GDPR on Arpokrat

Data Act در برابر CLOUD Act: چه کسی واقعاً داده‌های شما را در فضای ابری کنترل می‌کند؟

Fri, 19 Jun 2026 00:00:00 +0000

سال‌ها بود که جهان بر اساس یک فرض ساده عمل می‌کرد: داده‌ها محل اقامت فیزیکی دارند. اگر داده‌ای روی سروری در دوبلین ذخیره بود، تابع قوانین ایرلند و اتحادیه اروپا بود. این فرض در سال ۲۰۱۸ فروریخت، زمانی که ایالات متحده CLOUD Act را تصویب کرد؛ قانونی که به مقامات آمریکایی اجازه می‌دهد به داده‌های تحت کنترل شرکت‌های آمریکایی دسترسی داشته باشند، صرف‌نظر از اینکه این داده‌ها از نظر فیزیکی در کجای جهان ذخیره شده‌اند. چند سال بعد، بروکسل با ابزار حمایتی خود پاسخ داد: Data Act که اکنون به طور کامل قابل اجراست و تلاش می‌کند دسترسی فراسرزمینی مقامات کشورهای ثالث به داده‌های نگهداری‌شده در اتحادیه اروپا را محدود کند.

در اینجا به آنچه این دو متن واقعاً پیش‌بینی می‌کنند، نقاط تصادم آن‌ها، و دلیل اینکه تنها حمایت واقعاً محکم در برابر این تعارض، ناممکن‌سازی فنی دسترسی است، می‌پردازیم.

CLOUD Act آمریکایی: دسترسی مبتنی بر کنترل، نه مکان

CLOUD Act (Clarifying Lawful Overseas Use of Data Act)، که در مارس ۲۰۱۸ تصویب شد، قوانین آمریکا را با افزودن ماده 18 U.S. Code § 2713 اصلاح کرد. این متن هر ارائه‌دهنده خدمات ارتباطات الکترونیکی یا پردازش رایانه‌ای از راه دور را ملزم می‌کند که محتوای ارتباطات یا هر سابقه مرتبط با آن را حفظ، نگهداری یا افشا کند، به محض اینکه این داده‌ها در تصرف، نگهداری یا کنترل آن باشند، صرف‌نظر از اینکه این داده‌ها در داخل یا خارج از ایالات متحده قرار دارند.

دقیقاً همین بند آخر است که همه چیز را تغییر می‌دهد. معیار دیگر مکان فیزیکی سرور نیست، بلکه کنترلی است که شرکت مادر بر شعب خود اعمال می‌کند. بنابراین یک شرکت آمریکایی که مراکز داده را در اروپا اداره می‌کند، همچنان تابع احضاریه‌های آمریکایی است، حتی برای داده‌هایی که به طور کامل در خاک اروپا ذخیره شده‌اند.

Data Act اروپایی: یک مانع حقوقی در برابر دسترسی فراسرزمینی

مقررات (اتحادیه اروپا) 2023/2854، موسوم به Data Act، در ۱۱ ژانویه ۲۰۲۴ لازم‌الاجرا شد و از ۱۲ سپتامبر ۲۰۲۵ به طور کامل اعمال می‌شود، با برخی مقررات که تا ۲۰۲۶ و ۲۰۲۷ به صورت تدریجی اجرا می‌شوند. ماده ۳۲ آن مستقیماً به موضوع دسترسی بین‌المللی دولت‌ها به داده‌ها می‌پردازد.

این متن یک قاعده روشن تعیین می‌کند: هر تصمیم یا حکم یک دادگاه یا مقام اداری کشور ثالثی که از ارائه‌دهنده خدمات پردازش داده می‌خواهد داده‌های غیرشخصی نگهداری‌شده در اتحادیه اروپا را منتقل کند یا به آن‌ها دسترسی دهد، تنها در صورتی به رسمیت شناخته می‌شود و قابل اجراست که مبتنی بر یک توافق بین‌المللی باشد، مانند یک معاهده کمک حقوقی متقابل (MLA)، که بین کشور درخواست‌کننده و اتحادیه، یا بین آن کشور و دولت عضو مربوطه، معتبر باشد.

در غیاب چنین توافقی، ماده ۳۲ راه دومی را پیش‌بینی می‌کند، اما با محدودیت‌های سختگیرانه: تصمیم خارجی تنها در صورتی قابل اجراست که نظام حقوقی کشور ثالث ایجاب کند که درخواست مستدل، متناسب و به اندازه کافی مشخص باشد - برای مثال با ایجاد پیوند روشن با افراد یا جرائم معین - و اگر اعتراض موجه گیرنده بتواند تحت بازرسی دادگاه صالح آن کشور ثالث قرار گیرد.

یک تصادم حقوقی مستقیم

مشکل فوری است: CLOUD Act افشای اطلاعات را بر اساس کنترل اعمال‌شده توسط شرکت مادر الزامی می‌کند، بدون شرط تناسبی مشابه آنچه قانون اروپایی مطالبه می‌کند. Data Act، برعکس، به رسمیت شناختن چنین درخواستی را مشروط به وجود یک توافق بین‌المللی یا ضمانت‌های رویه‌ای دقیق می‌کند. یک شرکت آمریکایی که در اروپا فعالیت می‌کند و توسط یک مقام آمریکایی ملزم به انتقال داده‌های میزبانی‌شده در اتحادیه است، خود را بین دو تعهد قانونی متناقض می‌یابد: تبعیت از دستور آمریکایی با نقض قوانین اتحادیه، یا رعایت Data Act با در معرض قرار گرفتن در برابر عواقب رد درخواست در ایالات متحده.

این تنش نظری نیست. دیوان دادگستری اتحادیه اروپا (CJEU) آن را در دو تصمیم مهم مستند کرده است: Schrems I (2015) و Schrems II (2020). در حکم Schrems II، دیوان دادگستری اتحادیه اروپا حکم داد که نظارت آمریکایی انجام‌شده بر اساس بخش ۷۰۲ FISA (Foreign Intelligence Surveillance Act) و فرمان اجرایی ۱۲۳۳۳ حداقل ضمانت‌های مورد نیاز قانون اتحادیه را بر اساس اصل تناسب رعایت نمی‌کند و بنابراین نمی‌توان آن را محدود به آنچه کاملاً ضروری است تلقی کرد. دادگاه همچنین فقدان راه جبران قضایی مؤثر برای افراد مربوطه در اتحادیه را تشخیص داد که ناقض ماده ۴۷ منشور حقوق اساسی است. این تصمیم چارچوب Privacy Shield را که تا آن زمان انتقال داده بین اتحادیه اروپا و ایالات متحده را سازماندهی می‌کرد، باطل اعلام کرد.

خطر ساختاری: Harvest Now, Decrypt Later

فراتر از تعارض صلاحیت‌ها، تهدیدی موذیانه‌تر بر داده‌های میزبانی‌شده در زیرساخت‌های تابع قوانین آمریکایی سایه افکنده است: استراتژی موسوم به Harvest Now, Decrypt Later (HNDL). این اصل برای یک سرویس اطلاعاتی یا بازیگر دولتی خصمانه عبارت است از رهگیری و ذخیره‌سازی داده‌های رمزگذاری‌شده از همین امروز، در انتظار توانایی‌های محاسبات کوانتومی کافی برای رمزگشایی آن‌ها در آینده.

این استراتژی هر وابستگی طولانی‌مدت به زیرساخت ابری آمریکایی را به یک بدهی امنیتی معوق تبدیل می‌کند: آنچه امروز محرمانه است ممکن است در ده یا پانزده سال دیگر قابل خواندن شود، بدون اینکه هیچ اقدام اضافی از سوی مهاجم لازم باشد، فقط زمان و صبر.

چرا تنها ناممکن‌سازی فنی یک ضمانت واقعی است

تحلیل حقوقی به نتیجه‌ای مشترک می‌رسد که بسیاری از متخصصان انطباق به آن رسیده‌اند: هر چقدر هم چارچوب قانونی Data Act محکم باشد، همچنان متنی است که توازن قوای ژئوپولیتیک و فشارهای دیپلماتیک می‌توانند آن را دور بزنند، به تعویق بیندازند یا تفسیر مجدد کنند. تنها حمایتی که به هیچ مذاکره آینده‌ای وابسته نیست، ناممکن‌سازی فنی اجرا است.

یک معماری zero knowledge، که در آن ارائه‌دهنده خدمات هیچ‌گاه در تصرف یا نگهداری کلیدهای رمزگشایی نیست، یک احضاریه را از نظر مادی بی‌اثر می‌کند. نمی‌توان کسی را مجبور کرد چیزی را که هرگز در اختیار ندارد تحویل دهد.

این منطقی است که اکوسیستم‌هایی مانند Arpokrat را شکل می‌دهد:

خنثی‌سازی صلاحیت قضایی: زیرساخت در سوئیس میزبانی می‌شود، تحت رژیم قانون فدرال حفاظت از داده‌ها (LPD/FADP)، خارج از حوزه اعمال مستقیم فراسرزمینی CLOUD Act
فقدان نگهداری: معماری zero knowledge به ارائه‌دهنده هیچ توانایی برای تحویل کلیدها یا محتواهایی که هرگز در اختیار ندارد نمی‌دهد
کاهش ردپای هویتی: با حذف الزام ثبت‌نام از طریق شماره تلفن یا آدرس ایمیل - شناسه‌هایی که نظارت مبتنی بر بخش ۷۰۲ FISA می‌تواند به راحتی آن‌ها را ردیابی کند - کاربر از یک مشترک قابل شناسایی به یک کلید رمزنگاری ناشناس تبدیل می‌شود

زنجیره نگهداری در رمزگذاری پیام‌ها متوقف نمی‌شود

نکته‌ای که اغلب در تحلیل‌های انطباق دست‌کم گرفته می‌شود این است: رمزگذاری محتوای یک ارتباط کافی نیست اگر سیستم عامل زیربنایی - چه Android باشد چه iOS - به جمع‌آوری ابرداده یا تله‌متری در سطح هسته، با مقصد سرورهایی تحت صلاحیت آمریکا، ادامه دهد. حمایت از محرمانگی مستلزم بستن کامل زنجیره نگهداری است، از محتوا تا خود زیرساخت سخت‌افزاری.

به همین دلیل است که حاکمیت دیجیتال مستلزم تأمل درباره سیستم عامل مورد استفاده نیز هست، نه فقط برنامه‌های پیام‌رسان. سیستم‌های بدون گوگل، که در آن‌ها ماژول‌هایی مانند بلوتوث یا موقعیت‌یابی GNSS می‌توانند مستقیماً در سطح هسته غیرفعال شوند، بردارهای حمله فیزیکی را که هیچ رمزگذاری در سطح برنامه نمی‌تواند جبران کند، حذف می‌کنند.

رمزنگاری پس از کوانتوم، افقی که اکنون در پیش است

در برابر تهدیدی که استراتژی HNDL نشان می‌دهد، اتخاذ استانداردهای رمزنگاری پس از کوانتوم (PQC) برای هر کسی که می‌خواهد محرمانگی داده‌های حساس را در بلندمدت تضمین کند، ضرورتی اجتناب‌ناپذیر است - چه اسرار تجاری باشد، چه مکاتبات حرفه‌ای یا داده‌های بهداشتی. رمزگذاری‌ای که امروز بر اساس استانداردهای کلاسیک محکم تلقی می‌شود، تضمین نمی‌کند که در برابر توانایی‌های محاسبات کوانتومی مورد انتظار در پانزده سال آینده مقاومت کند.

تعارض بین Data Act و CLOUD Act یک واقعیت گسترده‌تر را نشان می‌دهد: حاکمیت دیجیتال دیگر نمی‌تواند صرفاً بر متون قانونی بنا شود، هر چقدر هم محکم باشند. این امر مستلزم بستن زنجیره نگهداری در هر سطحی است، از پروتکل رمزگذاری تا صلاحیت میزبانی، از جمله خود سیستم عامل. این رویکرد لایه‌ای، به جای اعتماد به یک چارچوب نظارتی واحد، است که امروز حاکمیت دیجیتال واقعی بر اساس طراحی را تعریف می‌کند.

پایان حریم خصوصی؟ درهای پشتی (Backdoors)، قانون ایمنی آنلاین و واکنش اکوسیستم‌های مستقل

Wed, 10 Jun 2026 00:00:00 +0000

لندن به کانون نبردی جهانی برای آینده حریم خصوصی دیجیتال تبدیل شده است. با تصویب قانون ایمنی آنلاین ۲۰۲۳ (OSA) و پیشنهادهای اخیر برای بازنگری در قانون اختیارات تحقیقاتی (IPA) — که توسط منتقدانش «منشور جاسوسان» نامیده می‌شود —، دولت بریتانیا حق تحمیل تعهدات نظارتی را در قلب ارتباطات خصوصی برای خود قائل است. نقطه شکست، قدرتی است که به نهاد نظارتی OFCOM داده شده است تا از پلتفرم‌ها بخواهد «فناوری معتبر» را برای شناسایی محتوای سوءاستفاده جنسی از کودکان (CSEA) یا تروریسم، از جمله در ارتباطات رمزگذاری شده سرتاسر (End-to-End) ، مستقر کنند.

برای پلتفرم‌های دیجیتال بزرگ، پیام وست مینستر واضح است: یا دسترسی دولت به زیرساخت‌های خود را تسهیل می‌کنند، یا با جریمه‌هایی تا سقف ۱۰ درصد از درآمد جهانی خود مواجه می‌شوند. واکنش فوری بود: خدماتی مانند سیگنال (Signal) و واتس‌اپ (WhatsApp) علناً تهدید کردند که از بازار بریتانیا خارج خواهند شد و از به خطر انداختن امنیت کاربران خود برای جلب رضایت یک حوزه قضایی واحد امتناع ورزیدند. بحث فنی به سختی قابل انکار است: هیچ شاه‌کلیدی وجود ندارد که منحصراً برای بازیگران قانونی محفوظ باشد. در باز برای مجریان قانون، بنا به طراحی، یک در باز برای مجرمان سایبری و سرویس‌های اطلاعاتی خارجی است.

مدل کسب‌وکار پلتفرم‌های بزرگ: یک مانع ساختاری برای دانش صفر (Zero-Knowledge)

مقاومت پلتفرم‌های بزرگ در برابر اتخاذ رمزنگاری نوع دانش صفر با ناتوانی فنی توضیح داده نمی‌شود، بلکه با یک ناسازگاری اساسی اقتصادی توضیح داده می‌شود. شرکت‌هایی مانند آلفابت (Alphabet) و متا (Meta) بر مدل‌های درآمدزایی مبتنی بر جمع‌آوری سیستماتیک داده‌های رفتاری تکیه دارند. این مدل اتفاقاً به طور ضمنی توسط قانون بازارهای دیجیتال (DMA) اتحادیه اروپا به رسمیت شناخته شده است، که این «دروازه‌بانان» (gatekeepers) را به عنوان نهادهایی طبقه‌بندی می‌کند که موقعیت مسلط آنها دقیقاً از طریق انباشت داده‌ها در مقیاسی بی‌نظیر تغذیه می‌شود. برای این بازیگران، اتخاذ یک معماری دانش صفر به معنای محروم کردن سیستم‌های تبلیغاتی آنها از شناسایی مداوم کاربرانی است که سوخت آن را تشکیل می‌دهد. بنابراین این یک انتخاب فنی نیست، بلکه یک مبادله بین حریم خصوصی کاربران و دوام مدل کسب‌وکار آنها است.

خطر استراتژیک: تهدید «اکنون برداشت کن، بعداً رمزگشایی کن» (Harvest Now, Decrypt Later)

فراتر از بحث در مورد حریم خصوصی، تضعیف رمزنگاری مسئله‌ای در حوزه امنیت ملی با دامنه‌ای کاملاً متفاوت را مطرح می‌کند. استراتژی معروف به Harvest Now, Decrypt Later (HNDL) شامل این است که دشمنان دولتی امروز حجم عظیمی از ارتباطات رمزگذاری شده را در انتظار قابلیت‌های رمزگشایی کوانتومی آینده، رهگیری و ذخیره کنند. با تضعیف استانداردهای رمزنگاری فعلی، چارچوب قانونی بریتانیا از نظر عینی این نوع عملیات را علیه ارتباطات دولتی، دیپلماتیک یا صنعتی تسهیل می‌کند.

دقیقاً در همین زمینهِ کمبود اعتماد است که اکوسیستم‌هایی مانند آرپوکرات (Arpokrat) اهمیت عملیاتی پیدا می‌کنند. با فعالیت تحت رژیم قانون فدرال حفاظت از داده‌های سوئیس (FADP)، با معماری که هیچ شناسه مدنی را جمع‌آوری نمی‌کند، آرپوکرات یک گسست فنی از زیرساخت‌های مشمول حوزه قضایی بریتانیا ارائه می‌دهد — و تضمین می‌کند که سیستم در برابر احکام پیش‌بینی شده توسط قانون OSA ناشنوا باقی می‌ماند.

تضاد هنجارها: OSA و IPA در برابر حقوق اروپا

تحلیل حقوقی امتیازات جدید دولتی بریتانیا، برخورد مستقیمی را با مبانی حقوق اروپا در مورد حفاظت از داده‌ها و محرمانگی ارتباطات آشکار می‌کند.

قانون OSA در برابر ممنوعیت نظارت تعمیم یافته

ماده ۱۲۱ قانون OSA این امکان را برای OFCOM معرفی می‌کند که احکامی صادر کند که پلتفرم‌ها را مجبور به اجرای اسکن سمت کاربر (client-side scanning) می‌کند. این اقدام مستقیماً با اصلی که از حقوق اروپا نشأت گرفته و در رویه قضایی دیوان دادگستری اتحادیه اروپا (CJEU) گنجانده شده است و تعهدات نظارت عمومی را ممنوع می‌کند، در تضاد است. با تحمیل یک «آسیب‌پذیری از طریق طراحی» (vulnerability by design)، این امر شرکت‌ها را در یک وضعیت بن‌بست مضاعف نیز قرار می‌دهد: با تضعیف امنیت خود برای تبعیت از یک دستور دولتی، آنها در تعهد خود برای تضمین سطح امنیتی متناسب با پردازش، همانطور که در ماده ۳۲ قانون GDPR تصریح شده است، کوتاهی می‌کنند.

دستورالعمل حریم خصوصی الکترونیک (ePrivacy) و محرمانگی ارتباطات

اسکن پیام‌های خصوصی در تضاد مستقیم با ماده ۵، بند ۱ از دستورالعمل 2002/58/EC (ePrivacy) است، که کشورهای عضو را موظف می‌کند محرمانگی ارتباطات الکترونیکی را تضمین کنند و هرگونه شکل رهگیری یا نظارت را بدون رضایت صریح کاربرانِ ذی‌نفع ممنوع می‌کند.

اطلاعیه‌های قابلیت فنی (Technical Capability Notices) و مسدود کردن به‌روزرسانی‌های امنیتی

تحت رژیم IPA ۲۰۱۶، دولت بریتانیا اکنون در نظر دارد از اطلاعیه‌های قابلیت فنی (TCN) برای مخالفت با به‌روزرسانی‌های امنیتی قبل از استقرار آنها استفاده کند. این مکانیسم تضادی لاینحل با تعهدی ایجاد می‌کند که توسط ماده ۳۲ قانون GDPR تعیین شده است تا از امنیت مداوم سیستم‌های پردازش اطمینان حاصل شود — تعهدی که دقیقاً نیازمند توانایی اعمال اصلاحیه‌ها (patches) بدون تأخیر یا مداخله خارجی است.

خطرات انطباق (Compliance) برای شرکت‌های فعال در اروپا

بازنگری‌های قانون IPA با هدف مجبور کردن شرکت‌ها به اطلاع‌رسانی به دولت بریتانیا در مورد هرگونه تغییر فنی مؤثر بر امنیت، قبل از اجرای آن است، و در نتیجه حق وتو در مورد توسعه محصول را به آن اعطا می‌کند. این مداخله ناامنی حقوقی قابل توجهی را برای تأمین‌کنندگان فعال در بازار اروپا ایجاد می‌کند: کفایت بریتانیا نسبت به حقوق اروپا — که از قبل شکننده بود — می‌تواند مورد تردید قرار گیرد اگر بریتانیا دیگر حفاظتی اساساً معادل با حفاظت GDPR را تضمین نکند. بنابراین، انتقال داده‌ها به بریتانیا تحت این چارچوب جدید احتمالاً شرکت‌ها را در معرض مجازات‌های تحت GDPR قرار می‌دهد.

دفاع از طریق عدم امکان فنی: اصل دانش صفر به عنوان یک سپر حقوقی

رویه قضایی بین‌المللی، که با احکام Schrems I و Schrems II از دیوان دادگستری اتحادیه اروپا (CJEU) تثبیت شده است، یک اصل تعیین‌کننده را پایه‌گذاری کرده است: تنها پادمان قوی در برابر نظارت نامتناسب، عدم امکان فنی دسترسی به آن است. معماری‌های دانش صفر (Zero-Knowledge) این اصل را در سه لایه محافظتی اعمال می‌کنند:

فقدان حضانت: از آنجا که پلتفرم کلیدهای رمزگشایی را در اختیار ندارد، هرگونه حکم برای اسکن پیام‌ها از نظر فنی غیرقابل اجرا است؛
حاکمیت سیستم عامل: کنترل ArpokratOS تله‌متری که جمع‌آوری اطلاعات در سطح دستگاه را تغذیه می‌کند، از بین می‌برد؛
لنگرگاه قضایی سوئیس: آرپوکرات با میزبانی زیرساخت‌های خود در سوئیس، تحت یک رژیم قانونی عمل می‌کند که نیازمند درخواست‌های معاضدت قضایی متقابلِ فردی و مستدل است، و اجرای خودکار اسکن‌های انبوه پیش‌بینی شده توسط OSA را خنثی می‌کند.

نتیجه‌گیری

مفاد قانون OSA و بازنگری‌های قانون IPA تنها تهدیدی برای حریم خصوصی افراد نیستند: آنها نشان‌دهنده نقض قطعیت حقوقی برای تمام داده‌های اروپایی هستند که از طریق زیرساخت‌های مشمول حوزه قضایی بریتانیا عبور می‌کنند. با مشروعیت بخشیدن به تضعیف رمزنگاری به نام امنیت عمومی، لندن به طور متناقضی متحدان و شرکای تجاری خود را در معرض خطرات جاسوسی صنعتی و دولتی قرار می‌دهد که معماری‌های دانش صفر دقیقاً برای جلوگیری از آنها طراحی شده‌اند.

یکپارچگی ارتباطات حرفه‌ای و نهادی اکنون نیازمند یک پاسخ ساختاری است: مهاجرت به سمت اکوسیستم‌های غیرمتمرکز که حاکمیت دیجیتال را از سطح کد تا لنگرگاه قضایی تضمین می‌کنند.