دستورالعمل حفاظت از حریم خصوصی کاربران در فضای مجازی

بر اساس وظایف و اختیارات مصرّح در بندهای "۳-۲-۱-" و "۳-۲-۱۲-" آیین‌نامه کمیسیون عالی تنظیم مقررات فضای مجازی کشور (مصوب هشتاد و یکمین جلسه مورخ ۱۴۰۱/۰۲/۲۷ شورای عالی فضای مجازی کشور) و با هدف کاهش بخشی از مخاطرات مرتبط با نقض حریم خصوصی کاربران و نیز الزام اشخاص حقوقی غیردولتی و دستگاه‌های اجرایی کشور (دستگاه‌های اجرایی موضوع ماده (۲۹) قانون برنامه پنج ساله ششم توسعه اقتصادی، اجتماعی و فرهنگی جمهوری اسلامی ایران) به رعایت شرایط مرتبط با شیوه‌های جمع‌آوری، پردازش و نگهداری داده‌های کاربران در سامانه‌ها و سکوهای فضای مجازی، تکالیف اجرایی زیر ابلاغ می‌شود: ۱ (اصلاحی ۱۴۰۲/۱۲/۲۱)

کلیه ارائه دهندگان خدمات از طریق سامانه‌ها و سکوهای فضای مجازی موظف اند حداکثر ظرف مدت چهارماه (۴ماه) از تاریخ ابلاغ این دستورالعمل: ۱ -۱ - سیاست‌های حفظ حریم خصوصی مرتبط با جمع‌آوری، پردازش و نگهداری داده‌های کاربران را به صورت شفاف شامل موارد زیر اعلام و رضایت صریح آنان مبنی بر پذیرش شرایط را اخذ نمایند: ۱-۱-۱ - کدام اقلام داده ای را و برای چه منظوری از کاربران دریافت و یا جمع‌آوری می‌کنند. در این زمینه و در زمان دریافت و جمع‌آوری، اقلام ضروری را از اقلام اختیاری تفکیک نموده و قابلیت انتخاب را برای کاربر در ارائه اطلاعات اختیاری فراهم کنند؛ ۱-۱-۲ - شیوه دریافت و جمع‌آوری اعم از دریافت مستقیم از کاربران و یا به صورت غیرمستقیم و از طریق مشخصات تجهیزات و سامانه‌های در اختیار کاربران را مشخص کنند؛ ۱-۱-۳ - نحوه و ابزار اطلاع رسانی تغییر سیاست‌ها را مشخص نموده و مجدداً رضایت صریح کاربران را اخذ و تغییرات لازم را اعمال نمایند؛ تبصره: هر گونه تغییر در شرایط و سیاست‌ها باید حداقل دو ماه (۲ ماه) قبل از اعمال، به کاربران اعلام شود. ۱ -۲ - داده‌ها باید صرفاً در حد اقلام مورد نیاز برای انجام تکالیف قانونی یا ادامه کسب و کار و متناسب با اهدافی که در بند "۱-۱-" برای کاربر شرح داده شده و اجازه و رضایت صریح وی اخذ گردیده است، جمع‌آوری، پردازش و ذخیره سازی شود؛ ۱ -۳ - در صورت درخواست کاربران برای حذف داده‌های مرتبط از قبیل حذف حساب کاربری، تمام و یا بخشی از داده‌های مرتبط با فعالیت آنان در سامانه و سکو (مشروط به عدم مغایرت با قوانین و مقررات کشور و ماموریت‌ها و تکالیف دستگاه‌های اجرایی)، بلافاصله انجام پذیرفته و داده‌های حذف شده از سامانه و سکوی برخط، به منظور رعایت مقررات قانونی از جمله مقررات مواد (۶۶۷) تا (۶۷۰) قانون آیین دادرسی کیفری (دادرسی جرایم رایانه ای) به پایگاه‌های داده پشتیبان مستقر در بخش غیربرخط و منفصل از شبکه‌های ارتباطی عمومی منتقل و تنها برای انجام تکالیف مقرر در قانون، نگهداری یا پردازش شود و پس از خاتمه مواعد قانونی یا قضایی، به طور کامل امحاء شود؛ ۱ -۴ - داده‌های مربوط به هویت و اطلاعات شخصی کاربران که منجر به شناسایی هویت ایشان می‌شود، صرفاً باید به صورت رمزنگاری شده ذخیره شود. دستورالعمل‌های مرتبط با سطوح و شیوه‌های رمزنگاری بر اساس وظایف تعیین شده در اسناد مصوب شورای عالی فضای مجازی کشور، توسط دستگاه‌های مسئول ابلاغ می‌شود؛ تبصره ۱: مسئولیت‌های حقوقی و قضایی نقض حریم خصوصی ناشی از عدم رعایت مقررات بند یک این دستورالعمل، بر عهده ارائه دهنده خدمت مربوط است؛ تبصره ۲: تمامی اشخاص مشمول مکلف اند ظرف مدت سه ماه (۳ماه) از تاریخ ابلاغ این مصوبه، مقررات بند یک این دستورالعمل را برای داده‌هایی که پیش از تصویب این مقررات جمع‌آوری، ذخیره یا پردازش نموده‌اند، اعمال کرده و در خصوص درخواست حذف، بر اساس بند "۱-۳-" عمل نمایند. ۲
تنظیم گران بخشی یا مراجع صدور مجوز موظف اند استمرار ارائه خدمات یا تمدید مجوزها به سامانه‌ها و سکوهای موضوع این دستورالعمل را منوط به حصول اطمینان از رعایت این مقررات تعیین نموده و در غیر این صورت، اقدامات قانونی لازم را به عمل آوردند؛ ۳
ارائه دهندگان خدمات موظف اند از طریق سامانه‌ها و سکوهای فضای مجازی، ضمن پیاده سازی شرایط این دستورالعمل در زمان تعیین شده بر اساس بند یک، پس از فراهم شدن ساز و کار ارائه خدمات احراز هویت کاربران بر اساس قابلیت «زیست بوم هویت معتبر» (مبتنی بر نظام هویت معتبر مصوب پنجاه و نهمین جلسه شورای عالی فضای مجازی کشور) توسط سازمان ثبت احوال کشور، با هدف به حداقل رساندن جمع‌آوری اطلاعات هویتی، حداکثر پس از یک ماه (۱ ماه)، سامانه‌های خود را با فرآیندهای مربوط منطبق نمایند؛ ۴
ساز و کار نظارت بر حسن اجرای این مصوبه، توسط مرکز ملی فضای مجازی کشور به دستگاه‌های نظارتی مرتبط ابلاغ می‌شود. کلیه دستگاه‌های اجرایی، مراجع قانونی عهده دار نظارت یا صدور مجوز و تنظیم گران بخشی، مکلف اند با دستگاه‌های نظارتی که در این خصوص تعیین می‌شوند، همکاری نمایند.

کلیه ارائه دهندگان خدمات از طریق سامانه‌ها و سکوهای فضای مجازی موظف اند حداکثر ظرف مدت چهارماه (۴ماه) از تاریخ ابلاغ این دستورالعمل: ۱ -۱ - سیاست‌های حفظ حریم خصوصی مرتبط با جمع‌آوری، پردازش و نگهداری داده‌های کاربران را به صورت شفاف شامل موارد زیر اعلام و رضایت صریح آنان مبنی بر پذیرش شرایط را اخذ نمایند: ۱-۱-۱ - کدام اقلام داده ای را و برای چه منظوری از کاربران دریافت و یا جمع‌آوری می‌کنند. در این زمینه و در زمان دریافت و جمع‌آوری، اقلام ضروری را از اقلام اختیاری تفکیک نموده و قابلیت انتخاب را برای کاربر در ارائه اطلاعات اختیاری فراهم کنند؛ ۱-۱-۲ - شیوه دریافت و جمع‌آوری اعم از دریافت مستقیم از کاربران و یا به صورت غیرمستقیم و از طریق مشخصات تجهیزات و سامانه‌های در اختیار کاربران را مشخص کنند؛ ۱-۱-۳ - نحوه و ابزار اطلاع رسانی تغییر سیاست‌ها را مشخص نموده و مجدداً رضایت صریح کاربران را اخذ و تغییرات لازم را اعمال نمایند؛ تبصره: هر گونه تغییر در شرایط و سیاست‌ها باید حداقل دو ماه (۲ ماه) قبل از اعمال، به کاربران اعلام شود. ۱ -۲ - داده‌ها باید صرفاً در حد اقلام مورد نیاز برای انجام تکالیف قانونی یا ادامه کسب و کار و متناسب با اهدافی که در بند "۱-۱-" برای کاربر شرح داده شده و اجازه و رضایت صریح وی اخذ گردیده است، جمع‌آوری، پردازش و ذخیره سازی شود؛ ۱ -۳ - در صورت درخواست کاربران برای حذف داده‌های مرتبط از قبیل حذف حساب کاربری، تمام و یا بخشی از داده‌های مرتبط با فعالیت آنان در سامانه و سکو (مشروط به عدم مغایرت با قوانین و مقررات کشور و ماموریت‌ها و تکالیف دستگاه‌های اجرایی)، بلافاصله انجام پذیرفته و داده‌های حذف شده از سامانه و سکوی برخط، به منظور رعایت مقررات قانونی از جمله مقررات مواد (۶۶۷) تا (۶۷۰) قانون آیین دادرسی کیفری (دادرسی جرایم رایانه ای) به پایگاه‌های داده پشتیبان مستقر در بخش غیربرخط و منفصل از شبکه‌های ارتباطی عمومی منتقل و تنها برای انجام تکالیف مقرر در قانون، نگهداری یا پردازش شود و پس از خاتمه مواعد قانونی یا قضایی، به طور کامل امحاء شود؛ ۱ -۴ - داده‌های مربوط به هویت و اطلاعات شخصی کاربران که منجر به شناسایی هویت ایشان می‌شود، صرفاً باید به صورت رمزنگاری شده ذخیره شود. دستورالعمل‌های مرتبط با سطوح و شیوه‌های رمزنگاری بر اساس وظایف تعیین شده در اسناد مصوب شورای عالی فضای مجازی کشور، توسط دستگاه‌های مسئول ابلاغ می‌شود؛ تبصره ۱: مسئولیت‌های حقوقی و قضایی نقض حریم خصوصی ناشی از عدم رعایت مقررات بند یک این دستورالعمل، بر عهده ارائه دهنده خدمت مربوط است؛ تبصره ۲: تمامی اشخاص مشمول مکلف اند ظرف مدت سه ماه (۳ماه) از تاریخ ابلاغ این مصوبه، مقررات بند یک این دستورالعمل را برای داده‌هایی که پیش از تصویب این مقررات جمع‌آوری، ذخیره یا پردازش نموده‌اند، اعمال کرده و در خصوص درخواست حذف، بر اساس بند "۱-۳-" عمل نمایند. ۲
تنظیم گران بخشی یا مراجع صدور مجوز موظف اند استمرار ارائه خدمات یا تمدید مجوزها به سامانه‌ها و سکوهای موضوع این دستورالعمل را منوط به حصول اطمینان از رعایت این مقررات تعیین نموده و در غیر این صورت، اقدامات قانونی لازم را به عمل آوردند؛ ۳
ارائه دهندگان خدمات موظف اند از طریق سامانه‌ها و سکوهای فضای مجازی، ضمن پیاده سازی شرایط این دستورالعمل در زمان تعیین شده بر اساس بند یک، پس از فراهم شدن ساز و کار ارائه خدمات احراز هویت کاربران بر اساس قابلیت «زیست بوم هویت معتبر» (مبتنی بر نظام هویت معتبر مصوب پنجاه و نهمین جلسه شورای عالی فضای مجازی کشور) توسط سازمان ثبت احوال کشور، با هدف به حداقل رساندن جمع‌آوری اطلاعات هویتی، حداکثر پس از یک ماه (۱ ماه)، سامانه‌های خود را با فرآیندهای مربوط منطبق نمایند؛ ۴
ساز و کار نظارت بر حسن اجرای این مصوبه، توسط مرکز ملی فضای مجازی کشور به دستگاه‌های نظارتی مرتبط ابلاغ می‌شود. کلیه دستگاه‌های اجرایی، مراجع قانونی عهده دار نظارت یا صدور مجوز و تنظیم گران بخشی، مکلف اند با دستگاه‌های نظارتی که در این خصوص تعیین می‌شوند، همکاری نمایند.