حمایت از داده‌های شخصی در اتحادیه اروپا (GDPR)

مقدمه

با گسترش فناوری‌های دیجیتال و ورود داده‌های شخصی به عرصه‌های متنوع زندگی ، ضرورت حمایت از این داده‌ها بیش از پیش احساس می‌شود. اتحادیه اروپا با تصویب «مقررات عمومی حفاظت از داده‌ها  (GDPR) در سال ۲۰۱۶ و اجرای آن از سال ۲۰۱۸ ، الگویی جامع و الزام‌آور برای حمایت از داده‌های شخصی ارائه کرده است . این مقررات نه‌تنها بر روابط خصوصی میان افراد و شرکت‌ها اثر گذاشته ، بلکه الگوی استانداردی جهانی در حوزه تنظیم‌گری داده‌ها ایجاد نموده است . در مقابل ، در ایران اگرچه تلاش‌هایی در قالب طرح‌ها ، لوایح و مقررات پراکنده صورت گرفته ، اما هنوز نظام حقوقی منسجم و الزام‌آوری مشابه GDPR وجود ندارد  .

این نوشتار ، با تمرکز بر پژوهش منتشرشده در فصلنامه مطالعات حقوق عمومی ، ابتدا به معرفی حقوق افراد موضوع داده در GDPR می‌پردازد ، سپس وضعیت حقوقی ایران را بررسی می‌کند و در پایان ، امکان‌پذیری تطبیق این نظام حقوقی در کشور را تحلیل خواهد کرد .

بخش اول : چارچوب کلی GDPR و حقوق افراد موضوع داده :

GDPR   در مقایسه با مقررات پیشین اتحادیه اروپا ، رویکردی شفاف‌تر ، سخت‌گیرانه‌تر و کاربردی‌تر در حفاظت از داده‌های شخصی ارائه می‌ دهد . این مقررات ، مجموعه‌ای از حقوق بنیادین را برای افراد تضمین می‌کند :

1. حق اطلاع‌رسانی : هر فرد باید بداند داده‌هایش چرا ، چگونه و تا چه زمانی پردازش می‌شوند و آیا به کشورهای ثالث منتقل خواهند شد یا خیر . این اطلاع‌رسانی باید شفاف ، مختصر و قابل فهم باشد .
2. حق دسترسی به داده های شخصی : افراد می‌توانند درخواست کنند تا بدانند چه داده‌هایی از آن‌ها پردازش شده و نسخه‌ای از آن را دریافت کنند . این حق ، در عین حال محدودیت‌هایی جهت حفظ حقوق و آزادی دیگران مانند حمایت از اسرار تجاری یا مالکیت معنوی دارد و مطلق نیست .
3. حق تصحیح : در صورت وجود خطا یا نقص در داده‌ها ، فرد می‌تواند اصلاح یا تکمیل آن‌ها را مطالبه کند .
4. حق حذف یا فراموش شدن : افراد می‌توانند درخواست حذف داده‌های خود را داشته باشند ، مشروط بر اینکه ادامه نگهداری یا پردازش داده‌ها فاقد مبنای حقوقی باشد . این حق مطلق نیست و باید با آزادی بیان و منافع عمومی توازن یابد .
5. حق محدودیت پردازش : اگر فرد نسبت به صحت داده‌ها یا مشروعیت پردازش اعتراض داشته باشد ، می‌تواند محدودیت موقت بر پردازش اعمال کند .
6. حق انتقال داده : افراد مجازند داده‌های خود را در قالبی ساختارمند و قابل خواندن دریافت کرده و به کنترل‌گر دیگری منتقل کنند .
7. حق اعتراض : اشخاص می‌توانند به پردازش داده‌هایشان به‌ویژه در حوزه بازاریابی مستقیم اعتراض کنند . همچنین در موارد خاص که پردازش مبتنی بر منافع مشروع ، وظیفه ای به نفع عموم یا مرتبط با اهداف تحقیقات علمی ، تاریخی یا اهداف آماری است حق اعتراض تبیین شده است .
8. حق در خصوص عدم ارزیابی با تصمیمات خودکار : در مواردی که تصمیم‌گیری‌های خودکار مانند پروفایل سازی تأثیرات حقوقی یا مشابه بر فرد دارند ، اشخاص حق دارند از مداخله انسانی و بررسی مجدد برخوردار شوند.

این حقوق ، نه‌تنها جایگاه فرد را در برابر شرکت‌ها و دولت‌ها تقویت می‌کنند ، بلکه اعتماد عمومی به اقتصاد دیجیتال را نیز افزایش می‌دهند.

بخش دوم : وضعیت حقوقی ایران در حمایت از داده‌های شخصی در ایران :

در ایران تاکنون قانون جامع و مستقلی برای حفاظت از داده‌های شخصی تصویب نشده است . مقررات پراکنده‌ای در حوزه فضای مجازی ، تجارت الکترونیکی یا خدمات بانکی وجود دارد ، اما هیچ‌کدام واجد چارچوب منسجم مشابه GDPR نیستند.

ولیکن نکاتی درباره وضعیت حقوقی ایران قابل ذکر است :

• برخی طرح‌ها و لوایح با موضوع صیانت و حفاظت از داده یا حریم خصوصی ، حمایت از حقوق کاربران و خدمات پایه کاربردی فضای مجازی ارائه شده‌اند ، اما هنوز به قانون لازم‌الاجرا تبدیل نشده‌اند .
• تعاریف روشنی از داده‌های شخصی ، پردازش ، کنترل‌گر یا پردازش‌گر در قوانین موجود یافت نمی‌شود .
• ضمانت اجراهای کافی برای نقض حقوق افراد پیش‌بینی نشده و نهاد ناظر مستقلی مشابه اتحادیه اروپا وجود ندارد .
• استثنائات گسترده‌ای در زمینه امنیت ملی و منافع عمومی ، بدون معیارهای شفاف و محدودکننده ، عملاً حمایت‌ها را تضعیف می‌کند.
• آگاهی عمومی و فرهنگ استفاده صحیح از داده‌ها در میان کاربران و کسب‌وکارها پایین است .

در چنین شرایطی ، حقوق بنیادین داده‌ موضوع ، مانند حق فراموش شدن یا حق انتقال داده ، عملاً بلااجرا باقی می‌مانند .

بخش سوم : چالش‌های اجرای حمایت از داده های شخصی در ایران :

برای پذیرش یا اقتباس از الگوی GDPR در ایران، باید به چند مانع اساسی توجه کرد :

1. فقدان چارچوب قانونی روشن : نبود قانون مادر در زمینه داده‌های شخصی ، امکان استقرار نظامی مشابه GDPR را دشوار می‌سازد .
2. نبود نهاد مستقل ناظر : در اتحادیه اروپا ، مقامات مستقل نظارت و ضمانت اجرا را بر عهده دارند . در ایران چنین نهادی وجود ندارد .
3. تعارض با ملاحظات امنیتی : غالب مقررات داخلی ، امنیت ملی را بر سایر حقوق مقدم می‌دانند و همین امر مانع توازن میان منافع فردی و جمعی است .
4. چالش‌های فنی و زیرساختی : پیاده‌سازی حقوقی چون انتقال داده یا محدودیت پردازش نیازمند استانداردهای فنی و زیرساخت‌های پیشرفته است .
5. کمبود آگاهی عمومی : اجرای موفق مقررات نیازمند آموزش و ارتقای فرهنگ حقوقی در سطح جامعه و فعالان اقتصادی است .

بخش چهارم : راهکارهای تقویت حمایت از داده های شخصی :

در این مقاله پیشنهاد شده ، برای نزدیک شدن به الگوی اتحادیه اروپا ، اقدامات زیر ضروری است :

• تدوین قانون جامع : قانونی که تمامی حقوق افراد موضوع داده را صریحاً پیش‌بینی کند و تعاریف دقیق ارائه دهد.
• ایجاد مرجع مستقل حفاظت از داده‌ها : نهادی که وظیفه نظارت ، رسیدگی به شکایات ، اعمال مجازات و ارائه راهنما را بر عهده گیرد .
• تعیین ضمانت اجراهای مؤثر : جریمه‌های مالی و کیفری متناسب برای نقض حقوق افراد .
• شفاف‌سازی استثنائات : محدودیت‌های مربوط به امنیت ملی و منافع عمومی باید روشن ، محدود و قابل نظارت باشند .
• تقویت همکاری بین‌المللی : برای انتقال داده و هماهنگی فنی ، همکاری با نهادها و استانداردهای جهانی لازم است.
• آموزش و فرهنگ‌سازی : ارتقای سطح دانش حقوقی و فنی شهروندان و سازمان‌ها برای عملی‌شدن حقوق داده‌ ضروری است .

نتیجه‌گیری :

اتحادیه اروپا با GDPR توانسته است نظامی جامع و مؤثر برای حمایت از داده‌های شخصی بنا کند ؛ نظامی که حقوق بنیادین افراد را در برابر قدرت‌های اقتصادی و سیاسی تا حدودی تضمین می‌کند ولیکن باز هم تاب مقاومت در برابر حقوق جمعی را ندارند . در ایران اما ، چنین چارچوبی هنوز شکل نگرفته و حمایت‌ها مبتنی بر مبانی حقوق ایران و فقه امامیه پراکنده و غیرمنسجم هستند و حتی در مواردی قابل اثبات نیستند یا بر فرض اثبات ، با ابهاماتی رو به روست .

با این حال ، الگوی GDPR می‌تواند الهام‌بخش قانون‌گذاری داخلی باشد ، مشروط بر اینکه اصلاحات حقوقی ، نهادی و فنی گسترده‌ای صورت گیرد . ایجاد قانون جامع با پرداختن دقیق به موارد تقابل حقوق فردی و جمعی ، نهاد ناظر مستقل و سازوکارهای اجرایی مؤثر ، نخستین گام‌های ضروری برای حرکت به سمت نظامی مشابه اتحادیه اروپاست .

به بیان دیگر ، پذیرش مقرراتی همانند GDPR در ایران امکان‌پذیر است ، اما نه بدون تغییرات بنیادی در سطح قانون‌گذاری و اجرا .

جهت دانلود مقاله بر روی نوشته ذیل کلیک کنید .

حمایت_از_داده_های_شخصی_در_حقوق_اتحادیه_اروپا_و_امکان_سنجی_آن_در