پس از انتشار خبر هک شدن اسنپفود و اعلام هکر برای فروش اطلاعات کاربران، سوال بسیاری این شد که مرجع قانونی در قبال نشت دادهها چه مواضعی دارد. کارشناسان حقوقی نظرات متفاوتی دارند؛ برخی امکان شکایت افراد حقیقی را میدانند و برخی دیگر معتقدند شکایت باید از سوی سازمانها صورت گیرد، اما در هر صورت قانون ظاهرا راه را برای پیگیری باز گذاشته است.

با توجه به رشد اقتصاد دیجیتال، سازمانها و وزارتخانهها باید جدیت بیشتری در مباحث امنیتی و پدافند غیرعامل داشته باشند. مگاپلتفرمها یا سوپراپلیکیشنها موظفاند در برابر دادههای تجمیعشده از مردم مسئولیت بپذیرند و امنیت معقولی برای آنها فراهم کنند، اما به نظر میرسد این امر به درستی محقق نشده است.

از سوی دیگر، اطلاعات جمعآوریشده از کاربران باید محدود باشد، اما مشاهده میشود دادههای بیش از حد و بدون توجیه ذخیره میشوند. وجود این حجم اطلاعات، هکرها را ترغیب به دزدیدن و فروش دادهها میکند.

مطابق ماده ۵۸ قانون تجارت الکترونیکی، ذخیره و پردازش دادههای شخصی مطلقا ممنوع است، اما متاسفانه این اولین بار نیست که هک سامانههای بومی در سالهای اخیر رخ میدهد و در این مورد پیگیری از سمت مدعیالعموم یا دادستانی نیز انجام نشده است.

فقر فهم عمومی در عرصه امنیت اطلاعات

محمد جعفر نعناکار، کارشناس حقوق فناوری، در گفتگو با دیجیاتو درباره دلیل شکایت نکردن مردم پس از حملات سایبری اظهار کرد یکی از دلایل این رخداد میتواند عدم آگاهی افراد و شرکتهای خصوصی از حقوقشان باشد و ما با یک فقر فهمیدن عمومی در این حوزه روبرو هستیم.

فقر اطلاعات در این حوزه و عدم دغدغه برخی کاربران ایرانی در مورد موضوعات امنیتی در بخشهایی از زندگی روزمره، همانند بلند گفتن رمز کارت اعتباری در زمان خرید، نیز نمایان است. رضا ایازی، پژوهشگر حقوق فناوری، گفت درست است در ایران امکان پیگیری برای نشت اطلاعات از سمت مردم به علت نبود قانون وجود ندارد، اما بحث فرهنگی هم مهم است و فردی نشت اطلاعات را جدی نمیگیرد، اما اگر در اروپا این اتفاق میافتاد هر یک از شهروندان امکان شکایت داشتند و در نتیجه آن شرکت در حالت خطرناکی قرار میگرفت.

اسرار تجاری و امکان شکایت سازمانی

بر پایه ماده ۶۵ قانون تجارت الکترونیک که مربوط به اسرار تجاری است، اطلاعات مشتریان نیز جزو اسرار تجاری محسوب میشود. در این عرصه انتشار و هک دادهها از دو جنبه قابل بررسی است اول از سمت مشتریانی که دادههایشان در معرض خطر قرار گرفته و دوم از سوی پلتفرمها و شخصیتهای تجاری که این دادهها را در دسترس دارند. به طور کلی شرکتها میتوانند بیشتر از نشت اطلاعات مدعی حقوق خود باشند چون دادههایشان حالت سازمانی دارد.

نعناکار در این باره افزود در هر دو صورت اگر این دادهها انتشار یابند، جرم اتفاق افتاده است. حجم هک و خروج داده هنگامی زیاد است که مدعیالعموم باید ورود یابد و اظهار جرم کند و پیگیر قضیه باشد. در واقع دادستانی در این اوقات میتواند وارد شده و ماجرا را پیگیری کند. بر پایه ماده ۷۸ قانون تجارت الکترونیک نیز اگر دادهها بر پایه نقض و ضعف سیستمها انتشار یابند، بخشهای خصوصی و دولتی باید جبران خسارت کنند. مجموعه این قوانین میباید باعث شود متوقع باشیم مردان قانون وارد شده و پرونده را حل و فصل کنند.

ایازی در مورد امکان پیگیری سازمانی به دیجیاتو گفت مجازات قانونی برای این شرکتهای متخلف تعریف نشده است، اما امکان پیگیری از سمت نظامهای اتحادیهای وجود دارد، برای مثال از سمت اینماد، اتحادیه کسبوکارهای فضای مجازی و نظام صنفی میتواند با اعلام تخلف از تعهدات، امکان پیگیری و ادعای حقوق را فراهم کند.

ایازی در رابطه با هک اسنپفود نیز اظهار داشت در مورد هک اسنپفود نیز چندین پرونده وجود دارد که باید تفکیک شوند و دو دسته اطلاعات از هم جدا گردند؛ یک دسته اطلاعات مربوط به اشخاص حقیقی و یک دسته اطلاعات مربوط به سازمانها. اگر اطلاعات هک شده مربوط به اشخاص حقیقی باشد، متاسفانه قانون ما تا این مدت حمایتی نمیکند، اما قرار است لایحهای تحت عنوان حفاظت از اطلاعات به تصویب برسد.

در مورد اطلاعات مربوط به شرکتها، اگر سازمان شکایت کند که اطلاعات افراد سازمان به عنوان اسرار محرمانه برداشت شده، باید بر پایه قانون تجارت الکترونیک مورد پیگیری قرار گیرد. ایازی اصرار دارد اگر به عنوان مثال با پردازش اطلاعات از یک سازمان، مشخصات محرمانهای در مورد کارمندان آن به دست آید، سازمان میتواند از شرکت شکایت کند که اسرار تجاری افشا شده است. او امکان پیگیری و ثبت شکایت را فقط در صورت قرار گرفتن دادهها به طور سازمانی میداند.

اگر از سوی مقام حفاظت از داده اروپا برای سازمانی مجوز صادر شود و مدتی پس از آن اطلاعات نشت یابد و آشکار شود تقصیر کار این نشت، خود آن سازمان است؛ جرایم سنگینی در پی خواهد داشت. برای فهم اهمیت این موضوع میتوان به این نکته اشاره کرد که سال گذشته، مقدار جرایم پرداختی شرکتهای فناوری اطلاعات که به خاطر نشت اطلاعات محکوم شده بودند، از بودجه کشور آلمان بیشتر بود.

گواهی امنیت پلتفرمها

متولیانی همانند افتا، پدافند غیرعامل و سازمان فناوری اطلاعات ایران در این حوزه هستند که باید گواهی امنیت پلتفرمها را تایید و صادر کنند، اما تعداد بسیاری از پلتفرمهای بومی به دنبال دریافت این گواهیها نمیروند یا در زمان صدور این گواهیها کارشان را به درستی انجام نمیدهند.

نعناکار در رابطه با سازمانهای صادرکننده گواهی امنیت میگوید یقینا این سازمانها هم معاونتی دارند و اگر به نظر برسد که نقیصهای به وجود آمده و به اصطلاح حقوقی ترک فعل صورت گرفته و سازمان هم از یکی از همین نهادهای ذیربط نامهای دارد، باید این سازمانها مورد مواخذه و سوال قرار گیرند.

نیاز به ورود مدعیالعموم

دولت و دادستانی باید در رابطه با نشر اطلاعات عموم مردم وارد عمل شده و مدعیالعموم شوند، چون در اینجا حقوق عامه مردم تضییع شده است. نعناکار در مورد نیاز به ورود دادستانی گفت در این پرونده تازه باید دادستانی وارد شود و اگر وارد نشود، هریک از افرادی که دادهشان در بستر اینترنتی به طور غیرمجاز انتشار یافته، میتواند به مرجع قضایی مراجعه کند و شکایت ثبت نماید و مراجع نیز مطابق قانون ملزم به رسیدگی هستند.

تصویب لایحه حفاظت از دادههای مجازی

از رضا ایازی در مورد لایحه حفاظت از دادههای مجازی پرسیدیم؛ لایحهای که از سالها پیش دائم بین دولت و مجلس میچرخد و سرنوشت نامعلومی دارد. او معتقد است به احتمال زیاد این لایحه تصویب نخواهد شد و ادامه داد من پیشبینی میکنم پرونده این لایحه که از سال ۹۵ باز است در نهایت تصویب نمیشود و اگر هم شود، آن حمایتهای قانونی که امروز مورد نظر ماست را پوشش نمیدهد، چون ساختارهای اداری و قضایی ما نسبت به این قضیه به نحوی است که اگر بخواهیم این لایحه به تصویب برسد، باید چیزی همانند GDPR اروپا داشته باشیم.

او در ادامه افزود میدانیم اکنون برخی از اطلاعات اپلیکیشنها میتواند توسط نهاد انتظامی رصد شود، اما اگر قرار باشد لایحه حفاظت داده تصویب شود، این فرآیند نیز دچار مشکل میشود. سیاست نظارت فضای مجازی در ایران بیشتر از آنکه به سود کسبوکار باشد، به سود منافع ملی و عمومی است و برای همین پلتفرمها به خاطر زیاد بودن جرایم در فضای مجازی، اصرار به رصد کردن این فضا و سوار بودن بر دیتا دارند.

مسئله دیگر تداخل چند قانون با هم در صورت تصویب این لایحه است. ایازی در این رابطه گفت برای مثال در پیشنویس قانون جرائم رایانهای تازه (که تا این مدت به انتشار عمومی نرسیده است) آمده است شما دادهها را فقط میتوانید به مقام مجاز واگذار کنید، اما مشکل اینجاست که مقام مجاز، نهادها و افراد مختلفی میتواند باشد.

به نظر میرسد کاربران فضای مجازی باید بیشتر از حقوق خود آگاه باشند و بیتفاوتی را نسبت به نشت اطلاعات شخصی خود کنار بگذارند. با وجود اینکه نقص قوانین در این حوزه به چشم میخورد، اما با قوانین حاکم جاری نیز امکان پیگیری حقوقی تا حد زیادی وجود دارد.