مقررات عمومی حفاظت از دادهها (GDPR) یکی از مهمترین و سختگیرانهترین قوانین دنیا در حوزه حریم خصوصی و امنیت اطلاعات محسوب میشود. این مقررات که در اتحادیه اروپا تصویب و اجرا شدهاند، استانداردی جهانی برای حفاظت از دادههای شخصی افراد ایجاد کردهاند و تأثیر آنها فراتر از مرزهای اروپا گسترش یافته است.
مقررات عمومی حفاظت از دادهها (GDPR)؛ استاندارد طلایی حفاظت از دادهها
مقررات عمومی حفاظت از دادهها (GDPR) قانونی است که با هدف صیانت از دادههای شخصی شهروندان اتحادیه اروپا تدوین شده است. این مقررات تمامی سازمانها، شرکتها و نهادهایی را که به هر نحوی دادههای شخصی شهروندان اروپایی را پردازش میکنند، ملزم به رعایت الزامات مشخص میکند؛ حتی اگر محل استقرار آنها خارج از اتحادیه اروپا باشد.
از مهمترین ویژگیهای مقررات عمومی حفاظت از دادهها (GDPR) میتوان به موارد زیر اشاره کرد:
- تعریف شفاف «داده شخصی» و «پردازش داده»
- الزام به اخذ رضایت آگاهانه و قابل اثبات از افراد
- شناسایی حقوق صریح برای اشخاص از جمله حق دسترسی، حق اصلاح، حق حذف (حق فراموش شدن) و حق انتقال داده
- الزام سازمانها به پیادهسازی تدابیر فنی و سازمانی امنیت اطلاعات
- پیشبینی ضمانتهای اجرایی سنگین، از جمله جریمههای مالی بسیار بالا
این ویژگیها باعث شده است مقررات عمومی حفاظت از دادهها (GDPR) به الگویی جهانی برای قوانین حفاظت از داده تبدیل شود. بنابراین پیادهسازی این الزامات بدون برخورداری از ساختارهای منسجم مدیریتی و فرایندمحور ممکن نیست و نیازمند سیستمسازی سازمانی، شفافسازی مسئولیتها و یکپارچهسازی جریانهای اطلاعاتی در سازمان است.
وضعیت فعلی حفاظت از دادههای شخصی در ایران
برخلاف اتحادیه اروپا، در ایران هنوز قانون جامع، یکپارچه و مستقلی مشابه مقررات عمومی حفاظت از دادهها (GDPR) وجود ندارد. چارچوب حقوقی فعلی ایران متکی بر مجموعهای از قوانین پراکنده، قدیمی یا بخشی است که هرکدام تنها گوشهای از موضوع حفاظت دادهها را پوشش میدهند.
مطالعات حقوقی و پژوهشهای انجامشده تا سال ۲۰۲۳ نشان میدهند که:
- هیچ قانون اختصاصی برای «حفاظت از دادههای شخصی» به تصویب نرسیده است.
- حمایت از دادهها عمدتاً از طریق قواعد عمومی مسئولیت مدنی، قوانین کیفری یا مقررات حوزه فناوری اطلاعات انجام میشود.
- این قوانین توان پوشش کامل مفاهیم پیشرفتهای مانند حقوق کاربران، شفافیت پردازش داده و مسئولیتپذیری سازمانها را ندارند.
در نتیجه، نمیتوان وضعیت حقوقی ایران را همسطح با مقررات عمومی حفاظت از دادهها (GDPR) دانست.
طرح حفاظت از دادههای شخصی؛ تلاش برای قانونمند کردن؛ اما هنوز نهایی نیست
در سالهای اخیر، «طرح حفاظت از دادههای شخصی» بهعنوان گامی رو به جلو در نظام قانونگذاری ایران مطرح شده است. این طرح با الهام از قوانین بینالمللی، مفاهیمی مانند داده شخصی، رضایت برای پردازش، الزامات امنیتی و برخی حقوق کاربران را در بر میگیرد.
با این حال، این طرح هنوز به قانون لازمالاجرا تبدیل نشده و ابهامات متعددی در خصوص ضمانتهای اجرایی، نهاد ناظر و سازوکارهای نظارتی آن وجود دارد. بنابراین، تا زمان تصویب نهایی، این طرح نمیتواند خلأ موجود در مقایسه با مقررات عمومی حفاظت از دادهها (GDPR) را پر کند.
چرا چارچوب حقوقی ایران معادل GDPR محسوب نمیشود؟
دلایل متعددی وجود دارد که نشان میدهد چارچوب حقوقی ایران با مقررات عمومی حفاظت از دادهها (GDPR) فاصله معناداری دارد:
-
نبود قانون جامع و مستقل
در حالی که GDPR یک قانون یکپارچه با ساختار روشن است، قوانین ایران پراکنده، بخشی و فاقد انسجام هستند.
-
ضعف ضمانتهای حقوقی و اجرایی
در ایران، در بسیاری از موارد افشای داده یا سوءاستفاده از اطلاعات، با ضمانتهای قوی و بازدارنده مشابه GDPR مواجه نمیشود.
-
فقدان نهاد ناظر مستقل
GDPR بر وجود مقام ناظر داده تأکید دارد؛ اما در ایران چنین نهاد متمرکزی با اختیارات مشخص وجود ندارد.
چه مقررات و مواد قانونی مرتبط با امنیت و صیانت از داده ها در نظام حقوقی ایران وجود دارد؟
در حوزه فناوری اطلاعات و امنیت داده، قانونگذار ایرانی در سالهای مختلف مقرراتی را وضع کرده است که بهصورت مستقیم یا غیرمستقیم به صیانت از اطلاعات، امنیت شبکهها و ایجاد زیرساختهای امن اشاره دارند. با این حال، این مقررات پراکندهاند و در اغلب موارد، بهجای «حفاظت از دادههای شخصی افراد»، بر مدیریت زیرساخت، امنیت ملی و سامانههای حاکمیتی تمرکز دارند.
در ادامه، مهمترین این موارد را بهصورت تحلیلی بررسی میکنیم.
ماده ۴۶ – شبکه ملی اطلاعات؛ تأکید کلی بر امنیت و حریم خصوصی
ماده ۴۶ قوانین برنامه توسعه، دولت را مکلف میکند که شبکه ملی اطلاعات را ایجاد و توسعه دهد، امنیت فضای تبادل اطلاعات را ارتقا بخشد و حریم خصوصی کاربران را در این شبکه حفظ کند. این ماده از نظر سیاستگذاری کلان اهمیت دارد؛ زیرا برای نخستینبار بهصورت رسمی به «حریم خصوصی کاربران» در بستر شبکه اشاره میکند.
با این حال، این ماده:
- تعریف روشنی از داده شخصی ارائه نمیدهد
- حقوق مشخصی برای کاربران (مانند حق دسترسی یا حذف داده) تعیین نمیکند
- تکلیف اجرایی دقیق و ضمانت اجرای مؤثر ندارد
در نتیجه، برخلاف مقررات عمومی حفاظت از دادهها (GDPR)، این ماده چارچوب، حق، تکلیف یا ضمانت اجرا برای حفاظت از داده شخصی تعریف نمیکند.
مواد مرتبط با امنیت فضای تبادل اطلاعات؛ تمرکز بر سیستم، نه صاحب داده
در بخشهای مختلف قوانین حوزه فناوری اطلاعات، دولت موظف شده است:
- امنیت سامانههای اطلاعاتی را تقویت کند
- زیرساختهای حیاتی کشور را امنسازی نماید
- استانداردهای امنیت اطلاعات را توسعه دهد
این مواد نقش مهمی در ارتقای امنیت فنی و کاهش مخاطرات سایبری دارند، اما همچنان نگاه غالب آنها سیستممحور است. در این مقررات:
- داده بهعنوان «عنصر فنی» دیده میشود
- نه بهعنوان «اطلاعات شخصی متعلق به فرد»
در حالی که در GDPR، امنیت اطلاعات تنها یکی از ابزار تضمین حقوق اشخاص محسوب میشود، نه هدف نهایی قانون.
قانون جرایم رایانهای؛ چارچوب کیفری برای مقابله با نقض امنیت داده
قانون جرایم رایانهای مصوب سال ۱۳۸۸، مهمترین مرجع کیفری ایران در حوزه حفاظت از دادهها و سامانههای رایانهای به شمار میرود. این قانون، رفتارهایی مانند دسترسی غیرمجاز به دادهها، شنود غیرقانونی ارتباطات، جاسوسی رایانهای و تخریب یا دستکاری دادهها را جرمانگاری کرده و برای آنها مجازات حبس یا جزای نقدی در نظر گرفته است.
این قانون نقش مهمی در بازدارندگی دارد، اما:
- ماهیت آن واکنشی و پسینی است
- پس از وقوع جرم وارد عمل میشود
- سازمانها را به پیشگیری، شفافیت یا پاسخگویی ملزم نمیکند
بنابراین، این قانون برخلاف مقررات عمومی حفاظت از دادهها (GDPR)، یک نظام پیشگیرانه و حقوقمحور برای حفاظت از دادههای شخصی ایجاد نمیکند.
قانون تجارت الکترونیکی؛ حمایت غیرمستقیم از محرمانگی اطلاعات
قانون تجارت الکترونیکی مصوب ۱۳۸۲ چارچوب حقوقی لازم برای ارتباطات و معاملات الکترونیکی را فراهم کرده است. هرچند تمرکز اصلی این قانون بر قراردادها، اسناد الکترونیکی و اعتماد در تجارت دیجیتال است، اما رعایت امنیت و محرمانگی اطلاعات نیز در آن مورد توجه قرار گرفته است.
این قانون برای سازمانهایی که خدمات آنلاین یا وبمحور ارائه میدهند، اهمیت عملی دارد؛ اما:
- داده شخصی را بهعنوان یک حق مستقل شناسایی نمیکند
- دامنه آن محدود به بسترهای تجاری است
- استانداردی مشابه GDPR برای حفاظت از دادههای کاربران ارائه نمیدهد
قانون برنامه پنجساله پنجم توسعه؛ الزام ساختاری برای دولت
در قانون برنامه پنجساله پنجم توسعه، دولت موظف شده است شبکه ملی اطلاعات را توسعه دهد و بستر امنی برای تبادل اطلاعات میان دستگاههای اجرایی ایجاد کند. آییننامه اجرایی این قانون نیز بر تدوین استانداردها، معماری اطلاعات و امنیت اطلاعات تأکید کرده است.
این مقررات:
- الزاماتی ساختاری برای دستگاههای دولتی ایجاد کردهاند
- زیرساختهای ICT را هدف قرار دادهاند
اما همچنان فاقد جامعیت لازم برای حفاظت از دادههای شخصی شهروندان هستند و با استانداردهای مقررات عمومی حفاظت از دادهها (GDPR) فاصله دارند.
ماده ۱۰۷ قانون برنامه هفتم؛ تمرکز بر تجمیع و حکمرانی داده دولتی
بر اساس ماده ۱۰۷ قانون برنامه هفتم توسعه، دستگاههای اجرایی موظف شدهاند مراکز داده اصلی و پشتیبان خود را به زیرساخت یکپارچه ابری دولت هوشمند متصل کنند. هدف این ماده، تجمیع دادهها، حذف سامانههای جزیرهای و افزایش امنیت و هماهنگی در مدیریت دادههای دولتی است.
اگرچه این رویکرد میتواند از منظر امنیت و مدیریت داده مفید باشد، اما:
- ناظر به دادههای حاکمیتی است
- حقوق افراد در برابر پردازش دادهها را تعریف نمیکند
- جایگزین قانون جامع حفاظت داده نیست
آییننامه اجرایی ماده ۱۰۷؛ گامی نهادی بدون تضمین حقوق فردی
آییننامه اجرایی بند (الف) ماده ۱۰۷ چارچوبهایی برای اتصال دستگاهها، انتقال امن داده، شفافیت در تبادل اطلاعات و حکمرانی داده تعیین کرده است. همچنین وزارت ارتباطات و فناوری اطلاعات را مسئول ایجاد و تقویت زیرساخت ابری دولت هوشمند میداند.
با وجود این پیشرفت نهادی، این آییننامه نیز:
- مالکیت داده را برای افراد تعریف نمیکند
- حق حذف، اعتراض یا انتقال داده را به رسمیت نمیشناسد
- نهاد ناظر مستقل مشابه GDPR پیشبینی نکرده است
تأکید قانون برنامه هفتم بر امنیت سایبری و حکمرانی داده
در قانون برنامه هفتم، مفاهیمی مانند دولت هوشمند، حکمرانی داده، امنیت سایبری و فضای مجازی سالم و ایمن بهعنوان اهداف کلان مطرح شدهاند. این موضوع نشان میدهد که قانونگذار به اهمیت مدیریت نظاممند داده و زیرساختهای امن واقف است، بهویژه در بخش دولتی.
الزام به ایجاد ساختار «نوآوری، هوشمندسازی و امنیت» در دستگاهها
بر اساس بند (ب) ماده ۱۰۷، وزارت ارتباطات موظف است با همکاری دستگاهها، ساختارهایی با عنوان «نوآوری، هوشمندسازی و امنیت» ایجاد کند. این اقدام، زمینه مناسبی برای مدیریت ریسک و امنیت اطلاعات فراهم میکند، اما بهتنهایی تضمینکننده حفاظت از دادههای شخصی افراد نیست.
اصول قانون اساسی و سایر مقررات مرتبط با حریم خصوصی
در نهایت، باید به اصولی از قانون اساسی و برخی مقررات جزایی اشاره کرد که حق حریم خصوصی، محرمانگی مکاتبات و کرامت انسانی را به رسمیت شناختهاند. همچنین ارائهدهندگان خدمات اینترنتی ملزم به رعایت محرمانگی کاربران هستند.
با وجود اهمیت این اصول، آنها:
- کلی و تفسیربردار هستند
- سازوکار اجرایی مشخص ندارند
- به سطح تفصیل و شفافیت مقررات عمومی حفاظت از دادهها (GDPR) نمیرسند
محدودیتهای چارچوب حقوقی فعلی ایران
مهمترین محدودیتهای نظام فعلی حفاظت داده در ایران عبارتاند از:
- تمرکز بر مجازات پس از وقوع تخلف، نه پیشگیری و مدیریت ریسک
- نبود الزام صریح به پیادهسازی استانداردهای امنیت اطلاعات مانند ISMS
- عدم تعریف حقوق مشخص برای کاربران مشابه آنچه در مقررات عمومی حفاظت از دادهها (GDPR) دیده میشود
مسیر ایران در برابر استاندارد GDPR
مقررات عمومی حفاظت از دادهها (GDPR) الگویی جامع، شفاف و کارآمد برای حفاظت از دادههای شخصی ارائه کرده است. در مقابل، ایران هنوز در مرحله قوانین پراکنده و سیاستهای کلان قرار دارد. اگرچه قوانینی مانند برنامه هفتم توسعه و قانون جرایم رایانهای زیرساختهایی برای امنیت اطلاعات ایجاد کردهاند، اما تا دستیابی به چارچوبی مشابه مقررات عمومی حفاظت از دادهها (GDPR) راهی طولانی در پیش است.
تا زمان تصویب قانون جامع حفاظت از دادههای شخصی، بهترین راهکار برای سازمانها و کسبوکارها در ایران، پیادهسازی داوطلبانه استانداردهای بینالمللی، تدوین سیاستهای حریم خصوصی و حرکت به سمت انطباق با الزامات GDPR است؛ اقدامی که نهتنها ریسکهای حقوقی را کاهش میدهد، بلکه اعتماد کاربران و مزیت رقابتی پایداری ایجاد میکند.
برگزاری سمینار ISMS و نقش آن در ایجاد امنیت داده ها برای کاربران و سازمان ها
سمینار ISMS با تمرکز بر استانداردهای مدیریت امنیت اطلاعات، به سازمانها کمک میکند چارچوبی منسجم برای حفاظت از دادهها ایجاد کنند. این رویداد با تشریح تهدیدهای نوظهور و راهکارهای عملی، آگاهی کاربران و مدیران را بهطور چشمگیری افزایش میدهد. در نهایت، پیادهسازی اصول مطرحشده در سمینار، سطح تابآوری سازمان را در برابر حملات سایبری و نشت اطلاعات تقویت میکند.
اگر قصد برگزاری کارگاههای آموزشی، دورههای تخصصی یا سمینارهای مرتبط با الزامات GDPR، حریم خصوصی داده و انطباق سازمانی را دارید، نیکاوند بهعنوان برگزارکنندهای حرفهای و باتجربه در کنار شماست تا این رویدادها را با بالاترین کیفیت و بدون هیچ نقصی اجرا کند.
برای دریافت مشاوره تخصصی از نیکاوند با شماره 02128422481 تماس بگیرید یا از طریق تکمیل فرم آنلاین ثبتنام سمینار همین حالا اقدام کنید.
