حقوق فناوری، هوش مصنوعی و حمایت از داده‌ها

موضوعاتی که در چارچوب قانون حمایت از داده‌های شخصی ترکیه شماره 6698 (KVKK)، قانون تنظیم انتشارات در فضای اینترنت شماره 5651 و مقررات مربوط به جرایم سایبری در قانون مجازات ترکیه شماره 5237 (TCK) به آن‌ها رسیدگی می‌کنیم:

• فعالیت‌های انطباق با قانون حمایت از داده‌های ترکیه و مقررات GDPR، تهیهٔ فهرست موجودی داده‌ها و تنظیم سیاست‌نامه‌ها
• اطلاعیه‌های حریم خصوصی، فرایندهای اخذ رضایت صریح و سیاست‌نامه‌های کوکی
• قراردادهای میان مسئول داده و پردازشگر داده و تعهدات مربوط به ثبت در سامانهٔ ثبت مسئولان داده
• انتقال داده‌های شخصی به خارج از کشور و سازوکارهای حقوقی موجود برای این‌گونه انتقال‌ها
• داده‌های کارکنان، پرونده‌های پرسنلی و تصاویر ضبط‌شدهٔ دوربین‌های محل کار
• داده‌های سلامت، داده‌های بیومتریک و داده‌های شخصی با ماهیت ویژه
• اعلام نقض داده، مدیریت نقض و دعاوی ابطال تصمیمات هیئت حمایت از داده‌های شخصی
• دعاوی مطالبهٔ خسارت ناشی از پردازش غیرقانونی داده‌های شخصی
• دسترسی غیرمجاز به سامانه‌های اطلاعاتی، تحصیل غیرقانونی داده‌ها و جرایم مربوط به کارت‌های بانکی
• جرایم توهین، تهدید و اخاذی ارتکابی از طریق اینترنت
• درخواست‌های حذف محتوا، مسدودسازی دسترسی و حق فراموش شدن
• حساب‌های هک‌شدهٔ شبکه‌های اجتماعی و رویه‌های مربوط به ادلهٔ دیجیتال
• قراردادهای توسعهٔ نرم‌افزار، نگهداری، رایانش ابری و توافق‌نامه‌های سطح خدمات
• مسئولیت، استفاده از داده‌ها و تعهدات شفافیت در کاربردهای هوش مصنوعی
• اختلافات مربوط به تجارت الکترونیکی، امضای الکترونیکی و قراردادهای الکترونیکی
• تعهدات امنیت سایبری و مدیریت رخداد پس از حملهٔ سایبری
• مسئولیت سکوهای دیجیتال و روابط میان سکو و کاربر
• حقوق بازی و ورزش‌های الکترونیکی؛ اختلافات مربوط به محتوای دیجیتال و اقلام مجازی
• بازاریابی مستقیم، پیام‌های الکترونیکی تجاری و تعهدات مرتبط با آن‌ها
• مسئولیت در تصمیم‌گیری الگوریتمی و پردازش صرفاً خودکار
• ارزیابی حقوقی دارایی‌های رمزنگاری‌شده و کاربردهای مبتنی بر زنجیرهٔ بلوکی

در فعالیت‌های خود در این حوزه، پیش از هر چیز قانون حمایت از داده‌های شخصی ترکیه شماره 6698 و در کنار آن قواعد مربوط به انتشارات اینترنتی، تجارت الکترونیکی، امضای الکترونیکی، جرایم سایبری، امنیت سایبری، حقوق مصرف‌کننده و مالکیت فکری را در نظر می‌گیریم. خطر حقوقی در این حوزه اغلب از شکاف میان سیاست‌نامه‌های مکتوب و رویهٔ واقعی ناشی می‌شود؛ به همین دلیل، فرایندها نه تنها از طریق قراردادها و متون سیاست‌نامه‌ها، بلکه از طریق مدل کسب‌وکار، زیرساخت فنی، جریان‌های کاربری و جابه‌جایی واقعی داده‌ها نیز ارزیابی می‌شوند.

در چارچوب انطباق با مقررات حمایت از داده‌ها، فرایندهای منابع انسانی، فروش، بازاریابی، حسابداری، مرکز تماس، دوربین، برنامهٔ تلفن همراه، وب‌سایت، مدیریت تأمین‌کنندگان و فناوری اطلاعات به‌طور جداگانه بررسی می‌شوند. داده‌های شخصی پردازش‌شده، مبنای حقوقی پردازش، مدت‌های نگهداری، مجوزهای دسترسی، گروه‌های گیرنده و مسیرهای انتقال به خارج از کشور شناسایی می‌شوند و در مورد مسئولان داده‌ای که مشمول الزام ثبت هستند، سازگاری میان اعلام ثبت‌شده در سامانهٔ ثبت مسئولان داده ترکیه (VERBİS) و فعالیت‌های پردازش واقعی بررسی می‌گردد.

اطلاعیه‌های حریم خصوصی و فرایندهای اخذ رضایت صریح به‌طور اختصاصی برای کارکنان، متقاضیان شغل، مشتریان، بازدیدکنندگان، دوربین‌ها، کوکی‌ها، برنامه‌های تلفن همراه، کمپین‌ها و تأمین‌کنندگان تهیه می‌شوند. تکلیف اطلاع‌رسانی و رضایت صریح یک عمل واحد نیستند؛ رضایت صریح تنها در جایی مطرح می‌شود که هیچ شرط پردازش دیگری که قانون پیش‌بینی کرده باشد، وجود نداشته باشد. درخواست‌های صاحبان داده برای دسترسی، اصلاح یا حذف داده‌ها به‌صورت موردی بررسی می‌شوند تا بتوان به آن‌ها در مهلت مقرر و به‌صورت مستند پاسخ داد.

در پردازش داده‌های کارکنان، رایانامهٔ سازمانی، استفاده از اینترنت، موقعیت مکانی، عملکرد، سوابق ورود و خروج، داده‌های بیومتریک و تصاویر ضبط‌شدهٔ دوربین‌ها از نظر هدف، ضرورت، تناسب و اطلاع‌رسانی پیشین ارزیابی می‌شوند. در مواردی که از خدمات ابری، مدیریت ارتباط با مشتری (CRM)، منابع انسانی، تحلیل داده یا هوش مصنوعی استفاده می‌شود، این که آیا داده‌های شخصی به خارج از کشور منتقل می‌شوند و انتقال بر کدام سازوکار حقوقی استوار است، تعیین می‌گردد و قراردادهای تأمین‌کنندگان از نظر اعلام نقض، پردازشگران فرعی، حق ممیزی، حذف داده‌ها و تقسیم مسئولیت بررسی می‌شوند.

قراردادهای توسعهٔ نرم‌افزار، لیسانس، نرم‌افزار به‌عنوان خدمت (SaaS)، نگهداری، میزبانی، رابط برنامه‌نویسی کاربردی (API) و سکوهای دیجیتال، سیاست‌نامه‌های سازمانی استفاده از هوش مصنوعی، ارزیابی حقوقی پروژه‌های مبتنی بر دارایی‌های رمزنگاری‌شده و زنجیرهٔ بلوکی، پیام‌های الکترونیکی تجاری و نیز موضوعات مربوط به حذف محتوا، مسدودسازی دسترسی، تصاحب حساب کاربری و جرایم سایبری نیز در حوزهٔ فعالیت ما قرار دارند.

از جمله موضوعاتی که در عمل بیش از همه با آن‌ها روبه‌رو می‌شویم، می‌توان به انطباق با مقررات حمایت از داده‌ها که تنها به یک اطلاعیهٔ حریم خصوصی در وب‌سایت محدود شده است، رضایت صریحی که بدون ضرورت یا در قالب یک گزینهٔ تأیید واحد و تجمیعی اخذ شده است، خدمات ابری که برخلاف آنچه در سیاست‌نامهٔ شرکت آمده است داده‌ها را به خارج از کشور منتقل می‌کنند، و سامانه‌های دوربینی که برای امنیت نصب شده‌اند اما برای نظارت مستمر بر کارکنان به کار می‌روند، اشاره کرد.

نقض داده ممکن است از ارسال رایانامه به شخص اشتباه، گم شدن یک دستگاه، هک شدن یک حساب کاربری، باج‌افزار، پایگاه داده‌ای که در دسترس اینترنت رها شده است یا تداوم دسترسی یک کارمند سابق به سامانه‌ها ناشی شود. هر رخداد فنی پیامد حقوقی یکسانی ندارد؛ با این حال، نتیجه‌گیری بدون بررسی مبنی بر این که هیچ داده‌ای نشت نکرده است، به همان اندازه نادرست است. سوابق لاگ باید حفظ شوند، سامانه‌ها و گروه‌های دادهٔ متأثر شناسایی گردند و تاریخ کشف رخداد ثبت شود.

در استفاده از هوش مصنوعی، این که ابزار از بیرون خریداری شده یا از طریق یک سرویس در دسترس عموم اجرا می‌شود، مسئولیت شرکتی را که از آن استفاده می‌کند از میان نمی‌برد. سامانه‌هایی که در استخدام، امتیازدهی به مشتریان، تبلیغات، تولید محتوا یا پشتیبانی تصمیم به کار می‌روند، به‌طور توأمان از نظر داده‌های شخصی، تبعیض، حقوق مصرف‌کننده، مالکیت فکری، اسرار تجاری و مسئولیت قراردادی ارزیابی می‌شوند.

در قراردادهای فناوری، بلاتکلیف گذاشتن آزمون پذیرش، سطوح خدمات، مسئولیت ناشی از قطعی خدمات، از دست رفتن داده‌ها، کد منبع، حقوق مالکیت فکری و دسترسی به داده‌ها پس از خاتمهٔ قرارداد ممکن است به اختلافات جدی بینجامد. در موضوعات مربوط به تصاحب حساب کاربری، نمایهٔ جعلی، استفادهٔ بدون اجازه از تصویر، کلاهبرداری اینترنتی یا اعتبار تجاری، اولویت با حفظ ادله است؛ زیرا محتوا ممکن است حذف شود و دستیابی به سوابق سکوها با گذشت زمان دشوارتر گردد.

فرایند، پیش از پرداختن به متون قانونی، با درک این که رخداد یا سامانه در واقع چگونه کار می‌کند آغاز می‌شود. نرم‌افزار مورد استفاده، منابع داده، تأمین‌کنندگان، قراردادها، تصاویر صفحه، سوابق دسترسی، لاگ‌ها، مکاتبات مربوط به درخواست‌ها و تاریخ وقایع به‌صورت توأمان بررسی می‌شوند.

سپس مقررات قابل اعمال، مهلت‌های حیاتی، ادلهٔ موجود و مسئولیت‌های طرفین تعیین می‌گردد. در پروژه‌های انطباق، یک برنامهٔ اجرایی قابل اعمال شامل فهرست موجودی داده‌ها، اطلاعیه‌های حریم خصوصی، قواعد نگهداری و دسترسی، قراردادهای تأمین‌کنندگان و سازوکارهای انتقال تهیه می‌شود تا انطباق در عمل و نه صرفاً روی کاغذ مدیریت گردد.

در صورت وقوع نقض داده یا رخداد سایبری، هماهنگی با تیم فنی، کارشناس جرم‌یابی دیجیتال، بیمه‌گر و واحد ارتباطات برقرار می‌شود. حفظ ادله، تهیهٔ متون اعلام نقض، اطلاع‌رسانی به صاحبان دادهٔ ذی‌ربط و ثبت اقدامات اصلاحی انجام‌شده پس از رخداد در این چارچوب صورت می‌گیرد.

در اختلافات، درخواست‌های اداری، طرح دعوا، شکایت کیفری، درخواست‌های حذف محتوا و مسدودسازی دسترسی، اظهارنامه‌های رسمی، تأمین دلیل و دعاوی مطالبهٔ خسارت به‌طور جداگانه ارزیابی می‌شوند؛ زیرا هر یک از این طرق تابع شرایط متفاوتی است و هدف متفاوتی را دنبال می‌کند. موکل به‌طور منظم از مراحل فرایند، خطرات احتمالی و طرق قانونی قابل پیگیری مطلع می‌شود.