داده شخصی

نواقص حمایت از داده پیام در ماده 58 قانون تجارت الکترونیکی، ناشی از محدودیت موضوع به «داده های شخصی حساس» و محدودیت رفتارهای مجرمانه به «ذخیره، پردازش و توزیع» است. همچنین، چندگانگی قوانین «لازم الاجراء» فعلی و مقررات «ممکن الاجراء» در آینده ناشی از پیش نویس لایحه «حمایت از داده ها و حریم خصوصی در فضای مجازی» و لایحه «صیانت و حفاظت از داده های شخصی» است که در صورت تبدیل به قانون، اعتبار قانون تجارت الکترونیکی و رابطه این مقررات چالش برانگیز خواهد بود. پرسش اینکه در صورت قانونی شدن این دو لایحه، در موارد خلأ یا تعارض قانونی، کدام قانون حاکم خواهد بود؟ از دید نویسندگان، قاعده اصولیِ «عام مؤخر ناسخ خاص مقدم نیست» در قلمرو فضای مجازی ناکارآمد است و راهکار آن کشف «اراده مؤخر قانون گذار» است

پیشرفت فنّاوری، در کنار مزیت های فراوان خود، به تنهایی به خسارات و جرایم بسیاری در این عرصه منجر شده است. نقض داده های شخصی توجه قانونگذاران و افراد درگیر در این حوزه را بسیار جلب کرده است، چراکه از شروع پیشرفت های فنّاورانه تا امروز به طور گسترده خسارات و جرایم جبران ناپذیری به بار آورده است که قانونگذاران را مجبور به توجه و تصویب قوانین جدید در این راستا کرده است. اگرچه حریم خصوصی از دیرباز در قوانین سنتی نیز مورد حمایت بوده است، داده های شخصی که بخشی از حریم خصوصی محسوب می شود در فضای وب امروز نیاز به قوانین جدید و مطابق با شرایط جدید دارد؛ ازاین رو وجود قوانین مطابق با نیازهای روز همواره مورد توجه بوده و هست. در این نوشتار، با بررسی مفهوم حریم خصوصی در مقررات اتحادیه اروپا و نظام حقوقی ایران، چنین تحلیل شده که قوانین نیاز به روزآمدی بیشتری نسبت به پیشرفت های عصر دیجیتال دارد و باید مفهوم حریم خصوصی و داده های شخصی به طور مشخص در بطن قوانین معرفی و مورد حمایت قرار گیرد. این درحالی است که در هیچ یک از قوانین بررسی شده نظام حقوقی داخلی تعریف جامع و منسجمی از داده های شخصی وجود ندارد و این خلأ در قوانین ایران باید بررسی شود. در نهایت تعریفی جامع از داده شخصی ارائه شده است.

داده های شخصی اهمیت اقتصادی فراوانی دارند، به طوری که آن ها را پول آینده نامیده اند. در عین حال، محیط هایی که اشخاص در آن ها زندگی می کنند و به طور مداوم با آن ها سروکار دارند، داده های اشخاص را جمع آوری و پردازش کرده و به شیوه های مختلف از داده ها استفاده می کنند. بنابراین، ضرورت وجود قوانینی که از این امر ارزشمند در مقابلِ استفاده های فراوان حفاظت کند، احساس می شود. مهم ترین بستر قانونی برای حمایت از داده شخصی، مقررات عمومی حفاظت از داده (GDPR) است. این مقررات در سال ۲۰۱۶ توسط پارلمان و شورای اروپا تصویب و از سال ۲۰۱۸ در تمامی کشورهای عضو اتحادیه اروپا لازم الاجرا شده است و به دلیل ویژگی ها و حمایت های بدیع و دقیق خود، جامع ترین بستر قانونی در خصوص حمایت از داده است. به جهت اهمیت GDPR در خصوص حفاظت از داده های شخصی، معرفی این بستر قانونی، پرداختن به مفاهیم اساسی، دامنه اعمال و بیان نقاط قوت این مقررات به منظور درک بهتر حمایت های مندرج در GDPR ضروری است. پژوهش حاضر با تتبع در مقررات مذکور و منابع مرتبط، به این مهم می پردازد و در جهت شفاف سازی این مقررات برای کمک به تدوین بستر قانونی مناسب، در خصوص حمایت از داده شخصی در نظام حقوقی ایران گام برمی دارد.

افراد در بسترهای مختلفی از داده های شخصی خود استفاده می کنند. در واقع باید گفت که استفاده از داده های شخصی اجتناب ناپذیر است. از طرف دیگر، حفاظت از داده های شخصی یکی از حقوق شهروندی است و باید به طور قانونی از داده های شخصی حمایت شود. چنین حفاظت قانونی به طور کامل، توسط مقرّرات عمومی حفاظت از داده (GDPR) حاصل شده است. این مقرّرات اروپایی، جامع ترین بستر قانونی در خصوص حفاظت از داده شخصی است. علیرغم اهمیّت حفاظت از داده شخصی، بسیاری از کشورها هنوز سند قانونی مستقلّ در این خصوص ندارند یا هنوز پیشنویس سندهای خود را نهایی نکرده اند. ایران نیز یکی از این کشورهاست که سند قانونی مصوّبی در این خصوص ندارد، بدین علّت پژوهش حاضر به دنبال معرّفی بستر حقوقی مناسب جهت حمایت از داده شخصی در نظام حقوقی ایران و شناسایی ماهیّت داده شخصی برای تبیین چنین بستری است. در این خصوص باید گفت که ماهیّت داده شخصی، ماهیّتی ویژه است و بالتّبع حقّ بر داده شخصی نیز خاصّ است.

با تصویب مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) ، تمامی کشورهای عضو اتحادیه اروپا، ملزم به حمایت حداکثری نسبت به داده های شخصی هستند. در راستای تحقق کامل این حمایت ها، اشخاص پردازش کننده داده، ملزم به رعایت تعهدات مختلفی به موجب این مقررات هستند. این تعهدات در مواد مختلف GDPR به هدف حفاظت مؤثر از داده های شخصی و اشخاص موضوع داده بیان شده اند. با تبیین تعهدات مذکور از نگاه مقررات اروپاییِ مربوط به داده شخصی، مشخص شد که نظام حقوقی ایران چنین تعهداتی را مورد تصریح قرار نداده است و صرفاً کلیات این تعهدات از منابع مختلف حقوق ایران مانند قوانین موضوعه، مبانی حقوق ایران و فقه امامیه قابل استنباط است. باید گفت که این اشارات ضمنی در جهت تبیین دقیق تعهدات مختلفِ اشخاص پردازش کننده داده کافی نیست و شفافیت جزئیات این امر نیاز به تصریح قانون گذار دارد. در این راستا، این پژوهش مفاد پیشنهادی در خصوص تعهدات مختلف اشخاص پردازش کننده داده، از جمله در خصوص مسئولیت کنترل کننده نسبت به فرایند پردازش، تعهد کنترل کننده نسبت به انتخاب پردازنده مناسب، حفظ سوابق فعالیت های پردازش، همکاری با مراجع نظارتی، تضمین امنیت پردازش، اطلاع رسانی و ابلاغ نقض داده شخصی به مراجع نظارتی و اشخاص موضوع داده و انتصاب مأمور حفاظت از داده، ارائه نموده است.

داده شخصی به عنوان یکی از مفاهیم کلیدی در حوزه قانون گذاری حفاظت از داده های شخصی، در مقررات عمومی حفاظت از داده اتحادیه اروپا به معنی هرگونه اطلاعات مربوط به یک شخص با هویت مشخص (شناخته شده) یا قابل شناسایی تعریف شده است. ارتباط داده، با شخص حقیقی و امکان شناسایی فرد از طریق آن، ممکن است از طریق محتوای داده یا هدف از پردازش داده ها و یا اثرگذاری پردازش داده بر فرد باشد. در حقوق اتحادیه اروپا برای تشخیص این که شخص حقیقی از طریق پردازش داده ها قابل شناسایی است یا خیر، باید تمام ابزارهایی که به طور منطقی و معقول احتمال استفاده از آن توسط کنترل گر یا پردازش گر وجود دارد در نظر گرفته شود. برای اطمینان از این که آیا احتمال معقولی برای شناسایی شخص حقیقی وجود دارد یا خیر، باید تمام عوامل عینی، مانند هزینه و مدت زمان مورد نیاز برای شناسایی و فناوری موجود در زمان پردازش در نظر گرفته شوند. بر اساس معیار قابلیت شناسایی، داده هایی نیز که به طور بالقوه ممکن است در آینده منجر به شناسایی فرد شود تحت پوشش قانون است؛ چنین معیاری می تواند پویایی لازم در قوانین ایجاد کند. قانون گذار ایران در حمایت از داده های خصوصی و غیرخصوصی قائل به تفکیک شده و رعایت قواعد پردازش را محدود به دسته اول کرده است؛ اما رویکرد پیش نویس لایحه حمایت از داده مشابهت هایی با حقوق اتحادیه اروپا دارد و حمایت گسترده تری ارائه کرده است با این حال نیازمند اصلاح از جمله افزودن معیار قابلیت شناسایی به تعریف قانونی و هم چنین حفاظت از داده های درگذشتگان است.

حمایت قانونی از داده های شخصی به عنوان یکی از جنبه های حقوق بشر و مصداقی از حقوق شهروندی، ضروری است. حمایت جامع از داده های شخصی و اشخاص موضوع داده در برخی کشورها با وجود قوانین و مقررات خاص در این حوزه تحقق یافته است. در این خصوص مقررات عمومی حفاظت از داده اتحادیه اروپا قابل اشاره است که با حمایت های همه جانبه از داده های شخصی به الگویی در این زمینه تبدیل شده است. یکی از ابعاد حمایتی این مقررات، تصریح ضمانت اجراهای نقض حق بر داده های شخصی است. جریان عملی ضمانت اجراهای مختلفی که در این مقررات بیان شده است تا حد زیادی این مقررات را به هدف خود یعنی احیای حقوق نقض شده اشخاص موضوع داده و تحقق حمایت کامل از داده های شخصی نزدیک کرده است. از مهم ترین مصادیق چنین ضمانت اجراهایی، وجود حق جبران خسارت و اعمال جزای نقدی ازسوی مراجع نظارتی است. با تبیین هر یک از ضمانت اجراهای یادشده براساس مقررات اروپایی و بررسی تطبیقی آنها در نظام حقوقی ایران، مشخص شد که ضمانت اجراهای پیش گفته در حقوق ایران نیز برای نقض حق بر داده های شخصی پذیرفتنی است؛ اما حمایت جامع از داده های شخصی و تحقق کارآمد این ضمانت اجراها با تصریح قانونگذار حاصل می شود.

تأمین امنیت داده های کاربران از دسترسی غیرمجاز یکی از چالش های اساسی در حفاظت از اطلاعات است. در اغلب خط مشی های حریم خصوصی پلتفرم های ارائه دهنده خدمات، اعلام شده که پروتکل، سرور و لایه های امنیتی پلتفرم و روش های مناسب مدیریت داده ها، تلاش حداکثری برای امنیت داده ها خواهند کرد؛ با این حال، سازوکار و معیاری جهت اتخاذ تدابیر امنیتی شناسایی نشده است. در قوانین لازم الاجرا تنها قانون تجارت الکترونیک است که مقررات کلی در این حوزه مقرر کرده است. نوشتار حاضر با روش توصیفی-تحلیلی در بستر حقوق ایران صورت گرفته و درصدد بررسی الزامات حاکم بر امنیت داده کاربران است. نتیجه پژوهش نشان می دهد پردازشگران داده باید ضمن مسئول بودن در برابر امنیت داده، با در نظر گرفتن نوع داده، هزینه های اجرا و ماهیت، قلمرو، موضوع و اهداف پردازش و همچنین خطرات متنوع و آثار آن بر حقوق افراد، معیارهای فنی و سازمانی متناسبی را برای تضمین سطح مناسبی از امنیت در نظر بگیرند. بررسی دوره ای و ارزیابی و تنظیم گزارش از وضعیت سطح حفاظت از داده های مصرف کنندگان در پلتفرم ها و نیز ارائه شریان نظارتی برای مرکز ملی فضای مجازی از الزامات حفاظت از داده است. کمیسیون عالی تنظیم مقررات فضای مجازی کلیه ارائه دهندگان خدمات را مکلف کرده که از طریق اصلاح سیاست های حریم خصوصی خود، داده هایی که منجر به شناسایی هویت کاربران می شوند را طی دو ماه رمزنگاری کرده و «حق حذف» اطلاعات را برای کاربران شناسایی کنند. نتیجه آن که با توجه به نواقص دستورالعمل، از جمله کلی گویی، عدم شناسایی بستر ویژه جبران خسارت، و ابهام و سکوت مفاد دستورالعمل در برخی موارد و نیز اتکای ضمانت اجرا به مسئولیت مدنی و کیفری، تصویب قانون حفاظت از داده های افراد در کنار تشویق نظام خودتنظیم گری پلتفرم ها، از جمله راهکارهای عملی به نظر می رسند.

هوش مصنوعی بر فناوری هایی مانند یادگیری ماشین و شبکه های عصبی یادگیری عمیق بنا شده است که عملکرد هریک از آن ها وابسته به حجم عظیمی از داده های باکیفیت است. داده های شخصی منبعی اجتناب ناپذیر برای توسعه هوش مصنوعی و بهبود کارایی الگوریتم های هوش مصنوعی است. داده های شخصی منتسب به اشخاص است و بخشی از حقوق و تکالیف شخص در فضای آنالوگ، حسب مورد می تواند ارتباط وثیقی با پردازش صحیح آن داشته باشد که منافع شخص موضوع داده را تأمین کند و آسیبی علیه وی ایجاد نکند. پیش از ظهور هوش مصنوعی حجم پردازش داده های شخصی به نسبت هوش مصنوعی بسیار کم و محدود بود؛ به گونه ای که مقررات عمومی حفاظت از داده های شخصی اتحادیه اروپا (2016)، تکالیفی را برای هر مورد از پردازش داده های شخصی برای کنترلگر الزام کرده و نیز حقوقی را برای پردازش هریک از داده های شخصی برای شخص موضوع داده پیش بینی کرده است (رویکرد کنترلی)، اما با در نظرگرفتن ماهیت فنی هوش مصنوعی، امکان اعمال قواعد کنترلی بر پردازش الگوریتمی داده های شخصی با مشکلاتی همراه است. در این مقاله ضمن بررسی چالش های مقررات عمومی حفاظت از داده های شخصی در حفاظت از داده های شخصی (به عنوان مشهورترین نماینده این رویکرد) تحت پردازش سامانه های هوش مصنوعی، راهکار تقنینی حفاظت از داده شخصی در حوزه هوش مصنوعی مورد تحلیل قرار می گیرد. پرسش اصلی مقاله حاضر این است که قانون گذاری حفاظت از داده شخصی در پردازش الگوریتمی با چه چالش هایی مواجه است و رژیم حقوقی جایگزین برای حل این چالش ها چیست؟ این پژوهش به روش توصیفی- تحلیلی انجام شده است.