حقوق حفاظت از داده‌های شخصی: چهارچوبی برای توانمندسازی کاربران*

حُسنی شیخ‌عطار**حجم اطلاعاتی که توسط شرکت‌ها از کاربران جمع‌آوری می‌شود و کاربردهای احتمالی دانش‌های به دست‌آمده در نتیجه تجمیع این اطلاعات، فراتر از تصور بسیاری از افراد است. با وجود اینکه بسیاری از محققان حوزه حریم خصوصی، برای تشریح وضعیت موجود از استعاره «ناظر کبیر» رمان ۱۹۸۴ جرج اورول استفاده می‌کنند، دانیل سولوو، استاد به­‌نام حقوق حریم خصوصی در دانشگاه جرج واشنگتن اعتقاد دارد که تمثیل درست برای تبیین مشکلات ناشی از نقض حریم خصوصی، رمان محاکمه کافکا است که وضعیت متهمی به نام «جوزف کا» را به تصویر می‌کشد که متهم به ارتکاب جرمی شده است که هیچ چیز از آن به یاد نمی‌آورد و نمی‌داند چه‌کسی به او اتهام وارد کرده و چه نهادی مسئول رسیدگی است. مدارک دادگاه اسرارآمیزی که به پرونده او رسیدگی می‌کند همه «غیرقابل دسترس برای متهم» هستند. سولوو اعتقاد دارد که این تمثیل، وضعیت نابرابری قدرت بین شهروندان و صاحبان پایگاه‌های داده و عدم شفافیت ناشی از آن را به خوبی به تصویر می کشد.همانطور که در مطلب پیشین بیان شد، مساله حفاظت از داده­‌های شخصی، را نمیتوان به عدم افشای اطلاعات شخصی افراد تقلیل داد. بلکه، این حق عمدتا ناظر است به اطمینان از اینکه اطلاعات شخصی­ افراد فقط برای هدفی که آنها خواسته‌­اند مورد استفاده قرار می­‌گیرد. داده‌کاوی (Data Mining) به راحتی می‌تواند این حق را نقض کند چراکه این فرآیند با کشف الگوهای غیر قابل ‌پیش‌بینی به استخراج اطلاعات جدید و غیرقابل‌توضیحی***می‌پردازد که می‌توانند در موارد مختلفی به غیر از هدف اولیه مورد استفاده قرار گیرند. چنین فرآیندی کاربران را در موضع ضعیف‌تری نسبت به جمع‌آوری‌کنندگان اطلاعات قرار می‌دهد.می‌دانیم که در بسیاری از موارد، شرکت‌ها در پی جمع‌آوری داده‌های بیشتری از آنچه ضروری است، هستند. ممکن است هدف این شرکت‌ها داشتن اطلاعات بیشتر در مورد مصرف‌کنندگان و در نهایت بازاریابی باشد. این هدف به‌خودی‌خود، هدف ناپسندی نیست اما چنین هدفی باید افشا‌ء شود و اصولا استفاده کنندگان از خدمات باید حق پذیرش یا رد جمع‌آوری اطلاعاتشان را داشته باشند. بسیاری از شرکت‌های ارائه‌دهنده خدمات اینترنتی ممکن است شیوه‌ای برای اخذ رضایت کاربران داشته باشند. اما صرف گنجاندن جمله‌ای مبنی بر رضایت به جمع‌آوری داده‌های شخصی و فشردن دکمه موافقت توسط کاربر لزوما منجر به حصول رضایت معتبر از نظر حقوقی نمی‌شود.در نظام حقوقی اتحادیه اروپا ، مقررات حفاظت از داده های شخصی (مقررات عمومی حفاظت از داده‌ها مصوب سال ۲۰۱۶) شرایط لازم برای رضایت معتبر به دقت بیان شده است. رضایت برای این‌که معتبر باشد باید آزادانه اعلام شده باشد، مشخص باشد، آگاهانه و غیر مبهم باشد. بنابراین نمی‌توان کسی را به دادن اطلاعات مجبور کرد. همین‌طور افشای اهداف کلی و غیردقیق برای جمع‌آوری اطلاعات کافی نیست. و نهایتا این‌که رضایت به جمع‌آوری اطلاعات باید صریح باشد و نمی‌توان وجود آن را فرض کرد بدین این معنا که در تنظیمات وب‌سایت، رضایت به جمع‌آوری داده‌های شخصی افراد نمی‌تواند تنظیم پیش‌فرض باشد. وقتی در مورد جمع‌آوری داده‌هایمان مورد پرسش قرار می‌گیریم، پیش از آن‌که پاسخ مثبت یا منفی بدهیم باید پاسخی برای این پرسش‌ها بیابیم: چه داده‌هایی از ما جمع‌آوری خواهد شد، با چه هدفی، چه کسی مسئول امنیت داده‌ها خواهد بود، و در صورت تغییر عقیده و تمایل به حذف داده‌هایمان با چه کسی باید تماس بگیریم؟ اگر هر کدام از این موارد مشخص نباشد، رضایت به دادن اطلاعات کار درستی به نظر نمی‌رسد.باید توجه داشت که رضایت، تنها مبنای قانونی جمع‌آوری داده‌ها نیست. مبانی دیگری از جمله منافع مشروع شرکت جمع‌آوری کننده داده نیز می‌توانند به عنوان مبنای جمع‌آوری و پردازش داده‌های شخصی قرار بگیرند. اما این منافع باید واقعی و غیر مبهم باشند و نیز توازن بین آنها و سایر منافع مورد سنجش و بررسی قرار گیرد. منافع مشروع شرکت جمع‌آوری کننده و پردازش‌گر داده تا جایی می‌توانند مبنای جمع‌آوری و پردازش داده‌ها باشند که منافع شخصی افراد بر آنها اولویت پیدا نکند. اگر شرکتی ادعا کند که جمع‌آوری داده‌ها را بر مبنای منافع مشروعش انجام می‌دهد، افراد حق اعتراض و درخواست رسیدگی به صحت این ادعا را دارند.یکی دیگر از بحث‌های چالش‌برانگیز در دنیای امروز، بحث هویت دیجیتال است. تجمیع همه اطلاعات در مورد افراد در اینترنت منجر به پیدایش پدیده هویت دیجیتال شده است. رفتار و عادات افراد ممکن است در محیط‌های مختلف و نزد اشخاص گوناگون، متفاوت باشد. هویت دیجیتال هیچ وقت منعکس‌کننده کامل هویت یک فرد نیست و حتی می‌تواند گمراه‌کننده باشد. این در حالی است که امروزه بسیاری از تصمیم‌های مهم با جست وجوی نام افراد در موتورهای جست‌و‌جو گرفته می‌شود. به همین خاطر است که امروزه در حقوق حفاظت از داده‌های شخصی اتحادیه اروپا، «حق بر فراموش شدن» به رسمیت شناخته شده است. این حق به افراد اجازه درخواست عدم نمایش اطلاعات شخصی ناکافی، غیرمرتبط و یا منقضی را می‌دهد. با این حال اجرای این حق چندان هم آسان نیست و بهتر است افراد قبل از انتشار هرگونه اطلاعاتی، نسبت به ردپای دیجیتالی که می‌گذارند بیشتر فکر کنند.علاوه بر حق اعلام رضایت یا عدم رضایت به استفاده‌ از داده‌ها و حق درخواست پاک‌کردن داده‌ها زمانی که دلیل موجه برای نگهداری آنها وجود ندارد (حق بر فراموش شدن)، حقوق دیگری نیز برای صیانت از داده‌های شخصی افراد در نظام حقوقی اتحادیه اروپا شناسایی شده اند که مهم‌ترین آنها عبارتند از: حق اطلاع (چه کسی داده را پردازش می‌کند؟ با چه هدفی؟ کدام داده‌ها را؟)؛ حق دسترسی (دسترسی به داده هایی که پردازش می‌شود)؛ حق اصلاح داده‌های نادرست؛ و حق دادرسی نزد مرجعی مستقل در صورت نقض حقوق اشخاص. اجرای هر کدام از این حقوق شرایط و استثنائات مختص به خود را دارد که درک آنها برای همه کاربران آسان نیست. و البته با وجود پیش‌بینی جریمه‌های سنگین برای نقض این حقوق در نظام حقوقی اتحادیه اروپا، هنوز هم نمی‌توان مطمئن بود که همه شرکت‌ها به درستی این حقوق را رعایت کنند.توانمندسازی شهروندان در مقابل نابرابری در دسترسی به اطلاعات شخصی کاربران، کار آسانی نیست، اما محال هم نیست. احتیاط در به اشتراک‌گذاری اطلاعات، اولین راهی است که برای حفظ حریم خصوصی و داده‌های شخصی به ذهن می رسد. برای این‌ که کاربران احتیاط لازم را در رفتارهای دیجیتال‌شان داشته باشند، نیاز یه آگاهی کافی از نتایج افشای اطلاعات و استفاده‌های احتمالی سرویس‌دهندگان مجازی از اطلاعات‌شان دارند و از این رو، آگاهی بخشی جزء مهمی از فرآیند توانمندسازی است. علاوه بر مسئولیت فردی ما به مراقبت و احتیاط در اشتراک‌گذاری اطلاعات، دولت نیز موظف است که سازوکارهای حقوقی مناسبی برای حفاظت از اطلاعات افراد اتخاذ کند. اگر قانون این حقوق را به رسمیت بشناسد و راهکارهای مناسبی برای اعمال آنها ارائه دهد، جمع ین آگاهی فردی از خطرات افشای اطلاعات و آشنایی با حقوق قانونی موجود، شهروندان را در حوزه رفتارهای آنلاین توانمند می‌کند و به آنها در اتخاذ تصمیم‌های معقول‌تر کمک خواهد کرد.در نظام حقوقی ایران هرچند برخی مصادیق حریم خصوصی در ضمن قوانین مختلف به طور پراکنده مورد حمایت قرار گرفته است، اما در خصوص پردازش داده‌­های شخصی باید گفت که صرفاً در چهارچوب قانون تجارت الکترونیک مصوب 1382 به حمایت از داده‌­های شخصی در بستر الکترونیکی به عنوان داده­‌پیام و چگونگی پردازش این داده‌­ها پرداخته شده است و قوانین کلی راجع به چگونگی پردازش داده‌­های شخصی در خارج از چهارچوب این قانون در حال حاضر وجود ندارد. در قانون تجارت الکترونیک ذخیره و پردازش و توزیع داده‌­پیام­های شخصی مبیّن ریشه‌­های قومی یا نژادی، دیدگاه­های عقیدتی مذهبی، خصوصیات اخلاقی و داده‌پیام‌­های راجع به وضعیت جسمانی، روانی و یا جنسی اشخاص بدون رضایت صریح آنها به هر عنوان غیرقانونی است و در صورت رضایت شخص نیز پردازش داده­ها و توزیع آنها در بستر مبادلات الکترونیک باید با اهداف مشخص و واضح و به اندازۀ ضرورت و با فراهم کردن امکان اصلاح یا محو داده‌­پیام­ها توسط اشخاص مرتبط صورت گیرد. در سال‌های اخیر، لزوم وجود قانونی جامع در مورد صیانت از داده‌های شخصی مورد توجه قانون‌گذار ایران قرار گرفته است و پیش‌نویس لایحه حفاظت و صیانت از داده‌های شخصی در تیرماه ۱۳۹۷ تهیه شده و در اردیبهشت ماه ۱۳۹۸ به مجلس ارائه شده است.تا زمان تصویب و اجرایی شدن ساز و کار مناسب حقوقی برای حفاظت از حریم خصوصی و داده‌های شخصی در نظام حقوقی ایران، آشنایی با ماهیت این حقوق که جزء حقوق بنیادین بشر شناخته میشوند و دانستن اینکه در نظام های حقوقی دیگر، قانون‌گذاران چه حمایت‌هایی از اشخاص می‌کنند، می‌تواند به بازبینی رفتارهای دیجیتال‌مان، آموزش کودکان و نوجوانان و نهایتا مطالبه حقوق‌مان کمک کند. به علاوه، شناخت این حقوق، زمینه راستی‌آزمایی ادعای شرکت‌های ایرانی را مبنی بر اینکه حقوق ناظر به اطلاعات شخصی افراد را رعایت می‌کنند برای کاربران فراهم می‌کند.---------------------------------------------------------------------------------------------------------------------------------* متاسفانه در نتیجه بی‌دقتی تحریریه روزنامه شرق، بخشی از این نوشته در تاریخ ۲۸ آبان ۱۳۹۸ با نام نویسنده اشتباه در آن روزنامه به چاپ رسیده است.** کارشناس ارشد حقوق، دانشگاه لیدن هلند*** غیرقابل توضیح بودن در اینجا به این معناست که این شیوه استخراج دانش، مدل زیربنایی برای توضیح و تبیین دانش به دست آمده در دسترس قرار نمی‌دهد و تنها به این بسنده می‌شود که دانش مورد نظر حاصل پیش‌بینی‌هایی احتمالی است. برای مطالعه بیشتر و تخصصی‌تر ر.ک.Mark Ndrejevic, 'Big Data, Big Questions| The Big Data Divide', International Journal of Communication, [S.l.], v. 8, p. 17, jun. 2014. ISSN 1932-8036. Available at:<https://ijoc.org/index.php/ijoc/article/view/2161>. Date accessed: 13 Aug. 2019.