قواعد حمایت از حریم خصوصی و حفاظت داده‌های شخصی در اینترنت اشیاء

به گزارش گروه پژوهش و دانش خبرگزاری علم و فناوری آنا، اینترنت اشیاء به‌عنوان نسل جدید اتصال و ارتباط اشیای هوشمند از طریق اینترنت مفهومی است که به‌تازگی وارد ادبیات حکمرانی کشور شده است. لازمه دستیابی به کاربرد کامل این نسل از فناوری، جمع‌آوری جزئی‌ترین اطلاعات با سرعت و وسعت گسترده و تجزیه و تحلیل آنها است.

در همین رابطه مرکز سیاست‌های علمی کشور پژوهشی با عنوان «بررسی مقایسه‌ای قواعد حمایت از حریم خصوصی و حفاظت از داده‌های شخصی در اینترنت اشیاء در نظام‌های حقوقی منتخب و تدوین مدل مفهومی در نظام حقوقی جمهوری اسلامی ایران» انجام داده است. 

با توجه به امکان شناسایی هویت و دسترسی به اطلاعات مربوط به زندگی خصوصی افراد از طریق تحلیل و ترکیب داده‌های جمع‌آوری شده، حفاظت مؤثر از حریم خصوصی و داده‌های شخصی به عنوان یک امر بایسته مطرح شده است.

نظام حقوقی ایران به علت نوپا بودن کشور در این حوزه فاقد قانونی است که به حمایت از حریم خصوصی و حفاظت از داده‌های شخصی شهروندان در این مقوله اختصاص داشته باشد.

با توجه به اهمیت موضوع، تدوین قانون یا قوانینی برای موضوع اشاره شده از نیاز‌های ضروری این حوزه قلمداد می‌‌شود. بر اساس آموزه‌های حقوق تطبیقی برای برون‌رفت از چالش‌های مشابه می‌توان از تجارب دیگر نظام‌ها سود برد.

* یافتن الگو‌های موجود برای حمایت از حریم خصوصی و حفاظت از داده شخصی در اینترنت اشیاء 

پژوهش حاضر بر اساس روش تحلیلی- توصیفی به دنبال یافتن الگو‌های موجود برای حمایت از حریم خصوصی و حفاظت از داده شخصی در اینترنت اشیاء در نظام‌های حقوقی منتخب است و از این طریق سعی دارد به این سؤال پاسخ دهد که کدام نوع الگوی قانونگذاری برای کشور مطلوب است.

* رویکرد حق‌محور

در نظام‌های حقوقی بررسی‌شده سه رویکرد وجود دارد: رویکرد اول، رویکرد حق‌محور در سطح اتحادیه اروپاست که به قانونگذاری جامع در این خصوص پرداخته است. هم قواعدی عام در مورد حمایت از داده‌های شخصی وجود دارد و هم قواعد خاص برای حمایت از حوزه‌های خاص اطلاعات شخصی یا حمایت در برابر فناوری‌های اطلاعاتی خاص.

کنوانسیون حمایت از افراد در برابر پردازش خودکار داده‌های شخصی مصوب شورای اروپا در 1981 که در 2018 نیز تکمیل و روزآمد شده است، مقررات عمومی حمایت از اشخاص حقیقی در برابر پردازش داده‌های شخصی و جریان آزاد این داده‌ها مصوب اتحادیه اروپا در 2016 دو سند مادر هستند.

افزون بر آن‌ها مصوبات متعددی درباره حمایت از حریم خصوصی و داده‌های شخصی نیز وجود دارد که می‌توان به دستورالعمل حریم خصوصی و ارتباطات الکترونیک مصوب 2002 ،دستورالعمل حمایت از داده برای پلیس و مقامات دادرسی کیفری مصوب 2016 و مقررات حمایت از اشخاص حقیقی در برابر پردازش داده‌های شخصی توسط نهادها، مؤسسات، دفاتر و آژانس‌های اتحادیه و جریان آزاد این داده‌ها مصوب 2018 اشاره کرد.

* رویکرد تجارت‌محور

رویکرد دوم، رویکرد آمریکایی (رویکرد تجارت‌محور) است که به رویکرد حقوق و اقتصاد موسوم است و از بازار داده‌های شخصی دفاع می‌کند؛ در این کشور از داده‌های شخصی به‌عنوان کالاهای قابل‌عرضه در بازار توسط شرکت‌ها و کارگزاری‌های داده دفاع می‌شود و به افراد اجازه داده می‌شود درباره انتقال و واگذاری داده‌های شخصی خود در قبال دریافت پول یا عوض دیگر تصمیم بگیرند.

بنابراین بر خلاف نظام اروپایی، از اطلاعات اشخاص فقط در حوزه‌های خاصی که احتمال سوءاستفاده علیه آنها وجود دارد حمایت می‌کند. در نظام حقوقی امریکا به خلاف کشورهای اروپایی، حمایت عام و جامعی از داده‌های شخصی وجود ندارد. فقط مقررات سختگیرانه‌ای در خصوص حفاظت از داده‌های آنلاین کودکان و داده‌های مربوط به‌سلامت و بهداشت عمومی وجود دارد.

افزون بر این، تنظیم‌گری خصوصی یعنی استفاده از فنون و روش‌ها و رویه‌هایی از سوی بخش خصوصی، در حمایت از حریم خصوصی اشخاص نقش مهمی دارند و دخالت دولت برای تنظیم‌گری در این زمینه را غیرضروری ساخته‌اند. استفاده از فنون «حریم خصوصی تفارقی» از روش‌های مهمی است که توسط گوگل و اپل استفاده می‌شود.

* رویکرد امنیت‌محور

رویکرد سوم، رویکرد چین (امنیت‌محور) است که به جهت تأخر زمانی درزمینهٔ وضع قواعد و سیاست‌ها درباره داده‌های شخصی، ترکیبی از قواعد اروپایی و آمریکایی درزمینهٔ حمایت از داده‌های شخصی را با توجه به ملاحظات امنیتی خود به‌کاربرده‌اند. مبنای این رویکرد آن است که دولت در حمایت از داده‌های شخصی باید حاکمیت داشته باشد و وابستگی به‌نظام فناوری اطلاعات امریکا، آنها را در معرض آسیب‌پذیری قرار می‌دهد.

ازاین‌رو، در وهله نخست، بین جمع‌آوری و پردازش داده‌های شخصی در داخل و خارج از کشور تفکیک قائل شده‌اند. در کشور نیز بین دو دسته ملاحظات تمایز قائل شده‌اند: ملاحظات تجاری موجود میان کنترل‌گر‌ها و پردازشگر‌ها و اشخاص موضوع داده و ملاحظات امنیتی و حاکمیتی موجود میان دولت، کنترل‌گر‌ها و پردازشگرها. بر اساس این ملاحظات، رعایت برخی از اصول ناظر بر پردازش داده‌های شخصی (در اروپا) را از سوی کنترل‌گر‌ها در مورد اشخاص و موضوع داده الزامی کرده‌اند و درعین‌حال، ملزم به رعایت الزامات حکومتی دانسته و ارائه همه داده‌های موردنیاز را در سریع‌ترین شکل ممکن به مراجع دولتی، الزامی شناخته است. این الزام به‌ویژه برای سرمایه‌گذاران خارجی و شرکت‌های فعال در چین همواره منشأ نگرانی و تنش با دولت چین بوده است.

در تدوین مدل مفهومی ایران، تلفیقی از رویکرد‌های سه‌گانه با زیربنای اصلی بر نظام اتحادیه اروپایی پیشنهاد می‌شود.
استفاده از رویکرد خود تنظیم‌گری آمریکایی در شرکت‌ها، استفاده از ماده‌واحده‌ای جهت شمولیت احکام مواد قوانین مرتبط به داده در حوزه اینترنت اشیاء نظیر مدل اروپایی، اقتباس از مدل آمریکایی نسبت به حساسیت در موردحفاظت از داده‌های مربوط به حوزه سلامت و بهداشت عمومی و کودکان و اقتباس از مدل چین در طبقه‌بندی اطلاعات و بی‌تجربگی سیستم قانون‌گذاری تفرقی پیشنهادشده است.

* جمع‌بندی و پیشنهادها

درنهایت اینکه نتایج این پژوهش نشان می‌دهد در یک قانون جامع اصول و الزامات و ضمانت اجراهای غیر کیفری برای بازیگران این حوزه مقرر شود و نهادی غیر از مراجع دادگستری عهده‌دار رسیدگی به درخواست‌ها و تقاضای افراد در رابطه با نقض داده‌هایشان تعیین شود.

در قوانین فعلی نظام حقوقی ایران ازجمله قانون انتشار و دسترسی آزاد به اطلاعات، قانون تجارت الکترونیکی، قانون جرائم رایانه‌ای مصادیقی یافت می‌شود که شباهت‌هایی با قوانین موجود در سطح بین‌الملل به‌ویژه مقررات عمومی حفاظت از داده و قانون حمایت از اطلاعات شخصی چین‌ دارند.

با استفاده از اصول و قواعد از قوانین موجود در نظام داخلی و عاریه برخی از موارد دیگر از دو قانون اشاره‌شده می‌توان نظام اثربخشی برای حمایت از حریم خصوصی و حفاظت از داده در نظام حقوقی تدوین کرد؛ این استدلال با بررسی کلیات طرح حمایت از حریم خصوصی و حفاظت از داده و اطلاعات شخصی که در تدوین آن از مقررات عمومی حفاظت از داده الگوبرداری شده است تأیید می‌شود.

با توجه به اینکه این لایحه اولین تلاش برای قانون‌گذاری برای حفاظت از داده‌های شخصی است. بی‌شک خالی از خلأ نیست. با توجه به گستردگی و پیچیدگی موضوع نمی‌توان فقط به قانون‌گذاری اکتفا کرد.

 بخشی از تلاش قانون‌گذاری باید به‌گونه‌ای باشد که اشخاص درگیر در این حوزه به شفافیت عمل تشویق شوند؛ یکی از راه‌های نیل به این هدف تشویق خودتنظیمی و شفافیت عمل برای پردازندگان داده به‌ویژه کسب‌وکارهای مبتنی بر داده است که می‌تواند از طریق ارائه تشویق‌ها و معافیت‌های قانونی حاصل شود.

یکی دیگر از خلأهای موجود، عدم پیش‌بینی نقش فعال و پویا برای دولت جهت تجربه نظام‌های دیگر نشان می‌دهد با توجه به نوپدید بودن موضوع و آثار گسترده آن بر جامعه مداخله دولت‌ها برای حفاظت و حمایت از حقوق اشخاص و منافع عمومی و امنیت ملی یک بایسته است. در نظام حقوقی ایران با توجه به جدید بودن موضوع هنوز اجماعی درباره نقش دولت در این حوزه شکل نگرفته است؛ لیکن تلفیقی از رویکرد‌های سه‌گانه با زیربنای اصلی بر نظام اتحادیه اروپایی پیشنهاد می‌شود.

استفاده از رویکرد خود تنظیم‌گری آمریکایی در شرکت‌ها، استفاده از ماده‌واحده‌ای جهت شمولیت احکام مواد قوانین مرتبط به داده در حوزه اینترنت اشیاء نظیر مدل اروپایی، اقتباس از مدل آمریکایی نسبت به حساسیت در مورد حفاظت از داده‌های مربوط به حوزه سلامت و بهداشت عمومی و کودکان و اقتباس از مدل چین در طبقه‌بندی اطلاعات و بی‌تجربگی سیستم قانون‌گذاری تفرقی(پراکندگی) پیشنهاد شده است.