جریان‌اند و تا زمان نگارش این مقاله تصویب نهایی نشده‌اند.

آیا GDPR اروپا بر کسب‌وکار ایرانی اعمال می‌شود؟

اگر به افراد در اتحادیه اروپا کالا یا خدمات عرضه کنید یا رفتار آن‌ها را پایش کنید، ممکن است مشمول آن شوید.