زمانی که در یک وب سایت ثبت نام می کنید و با وارد کردن اطلاعات، دکمه عضویت را می فشارید، تا چه اندازه به آینده داده های خود در آن پلتفرم فکر می کنید؟ شاید این مساله در نگاه اول چندان مهم به نظر نرسد، اما مساله ای که اخیرا برخی از کاربران شبکه اجتماعی ایکس به آن اشاره کرده اند، نشان داد که داستان جدی تر از چیزی است که گمان می شود و شاید بهتر است قبل از فشردن دکمه عضویت، دقت بیشتری به خرج دهیم. تصور کنید که شما با شماره تلفن فعلی خود، در چند پلتفرم و وب سایت عضو شده اید و حالا به هر دلیلی -اعم از فروش آن خط تلفن یا غیرفعال شدن از سوی اپراتور- دسترسی خود به آن شماره تلفن را از دست داده اید.

چه بلایی قرار است بر سر داده های شما در آن حساب های کاربری که از طریق آن خط تلفن و با نام شما در پلتفرم های مختلف ایجاد شده بیاید؟ آیا می توان اطلاعات را حذف کرد یا احتمالا مالک بعدی این شماره تلفن، با کمی تلاش می تواند به حساب های پیشین شما دست پیدا کند؟ این مساله بار دیگر باب صحبت از یک حق نسبتا فراموش شده را برای کاربران ایرانی باز کرده است؛ «حق فراموش شدن.» این حق حالا به واسطه وضع قوانین و مقرراتی مانند آنچه اتحادیه اروپا در GDPR مورد توجه قرار گرفته، نزد اکثر پلتفرم های خارجی پذیرفته شده است. اما این حق هنوز در ایران آن طور که باید جدی گرفته نمی شود و شرکت های مالک پلتفرم ها به سادگی حاضر به دل کندن از داده های کاربران نیستند.

هر کاربر به فراخور سن، موقعیت و نیاز ممکن است در پلتفرم هایی عضویت داشته باشد که پس از چند سال تمایلی به باقی ماندن ردی از حضور خود در آن فضا نداشته باشد یا حتی نسبت به آن اطلاعاتی که از او در دسترس قرار می گیرد، نگران باشد. با الزام حفظ حریم خصوصی افراد، قانون این حق را برای فرد محفوظ دانسته که خواهان حذف اطلاعات خود از پلتفرم های مختلف فعال در سطح وب شود و پلتفرم ها نیز ملزم به آن هستند که آن دسته از اطلاعاتی را که در دسته داده های شخصی فرد قرار می گیرند، حذف کنند. اما ماجرا به همین سادگی نیست. گاهی موانعی سد راه شرکت ها در حذف این اطلاعات می شوند و گاهی نیز حذف اطلاعات، آن طور که به نظر می رسد به طور کامل انجام نمی شود. همین امر باعث شده تا حول موضوع رعایت این حق، اما و اگرهای زیادی مطرح شود.

از دو سال پیش «پروژه حق فراموش شدن» به اساس کار فعالیت یک وب سایت ایرانی تبدیل شده که بنیان گذاران آن می کوشند با افزایش شفافیت حول رعایت این حق در پلتفرم های مختلف ایرانی، هم در مسیر هدایت شرکت ها به پایبندی به این حق قدم بردارند و هم کاری کنند که کاربران پیش از ثبت نام و درج اطلاعات در یک وب سایت، با دید بازتری نسبت به برگشت پذیر بودن یا نبودن این عضویت فکر کنند. با استفاده از افزونه ای که این تیم طراحی کرده اند، کاربران می توانند پیش از عضویت در هر وب سایت، امکان حذف حساب کاربری (یا به اصطلاح دیلیت اکانت) در هر پلتفرم و میزان دشواری انجام آن در یک پلتفرم خاص را چک کنند و س‍پس تصمیم بگیرند. آمارهای این پروژه نشان می دهد که در این مدت حدود 180 پلتفرم در سرویس «حق فراموش شدن» ثبت شده اند و میزان سختی حذف حساب کاربری در آنها، در چهار سطح مختلف (از غیرممکن تا ساده) مورد بررسی قرار گرفته است.

بر اساس تحلیل انجام شده توسط این تیم در 126 مورد از 180 پلتفرم ثبت شده، امکان حذف اکانت توسط کاربر عملا غیرممکن است. در 42 پلتفرم، حذف حساب کاربری نیاز به ارسال پیام درخواست (تیکت) به پشتیبانی آن شرکت داشته است. در 4 پلتفرم، امکان حذف اکانت در چند مرحله امکان پذیر است و تنها 12 پلتفرم فرآیند ساده ای برای حذف حساب کاربری تعریف کرده اند. همین آمار اولیه به خوبی گویای آن است که وضعیت احترام به «حق فراموش شدن» در ایران تا چه اندازه وخیم است.

با جست وجوی نام شرکت ها و سرویس های مختلف در بخش دایرکتوری این پروژه، می توان جزئیاتی از وضعیت در نظر گرفتن امکان حذف اطلاعات در آن پلتفرم را مشاهده کرد. مثلا جست وجوی نام دیجی کالا در این دایرکتوری نشان می دهد که اگرچه امکان حذف حساب کاربری در نظر گرفته شده، اما انجام آن در عمل بسیار سخت است؛ زیرا برای این کار لازم است فرد از طریق فرم «تماس با ما» تصویر کارت ملی را ارسال و فرم درخواست را پر کند.

اگرچه طبق نتایج این پروژه، آپارات، محصول صبا ایده در دسته سرویس هایی است که میزان دشواری حذف یک حساب کاربری در آن متوسط برآورد شده، اما فیلیمو دیگر محصول این شرکت امکانی برای حذف حساب کاربری ندارد. جست وجوی نام اسنپ، تپسی، دیوار، بازار، کارنامه، فیدیبو، زرین پال، ازکی، نماشا و... که همگی از پلتفرم های پرکاربرد و شناخته شده داخلی به حساب می آیند، نیز مصادف با نمایش این عبارت است: «غیرممکن. امکان حذف در این پلتفرم وجود ندارد.» با این حال مثلا اسنپ مدعی است که امکان حذف اطلاعات حسب درخواست کاربر را فراهم کرده است و کاربران با ثبت درخواست پشتیبانی می توانند این خواسته را عملی کنند. طبق توضیحاتی که تیم روابط عمومی اسنپ در اختیار «دنیای اقتصاد» گذاشته است: «کاربران اسنپ برای حذف حساب کاربری شان می توانند درخواست خود را از طریق سوپراپلیکیشن ثبت کنند و تیم پشتیبانی پس از بررسی درخواست ، در یک بازه زمانی 14 روزه، حساب کاربری را حذف می کند. در ادامه نتیجه این درخواست از طریق ارسال پیامک به شماره تلفن متصل به حساب کاربری به کاربر اعلام خواهد شد.»

سوالی که مطرح می شود آن است که اساسا با ثبت این درخواست و اعمال فرآیند حذف از سوی شرکت، داده های کاربران تا چه اندازه پاک می شوند؟ آیا این حذف به صورت کامل اتفاق می افتد یا صرفا با اعمال تغییراتی از داده های فرد «سلب هویت» می شود. طبق توضیحات روابط عمومی این شرکت، مشخص می شود که گویا حذف حساب کاربری در این سوپرآپ نیز آنچنان کامل نیست؛ مثلا عمق حذف اطلاعات در این پلتفرم به گونه ای است که با حذف حساب کاربری در «سوپراپلیکیشن»، حساب کاربری در سرویس خودرو و سرویس اعتباری اسنپ پی، موجودی کیف پول، اطلاعات سفرها از جمله تاریخچه سفرها و تراکنش های مالی حذف می شوند و امتیازهای اسنپ کلاب و تخفیف ها نیز صفر می شوند؛ اما سرویس های دیگر از جمله غذا، سوپرمارکت و... همچنان با همان حساب کاربری در دسترس هستند. تیم اسنپ در ادامه توضیحات خود تاکید کرد: «حساب کاربری حذف شده قابل برگشت نیست، اما کاربران می توانند با همان شماره تلفن حساب جدیدی بسازند و دوباره از خدمات اسنپ استفاده کنند.»

ادامه بررسی این دایرکتوری نشان می دهد که گویا وضعیت احترام به «حق فراموشی» در مورد شبکه های اجتماعی داخلی تا حدی بهتر است. جست وجوی نام سه پیام رسان ایتا، بله و سروش پلاس در این دایرکتوری نشان می دهد که امکان حذف حساب کاربری در این پلتفرم ها وجود دارد و فرآیند آن نیز ساده است. امکان حذف حساب کاربری در روبیکا، دیگر شبکه اجتماعی بومی نیز فراهم شده، اما طبق اطلاعات ارائه شده، فرآیند حذف اطلاعات در این پلتفرم در سطح «دشوار» برآورد شده است. بر اساس توضیحات ارائه شده، در نسخه جدید اپلیکیشن موبایل روبیکا، در این برنامه امکان حذف حساب کاربری بعد از گذشت 7 روز از نصب و لاگین توسط نرم افزار اندرویدی وجود دارد. اما هنوز در نسخه دسکتاپ (وب) این فرآیند میسر نیست. با تمام اینها نمی توان درستی ادعای حذف کامل اطلاعات در این پلتفرم ها را تایید یا رد کرد.

ارزشمندی داده برای یک شرکت و پتانسیل های زیادی که می تواند برای کمک به بهبود طراحی محصول، بازاریابی و فروش سرویس داشته باشد، بر کسی پوشیده نیست. همین مساله باعث شده تا در فضای فعلی که قانون چندان دست و پای کسب و کارها را در جمع آوری داده از کاربران نبسته است، حداکثر داده ممکن از کاربر جمع آوری شود. از سوی دیگر نیز شرکت ها رغبت چندانی برای دل کندن از این داده ها ندارند و به این ترتیب تمایل کاربران برای پاک کردن ردپای دیجیتال خود و بهره مندی از حق فراموشی، چندان جدی گرفته نمی شود. اما وقتی پای صحبت شرکت ها می نشینیم، مشخص می شود که گویا این ارزشمندی، تنها دلیل مقاومت در برابر ارائه گزینه «دیلیت اکانت» نیست و عوامل دیگری نیز در این مساله دخیلند.

زرین پال یکی از نمونه هایی است که اگرچه در حال کار روی فراهم کردن امکانی برای حذف حساب کاربری طی ثبت درخواست است، اما تاکید دارد که عملا قادر به حذف کامل اطلاعات نیست. این شرکت پاسخگویی به نهادهای بالادستی و الزامات قانونی تعریف شده را از جمله عواملی می داند که باعث شده این شرکت ناچار به نگهداری داده ها تا 10 سال باشد و آن طور که مشخص است، این حساسیت برای اکثر شرکت هایی که سرویس مالی ارائه می دهند صدق می کند.

مصطفی امیری، مدیرعامل زرین پال در یک مصاحبه با اشاره به موانع قانونی موجود کشور در مسیر اجرای کامل حق فراموش شدن در پلتفرم های داخلی تاکید می کند: اساسا در صنعت مالی، قانون پلتفرم ها و سرویس دهندگان را ملزم کرده تا به مدت 10 سال، تمام تراکنش ها و سابقه رخدادهای مرتبط با هر کاربر را نگهداری کند تا هم رسیدگی مالیاتی لازم در این مدت انجام شود و هم اینکه هر زمان مقام قضایی حسب شکایتی خواستار بررسی یک حساب شد، امکان ارائه جزئیات آن حساب وجود داشته باشد. وی معتقد است که همین الزام باعث می شود شرکت های فعال در این حوزه تا حد ممکن، در مقابل تقاضای کاربر برای حذف یا بی نام کردن اطلاعات مقاومت کنند تا از دردسرهای آتی جلوگیری شود. طبق اظهارات این فعال صنعت فین تک، گویا حذف اطلاعات حتی پس از گذشت 10سال نیز منوط به آن است که هیچ شکایتی مرتبط با آن کاربر ثبت نشده باشد و وضعیت مالی حساب وی با شرکت سرویس دهنده نیز در حالت تسویه کامل باشد.

آن طور که کارشناسان حقوقی می گویند، گویا صنعت مالی تنها حوزه ای نیست که برای حذف اطلاعات در آن حدود زمانی تعریف شده و برای نگهداری برخی اطلاعات در مجموعه هایی مانند اپراتورهای تلفن همراه یا پیام رسان ها نیز حداقل زمان 6ماه در نظر گرفته می شود. محمد جعفر نعناکار، حقوقدان، در تشریح این موضوع به «دنیای اقتصاد» می گوید: با وجود محدودیت های زمانی تعریف شده برای حوزه های خاص، هیچ کدام از این محدودیت ها مانعی در برابر آن نیست که شما به عنوان یک کاربر، خواهان حذف اطلاعات پروفایل خود از یک پلتفرم باشید و اگر چنین امکانی از سوی پلتفرم یا سرویس دهنده در اختیار کاربر قرار نگیرد، این امکان وجود دارد تا شخص از طریق مراجع قضایی وارد عمل شود و درخواست حذف اطلاعات کند.

نعناکار در پاسخ به این سوال که آیا ناشناس کردن اطلاعات یا مخفی کردن آنها از دید عموم، خلاف حق فراموشی است یا خیر می گوید: داده هایی که می توان حق فراموشی را برای آنها قائل شد، در دو دسته قرار می گیرند: یکی داده های پروفایلی کاربر و دیگری داده هایی که حاصل فعالیت او در آن پلتفرم هستند. وی تاکید می کند: «چنانچه کاربر خواهان حذف داده اش از یک پلتفرم باشد، شرکت مالک آن پلتفرم موظف است تمام آن را حذف کند و نمی تواند بدون اجازه کاربر، بخشی از داده را برای استفاده های بعدی (شامل تحلیل داده) مورد بهره برداری قرار دهد؛ زیرا در اغلب موارد بر اساس قانون حمایت از حقوق مولفین، مصنفین و هنرمندان و همچنین قانون حمایت از پدیدآورندگان نرم افزارهای رایانه ای، حمایت از مترجمین یا قانون مرتبط با ثبت علائم تجاری، چنین داده هایی در دسته مواردی قرار می گیرند که مالکیت بر آن مترتب است و اگر مالک تقاضای حذف داده داشته باشد، میزبان باید به حق مالک احترام بگذارد و دستور وی را اجابت کند.»

این حقوقدان معتقد است: «اکنون و طبق قوانین موجود، مفهوم حریم خصوصی و صیانت از داده تا حدی مبهم است. در واقع به صورت صریح مشخص نشده که چه داده هایی را در دسته داده های خصوصی قرار دهیم؛ چگونه از آنها محافظت کنیم؛ حدود دسترسی و پردازش آنها چگونه باشد؛ مرجع تخصصی مسوول این موضوع کیست و... در نتیجه جا دارد که قانونگذار توجه جدی تری به این حوزه داشته باشد.»

با تمام موانعی که ذکر شد، اما کماکان این الزام قابل اجراست؛ کما اینکه بسیاری از پلتفرم های خارجی اکنون این حق را به رسمیت شناخته و برای رفع چالش های موجود راهکاری اندیشیده اند. معین اسدزاده، برنامه نویس و از فعالان حوزه آی تی در گفت وگوی خود با «دنیای اقتصاد» به تشریح این بعد از مساله پرداخته و می گوید: یکی از مهم ترین گام هایی که پلتفرم ها و شرکت های ارائه دهنده خدمات دیجیتال باید در این مسیر بردارند آن است که تا جای ممکن، دیتای غیرضروری از کاربر دریافت نکنند. این مساله هم از بعد حفظ امنیت اطلاعاتی کاربر مهم است و هم مسوولیت پلتفرم در قبال فراهم کردن راهکار حذف اطلاعات را تا حدی سبک می کند. وی در ادامه می افزاید: از سوی دیگر، پلتفرم ها باید خود را ملزم بدانند که قوانین و مقررات جمع آوری و حفظ داده های کاربران را با بیانی ساده اما دقیق، در اختیار کاربر قرار دهند. به گونه ای که فرد با مطالعه این اسناد بتواند کاملا در جریان این قرار بگیرد که چه داده ای از او دریافت شده و در چه مواردی و چگونه قرار است از آن استفاده شود. به اعتقاد این کارشناس در میان اطلاعاتی که از حضور و فعالیت کاربر در یک پلتفرم ایجاد می شود، همواره داده هایی وجود دارد که ثبت و نگهداری آنها کمکی به سیاستگذار یا مجری قانون نمی کند و معمولا درخواستی از سوی نهادهای رسمی برای بررسی این داده ها دریافت نمی شود. مثلا می توان داده حاصل از ردیابی فعالیت کاربر یا داده های تحلیلی از مدل فعالیت وی را در این دسته گنجاند. اسدزاده تصریح می کند: بهتر است پلتفرم ها چنین داده هایی را بعد از گذشت یک مدت زمان مشخص، به حالت ناشناس (unknown) که هویت مالک آن قابل تشخیص نیست تبدیل کنند تا به این ترتیب ریسک افشای اطلاعات خصوصی کاربران و باقی ماندن ردی از فعالیت آنها در فضای مجازی به حداقل برسد. اسد زاده تاکید می کند که این رویکرد را می توان حتی در مورد داده های حساس تری که از دید قانون گذار، مدت زمان مشخصی برای نگهداری و ارائه آنها تعریف شده نیز اجرا کرد و به محض طی شدن بازه زمانی مثلا 10 ساله، داده را ناشناس کرد.

با تمام اینها، اگر شما نیز به عنوان یک کاربر دغدغه دارید تا پلتفرم ها احترام بیشتری به این حق شما بگذارند، می توانید نقش خود را در مطالبه گری برای این حق ایفا کنید. در همین راستا، از حدود یک سال پیش کارزاری با عنوان «حق فراموش شدن» نیز تعریف شده است که بر لزوم رعایت این موضوع در مورد کاربران ایرانی تاکید می کند. این اقدام در واقع یک کنش مدنی برای جلب نظر سیاستگذار به موضوع فراهم شدن امکان حذف اطلاعات کاربران در پلتفرم هاست.