تعهدات پردازش کننده داده شخصی در اتحادیه اروپا و امکان سنجی پذیرش آن در حقوق ایران

مقدمه :
در عصر دیجیتال ، داده‌های شخصی به سرمایه‌ ای حیاتی تبدیل شده‌اند ؛ دارایی ناملموسی که ارزش اقتصادی ، اجتماعی و حتی سیاسی پیدا کرده است. امروزه شرکت‌های فناوری ، دولت‌ها و سازمان‌های خصوصی ، حجم عظیمی از اطلاعات شهروندان را جمع‌آوری ، پردازش و ذخیره می‌ کنند. این روند اگرچه منجر به توسعه خدمات نوین و تسهیل زندگی روزمره شده ، اما همزمان خطراتی جدی در زمینه نقض حریم خصوصی و سوءاستفاده از داده‌ها را به همراه دارد .
اتحادیه اروپا برای پاسخ به این چالش‌ها ، در سال ۲۰۱۶ مقررات عمومی حفاظت از داده‌ها (GDPR) را تصویب و از سال ۲۰۱۸ لازم‌الاجرا کرد . این مقررات با هدف ایجاد چارچوبی جامع و الزام‌آور برای پردازش داده‌های شخصی تدوین شد تا ضمن حمایت از حقوق بنیادین افراد ، جریان آزاد داده‌ها در بازار واحد اروپا حفظ شود .
GDPR جایگزین دستورالعمل ۱۹۹۵ حفاظت از داده‌ها گردید و با تأکید بر شفافیت ، مشروعیت پردازش ، تناسب ، دقت ، محدودیت ذخیره ‌سازی و مسئولیت ‌پذیری پردازشگر و کنترل‌ کننده داده‌ها ، تحولی اساسی در نظام حقوقی اروپا ایجاد کرد. این مقررات علاوه بر اعضای اتحادیه ، بر فعالیت شرکت‌ها و سازمان‌های خارج از اروپا نیز اثرگذار است ، چنان ‌که هر نهاد خارجی که داده‌های اتباع اروپایی را پردازش کند ، مشمول الزامات آن خواهد بود .
در مقابل ، ایران فاقد قانون جامع حفاظت از داده‌های شخصی است و مقررات پراکنده موجود (در قوانین جرایم رایانه‌ای ، تجارت الکترونیکی و مصوبات وزارت ارتباطات) پاسخگوی وضعیت کنونی نیست . از سوی دیگر، مبانی فقه اسلامی مانند قاعده لاضرر، احترام به مال انسان و ضرورت اذن در تصرفات ، ظرفیت پذیرش اصول کلی GDPR را دارند . بنابراین ، مسئله اصلی تحقیق ، بررسی این پرسش است که آیا می‌توان تعهدات پردازشگر داده در اتحادیه اروپا را در نظام حقوقی ایران با حفظ مبانی فقهی و ساختار حقوق عمومی کشور پذیرفت و پیاده‌سازی کرد؟

تعهدات پردازش کننده داده شخصی در اتحادیه اروپا :
GDPR تعاریف دقیقی از داده‌های شخصی ، کنترل‌کننده (controller) و پردازشگر (processor) ارائه می ‌دهد. این تعاریف نه تنها نقش هر بازیگر را مشخص می‌کنند ، بلکه مسئولیت‌های آنان در قبال داده‌ها را نیز روشن می‌سازند.
کنترل کننده : یک شخص (اعم از حقیقی یا حقوقی) یا یک مرجع عمومی یا نهاد دیگری است که به تنهایی یا مشترکاً با دیگران ، اهداف و ابزار پردازش داده های شخصی را تعیین می نماید .
پردازش گر: شخص (اعم از حقیقی یا حقوقی) یا یک مرجع عمومی یا نهاد دیگری است که از جانب کنترل کننده ، پردازش داده های شخصی را انجام می دهد .

تعهدات کنترل کننده داده :
1. پاسخ گو و مسئول اصلی پردازش بودن : خواه پردازش توسط خود کنترل کننده یا به نمایندگی توسط پردازنده و خواه کنترل کننده منفرد یا مشترک باشد .
کنترل کننده مشترک : دو یا چند کنترل کننده ، اهداف و ابزار پردازش را تعیین کنند . شخص موضوع داده می تواند حقوق خود را علیه هر یک از آنان اعمال کند و در صورت بروز خسارت هر کدام مسئول تمام خسارت است .
2. انتخاب پردازنده مناسب : قبل انتخاب پردازنده و حین اجرا ، مناسب بودن آن را ارزیابی کند و بدین منظور این تعهدات باید بین طرفین با اقدامات حقوقی روشن باشد .
3. حفظ سوابق فعالیت های پردازش : این مسئولیت برعهده کنترل کننده و پردازنده است لیکن به دلیل اینکه حفاظت از داده وظیفه اصلی کنترل گر است ، این تعهد گسترده تر است. هر چند با قرارداد می توان آن را برابر ساخت.
4. همکاری با مراجع نظارتی : امکان نظارت بر عملیات پردازش به محض درخواست مراجع نظارتی فراهم است اما همکاری داوطلبانه ممکن است به عامل تخفیف دهنده تبدیل شود .
5. تضمین امنیت پردازش : کنترل کننده و پردازنده (اصلی یا فرعی) به طور مساوی ملزم به رعایت اقدامات فنی مناسب مانند رمز گذاری داده ها ، حفظ محرمانگی و … هستند .
6. اطلاع رسانی و ابلاغ نقض داده شخصی به مراجع نظارتی و اشخاص موضوع داده : پردازنده موظف است که فوراً نقض داده ها خواه به طور فنی یا فیزیکی و خواه عمدی یا غیرعمدی یا حتی تصادفی را به کنترل کننده اطلاع دهد (محدودیت زمانی وجود ندارد) و کنترل کننده می بایست بدون تأخیر غیرضروری طی 72 ساعت به مراجع نظارتی اطلاع رسانی و به اشخاص متأثر به طور شفاف ابلاغ کند .
در مواردی ابلاغ الزامی نیست :
1) کنترل کننده اقدامات مناسبی بر روی داده های شخصی متأثر از نقض اعمال کرده
2) کنترل کننده به عدم تحقق خطر برای حقوق و آزادی شخص اطمینان حاصل کرده
3) ابلاغ مستلزم تلاش نامتناسب است
نقض داده : از دست دادن واسطه یا دسترسی به پایگاه رمزنگاری شده داده های شخصی که قبل حادثه پردازش شده است.
7. انتصاب مأمور حفاظت از داده (DPO) : فرد حقیقی یا حقوقی ای که مسئول نظارت و اعمال مقررات حفاظت از داده است و می تواند مأمور حفاظت از داده های داخلی یا خارجی(براساس قرارداد خدماتی) باشد .
کنترل کننده ، پردازنده (در صورتی که مستلزم نظارت منظم هستند) و مراجع و نهاد های عمومی (همیشه) ملزم به انتصاب هستند مگر دادگاه هایی که در صلاحیت قضایی خود عمل می کنند .

وظایف مأمور :
1) مشاوره به کنترل کننده و کسانی که کار پردازش انجام می دهند
2) نظارت بر رعایت مقررات
3) آموزش کارکنان درگیر در عملیات پردازش
4) در صورت درخواست ، ارائه مشاوره در مورد ارزیابی تأثیر حفاظت داده
5) همکاری با مراجع نظارتی
کنترل کننده یا پردازنده می توانند وظایف بیشتری نیز به مأمور بدهند البته مشروط بر عدم تداخل در وظایف اصلی آنان . این مأمورین نمی توانند تضاد منافع با کنترل کننده یا پردازنده داشته باشند مانند اهداف رقابتی .

تعهدات پردازش کننده داده شخصی در حقوق ایران :
برای تعهدات اشخاص پردازش کننده در ایران به دلیل عدم اشاره صریح قوانین موضوعه ، مبانی حقوقی ایران و فقه امامیه و نیز لایحه صیانت و حفاظت از داده های شخصی مورخ 1397 و طرح حمایت و حفاظت از داده و اطلاعات شخصی را بررسی می کنیم .

مبانی حقوق ایران و فقه امامیه :

1. قاعده استیمان : اگر پردازش داده مجانی باشد مانند پردازش داده های شخصی توسط رسانه ها و شبکه های اجتماعی مجازی یا موتورهای جستجو ، رابطه بین اشخاص موضوع داده و اشخاص پردازش کننده داده ، امانی است زیرا دارای دو عنصر اذن (توسط شخص موضوع داده) و مجانی بودن است . در این حالت اگر پردازش داده ها بر اساس قرارداد باشد ، ید امانی مالکی است و در سایر موارد تجویز قانون مانند پردازش داده های شخصی برای حفاظت از منافع حیاتی شخص موضوع داده یا دیگران و یا پردازش به جهت منافع عمومی امکان وجود ید امانی قانونی وجود دارد .
البته همه این ها قابلیت تطبیق کامل با هیچ یک از عقود امانی معین را ندارند و نمی توان تعهدات این عقود را برای این ها در نظر گرفت .

2. عقد ودیعه : این بحث به عقد ودیعه که امانی است نزدیکی دارد . بدین توضیح که داده های شخصی مال هستند (اگرچه شی مادی قابل اشاره نیست لیکن مادی بودن موضوعیت ندارد) و نگهداری از مصادیق پردازش است و در جایی که پردازش مجانی است ، عناصرعقد ودیعه وجود دارد و می توان تعهدات مستودع (در این جا اشخاص پردازش کننده داده است) را که مواد 612 الی 632 قانون مدنی مقرر داشته مجری دانست . مواد 612 و 613 قانون مدنی می تواند مبین تعهد «تضمین امنیت پردازش» به موجب GDPR باشند . از ماده 612 تعهد «کنترل کننده به انتخاب پردازنده مناسب» نیز قابل استنباط است و کنترل کننده در مقام امین باید اموری که عرف ضروری می داند ، مانند انتخاب پردازنده مناسب را رعایت کند . تعهد «ابلاغ نقض داده شخصی به شخص موضوع داده» نیز در عقد ودیعه قابل استنباط است .
مواد 614 و 615 قانون مدنی با ماده 82 GDPR تطابق دارد ؛ بدین سان که هر دو قانون ید اشخاص پردازش کننده داده را امانی می دانند و در صورت نقص مقررات که از مصادیق تعدی و تفریط است ، مسئولیت مفروض است .
اگر پردازش مجانی نباشد ، ید اشخاص پردازش کننده داده ضمانی غیرعدوانی و بدون تقصیر ضامن است مانند پردازش داده های شخصی توسط بانک ها برای امور مالی .
البته تمام روابط بالا قابل تطبیق با هیچ یک از مصادیق نیست و شفافیت تعهدات اشخاص پردازش کننده ، تصریح قانون را می طلبد .

3. لایحه «صیانت و حفاظت از داده های شخصی» و طرح «حمایت و حفاظت از داده و اطلاعات شخصی» :
ماده 15 پیش نویس لایحه صیانت همانند GDPR ، کنترل کننده را مسئول اصلی پردازش می داند با این تفاوت که در GDPR تجاوز پردازنده از دستورات کنترل کننده تنها استثناء این اصل است در حالی که پیش نویس لایحه ، به موجب قانون یا توافق و نیز نبود کنترگر ، پردازشگر را مسئول می داند و این دو استثنا موجب تقویت حمایت از داده های شخصی است .
طبق ماده 27 طرح عدم اتصاف پردازش به کنترل کننده را فرضی می داند که پردازنده برخلاف یا بدون دستور کنترل کننده عمل کرده است .
GDPR مسئولیت اشخاص پردازش کننده داده در زمان اشتراک تضامنی دانسته درحالی که تبصره 2 ماده 27 طرح فقط به برابری اشاره کرده.
ماده 38 طرح بسترهای الزام آوری تعهدات کنترل کننده را بیان کرده (برخلاف GDPR) اما درخصوص تعهد به حکم قانون سکوت کرده است .
در ماده 45 طرح همانند GDPR به استقلال مسئولیت کنترلگر و پردازشگر اشاره کرده .
ماده 40 طرح کنترلگر را موظف کرده اطلاعات را تا 18 ماه نگهداری کند . اگر حفظ چنین اطلاعاتی ضروری است ، این اطلاعات هویتی باید به صورت مستعار و رمزنگاری شده نگه داری شوند تا ضرورت قانونی در کنار حقوق اشخاص موضوع داده رعایت گردد .
تعهد «تضمین امنیت پردازش» در مواد 35 تا 37 طرح بیان شده لیکن بهتر بود مصادیق تمهیدات ایمنی مانند مستعار ساختن و رمزگذاری داده های شخصی ذکر می شد .
طبق بند ث ماده 2 طرح به ناظر ویژه اشاره و انتخاب آن منوط به تصمیم کمیسیون صیانت از داده های شخصی کرده است ؛ درحالی که بهتر بود مانند GDPR مأمور حفاظت توسط کنترل گر و پردازنده انتخاب می شد زیرا این دو بهتر می توانند ناظر متخصص انتخاب کنند . ماده 23 طرح مانند GDPR در مواردی وجود ناظر ویژه را ضروری می داند و در ماده بعدی شرایط احراز صلاحیت شان را بیان می کند . لیکن تفاوت هایی وجود دارد مثلاً ماده 25 طرح در صورت عدم تعیین مدت دوره سه سال قرار داده درحالی که در GDPR مهلتی داده نشده است یا در نسخه ایرانی اشاره ای به وظایف ناظر ویژه نشده است .

جهت دانلود مقاله بر روی نوشته ذیل کلیک کنید .

تعهدات_پردازش_کننده_داده_شخصی_در_اتحادیه_اروپا_و_امکان_سنجی_پذیرش