در سال ۲۰۱۱ پلیس دیترویت از یک اپراتور تلفن همراه سابقهی اتصال گوشی تیموتی کارپنتر به دکلها را خواست. ۱۲٬۸۹۸ نقطهی مکانی پراکنده در ۱۲۷ روز به دستش رسید، یعنی حدود صد نقطه در روز. هفت سال بعد، دیوان عالی ایالات متحده رأی داد که چنین درخواستی تفتیش به شمار میآید و نیازمند حکم قضایی است.
آن ۱۲٬۸۹۸ نقطه از دکلهای نسل چهارم میآمد که هر یک شعاعی چند کیلومتری را پوشش میداد. همان درخواست اگر امروز به یک شبکهی نسل پنجم شهری فرستاده شود، صد نقطه در روز با دقت چند کیلومتر برنمیگرداند. حجمی بسیار بیشتر برمیگرداند، با دقت چند ده متر.
مقیاس فناوری عوض شد. استدلال حقوقی اما در همان نقطهی زنجیره ماند.
منفعتی حقوقی که قضات دو سوی اقیانوس اطلس آن را میشناسند
منفعتی هست که تقریباً همه به آن اذعان دارند و تقریباً هیچ متنی بهطور مؤثر از آن حمایت نمیکند: حق بودن در جایی بدون آنکه این واقعیت ثبت شود.
رویهی قضایی اروپا این را بیابهام تثبیت کرده است. در پروندهی Digital Rights Ireland (پروندههای پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴) و سپس در Tele2 Sverige و Watson (پروندههای پیوسته C-203/15 و C-698/15، شعبهی بزرگ، ۲۱ دسامبر ۲۰۱۶)، دیوان دادگستری اتحادیهی اروپا رأی داد که این دادهها در مجموع خود امکان میدهند نتیجهگیریهای بسیار دقیقی دربارهی زندگی خصوصی اشخاص انجام شود: عادتهای زندگی روزمره، محلهای اقامت، جابهجاییها، فعالیتهای انجامشده و روابط اجتماعی.
دیوان عالی ایالات متحده در Carpenter v. United States ، 585 U.S. 296 (2018) به نتیجهای نزدیک رسید. بر نکتهای تأکید کرد که حقوقدانان آمریکایی بسیار دربارهاش نوشتهاند: ماهیت گریزناپذیر و خودکار این گردآوری. کسی به اتصال به یک دکل رضایت نمیدهد؛ متصل است چون گوشی روشنی در اختیار دارد.
پس منفعت حقوقی وجود دارد و دو دادگاهی که در این حوزه وزن دارند آن را به رسمیت میشناسند. مشکل جای دیگری است.
آنچه نسل پنجم واقعاً تغییر داد
خلط رایج آن است که مکان را دادهای بدانیم که گوشی ارسال میکند، درست مانند یک پیام یا یک عکس. چنین نیست. مکان نتیجهی فیزیکی کارکرد شبکه است. اپراتور میداند دستگاه به کدام دکل متصل است چون برای مسیریابی یک تماس ناگزیر باید بداند. هیچ کلیدی برای رمزگذاری این اطلاعات وجود ندارد، چون محتوا نیست بلکه ویژگی خودِ اتصال است.
دقیقاً همین است که نسل پنجم را در سطح حقوقی، و نه فنی، معنادار میکند.
معماریهای پیشین بر سلولهای پهن استوار بودند. یک دکل نسل چهارم معمولاً شعاعی چند کیلومتری را سرویس میدهد و موقعیتی که تنها از اتصال استنتاج میشد در شهر به صدها متر و در روستا گاه به دهها کیلومتر میرسید. نسل پنجم بر تراکم گسترده استوار است: سلولهای شهری معمولاً چند صد متر را پوشش میدهند و ادبیات مهندسی چگالیهایی در حدود چهل تا پنجاه ایستگاه پایه در هر کیلومتر مربع را در نظر میگیرد، در برابر چهار یا پنج در دورهی نسل سوم.
پیامد، مکانیکی است. بنا بر سند سفید اریکسون دربارهی مکانیابی در نسل پنجم ، زیرساختی که تنها برای اتصالپذیری مستقر شده به دقت بیست تا پنجاه متر در فضای باز و یک تا سه متر در فضای بسته میرسد و در شرایط مساعد شهری به زیر یک متر میرود. سخن از یک قابلیت مکانیابی که جایی روشن شده باشد نیست، بلکه از چیزی است که شبکه بنا بر ساختارش میداند، بدون نصب هیچ برنامهای و بدون اعطای هیچ مجوزی. همهی این سازوکارها و نیز اقدامهای متقابلی که واقعاً کار میکنند را در نوشتهمان دربارهی مکانیابی دائمی گوشی به تفصیل آوردهایم.
بنابراین میزان تعرض چند مرتبهی بزرگی افزایش یافته است. چارچوب حقوقی قابل اعمال همان است که برای نسل دوم و سوم اندیشیده شده بود. هیچ تطبیق هنجاریای همراه این تغییر مقیاس نبوده است.
حقوق از دسترسی حمایت میکند، نه از تولید
حقوق اروپا با دقت تعیین میکند چه کسی، تحت چه شرایطی و زیر چه نظارتی میتواند به دادههای مکانی دسترسی داشته باشد. دستورالعمل 2002/58/EC اصل محرمانگی ارتباطات را مینهد و دیوان دادگستری در پروندهی La Quadrature du Net (پروندههای پیوسته C-511/18، C-512/18 و C-520/18، شعبهی بزرگ، ۶ اکتبر ۲۰۲۰) رأی داد که مادهی ۱۵(۱) این دستورالعمل، در پرتو مواد ۷، ۸، ۱۱ و ۵۲(۱) منشور، مانع نگهداری عام و بدون تفکیک دادههای ترافیک و مکان بهصورت پیشگیرانه است. با این حال دیوان استثناهایی چارچوبدار را پذیرفت، آنجا که یک کشور عضو با تهدیدی جدی علیه امنیت ملی روبهروست که واقعی و کنونی یا قابل پیشبینی باشد، مشروط به نظارت مؤثر.
اینها حمایتهایی واقعیاند و کمشمردنشان بیهوده است. اما همگی پس از وقوع وارد میشوند. فرض میگیرند داده وجود دارد و نگهداری میشود، و آنگاه شرایط بهرهبرداری از آن را سامان میدهند.
اما اگر مکان محصول جانبی گریزناپذیر کارکرد شبکه باشد، نقطهی مداخلهی درست محرمانگی نیست. ماندگاری است.
موقعیتی لحظهای که برای مسیریابی یک ارتباط لازم است و بیدرنگ پس از آن پاک میشود، ابزار نظارت نیست. تاریخچهای از موقعیتها که ماهها نگهداری شود، هست، هر تضمین دسترسیای هم که پیرامونش باشد.
تفاوت این دو حقوقی نیست، معماری است. و تقویم اروپایی این پرسش را بهجای نظری، فوری میکند. کمیسیون در ۲۰۲۵ پیشنهاد مقررات ePrivacy را پس گرفت ، به دلیل نبود توافق میان قانونگذاران مشترک. از آن پس روی سندی جداگانه دربارهی نگهداری داده برای مقاصد کیفری کار میکند که برای ۲۰۲۶ اعلام شده و قرار است نظامهای ملی را که از زمان ابطال دستورالعمل ۲۰۰۶ پراکنده شدهاند هماهنگ کند. به بیان دیگر، متنی که برای یک دهه نظام فرادادههای مکانی را تعیین خواهد کرد هماکنون نوشته میشود، بر پایهی استدلالی که در دوران سلولهای کیلومتری شکل گرفته بود.
سابقهای که خود نسل پنجم ساخت
جالبترین وجه ماجرا این است که پاسخ درست پیشاپیش در استاندارد فنی آمده است، اما بر موضوعی دیگر اعمال شده.
تا نسل چهارم، شناسهی دائمی مشترک، یعنی IMSI، هنگام اتصال بهصورت آشکار روی رابط رادیویی منتقل میشد. همین بود که گیرندههای IMSI را ممکن کرد؛ همان ایستگاههای پایهی جعلی که بنا بر توصیف مرجع بنیاد مرزهای الکترونیک قویتر از دکلهای مشروع میتابند تا دستگاهها را جذب کنند و شناسهشان را بگیرند.
از Release 15 مشخصات 3GPP، منتشرشده در ۲۰۱۹، نسل پنجم پاسخی ظریف آورده است. شناسهی دائمی که اکنون SUPI نامیده میشود میتواند روی رابط رادیویی با SUCI جایگزین شود؛ شناسهای پنهانشده که از رمزگذاری بخش مخصوص مشترک با رمزنگاری خم بیضوی و با کلید عمومی اپراتور خانگی به دست میآید. تنها شبکهی خانگی که کلید خصوصی متناظر را دارد میتواند آن را بگشاید. نتیجه در هر محاسبه یکتاست و همین همبستهسازی نشستها را ناممکن میکند.
منطق برگزیده شایستهی تأکید است، زیرا دقیقاً همان منطقی است که باید راهنمای قانونگذار باشد: موقعیت را رمز نمیکنند، که از نظر فنی ناممکن است، هویت را رمز میکنند. موقعیتی که هویت قابل انتسابی نداشته باشد، برای نظارت فردی ارزش بسیار محدودی دارد.
رخنه: حمایتی اختیاری
با این همه تحفظی بزرگ در کار است و به نظر ما ملموسترین نقطهی مداخله در سراسر این پرونده همین است.
سند سفید NIST CSWP 36A ، منتشرشده در مارس ۲۰۲۶ از سوی مؤسسهی ملی استانداردها و فناوری، آن را بیپرده بیان میکند. دستگاهها و کارکردهای شبکهی منطبق با Release 15 یا پس از آن موظفاند از SUCI پشتیبانی کنند، اما فعالسازیاش اختیاری برای اپراتور میماند. سه شرط باید گرد هم آیند: سازندهی تجهیزات باید پشتیبانی کند، اپراتور باید آن را روی شبکهاش فعال کند و سیمکارت باید عناصر لازم برای محاسبه را داشته باشد.
به این یک دام پیکربندی هم افزوده میشود. استاندارد طرح حفاظتی صفر را پیشبینی کرده است که در آن قالب SUCI بهصورت صوری به کار میرود اما بدون رمزگذاری واقعی، چنانکه شناسه آشکار منتقل میشود. NIST مینویسد که لازم است اپراتور شبکهاش را با طرح حفاظتی غیرصفر پیکربندی کند و یادآور میشود که گزارشی از CSRIC، نهاد مشورتی کمیسیون ارتباطات فدرال، همان ۲۰۲۱ توصیه کرده بود طرح صفر تنها به تماسهای اضطراری از دستگاهی که برای شبکه ناشناخته است محدود شود.
این عبارت را باید همانگونه که هست نگه داشت. بهترین حمایت موجود در برابر ردیابی دستگاههای همراه از ۲۰۱۹ در استاندارد فنی وجود دارد. بر انتخابی پیکربندی استوار است که به صلاحدید اپراتور واگذار شده. یک نهاد فدرال آمریکایی مفید میداند در ۲۰۲۶ سندی منتشر کند تا یادآوری کند باید آن را روشن کرد. و هیچ سند حقوقی اروپایی آن را الزامی نمیکند.
باید افزود که SUCI پرونده را نمیبندد. کارهایی که با عنوان 5G SUCI-catchers: still catching them all? ارائه شدهاند حملههای پیوندپذیری را مستند میکنند که با وجود رمزگذاری امکان همبستهسازی دوبارهی نشستها را میدهند، و اگر مهاجم دستگاه را وادار به بازگشت به نسلی پیشین کند حفاظت بهکلی فرو میریزد. پس یک الزام حقوقی همهچیز را حل نمیکند. با این حال شکافی را از میان برمیدارد که هیچ توجیه دفاعپذیری ندارد: شکاف میان آنچه استاندارد اجازه میدهد و آنچه شبکههای تجاری انجام میدهند.
سه مداخلهی همساز
اگر این اندیشه را جدی بگیریم که مکان باید از مرحلهی طراحی کمینه شود نه آنکه پس از تولید حمایت شود، سه اقدام بهطور منطقی خود را تحمیل میکنند.
- الزامیکردن پنهانسازی مؤثر شناسه. الزام به فعالسازی SUCI و ممنوعیت طرحهای حفاظتی صفر در شبکههای تجاری، جز در مورد باقیماندهی تماسهای اضطراری. سخن از تجویز فناوریای نو یا تأمین مالی یک استقرار نیست، بلکه از الزام به فعالکردن قابلیتی است که هفت سال است استاندارد شده و از پیش در تجهیزات وجود دارد.
- نگهداری را استثنا بدانیم، نه پیشفرض. موقعیتی که برای مسیریابی یک ارتباط لازم است باید بهمحض انجام این کارکرد پاک شود. تشکیل یک تاریخچه باید توجیهی ویژه بطلبد. تفاوت میان شبکهای که میداند کجا هستید و شبکهای که به یاد دارد کجا بودهاید همین است.
- نگهداری کلید را عامل ارتباط مربوط قرار دهیم. استقرار سرورها در اتحادیه چندان معنایی ندارد اگر کلیدهایی که دادهها را خوانا میکنند جای دیگری باشند. معیار دارای اهمیت حقوقی باید تسلط مؤثر بر ابزارهای رمزگشایی باشد؛ پرسشی که آن را در بحث تعارض میان Data Act و CLOUD Act به تفصیل بررسی کردهایم.
زاویهای که Arpokrat دنبال میکند
این استدلال ویژهی حقوق ارتباطات نیست. همان است که بر انتخابهای معماری خودمان اعمال میکنیم و در یک جمله میگنجد: آنچه تولید نشده، نیازی به حفاظت ندارد.
به همین سبب ArpokratOS بهجای خاموشکردن GPS و بلوتوث و NFC در یک منو، آنها را در سطح هسته حذف میکند. یک کلید، یک سیاست است: مؤلفهای دارای امتیاز میتواند دورش بزند، یک بهروزرسانی میتواند دوباره روشنش کند، سامانهای که به خطر افتاده میتواند نادیدهاش بگیرد. حذف مسیر کد، خودِ پرسش را از میان برمیدارد. این در مقیاس یک دستگاه، همان جابهجاییای است که در مقیاس حقوق خواستارش هستیم: مداخله در تولید، نه در دسترسی.
بیدرنگ باید گفت این کار چه نمیکند. هیچ سیستمعاملی دستگاه را از هندسهی شبکه بیرون نمیبرد. تا وقتی سیمکارتی فعال باشد، اپراتور سلول اتصال را میداند و عبور دادن تمام ترافیک از Tor چیزی را عوض نمیکند، چون Tor از محتوا و مقصد حفاظت میکند نه از لایهی رادیویی. دقیقاً به همین دلیل موضوع حقوقی است. دستهای از خطرها هست که هیچ پیکربندی فردی آنها را کم نمیکند و تنها متغیر در دسترس برایشان قاعدهی حاکم بر اپراتور است.
همین دغدغه بر باقی کار ما نیز حاکم است. دادهای که وجود ندارد نه میتوان ضبطش کرد، نه فروختش، نه بیرونش کشید، و نه ده سال بعد با ماشینی که امروز کسی در اختیار ندارد رمزگشاییاش کرد؛ پرسشی که آن را از زاویهی رمزنگاری امروز برداشتشده و بعداً شکسته بررسی کردهایم.
نتیجه
بحث عمومی دربارهی نظارت بر تلفن همراه تقریباً بهطور کامل بر دسترسی متمرکز است: چه کسی میتواند دادهها را ببیند، بر چه مبنایی، با چه مجوزی. این بحث مشروع است و آرای دیوان دادگستری از ۲۰۱۴ به اینسو آثار ملموسی داشتهاند. اما در زنجیره خیلی دیر وارد میشود.
پرسش مقدمتر و تعیینکنندهتر این است که آیا اصلاً باید تاریخچهای وجود داشته باشد. پایگاهی که امروز به دلیلی مشروع ساخته میشود فردا برای دلیلی دیگر در دسترس میماند، و تضمینهای پیرامون آن به تصمیمهای سیاسی بعدی وابستهاند که در لحظهی گردآوری هیچکس مهارشان نمیکند. این شرطبندی بر ثبات نهادهاست، برای مدتی که هیچکس تعیینش نمیکند.
نسل پنجم تفکیکپذیری این اطلاعات را چند برابر کرد بیآنکه هیچ تطبیق هنجاریای رخ دهد. همزمان با سازوکار SUCI نشان داد که راه عملی، جداکردن موقعیت از هویت است نه تلاش برای رمزگذاری یک ویژگی فیزیکی شبکه. استاندارد فنی پاسخ را هفت سال پیش از آنکه حقوق پرسش را طرح کند فراهم کرده بود.
متن اروپایی دربارهی نگهداری داده هماکنون نوشته میشود. به فرادادهها مربوط خواهد بود، یعنی به مکان، یعنی به آنچه نسل پنجم اکنون با دقتی تولید میکند که نویسندگانش آن را نمیشناختند. اینکه آیا به ساماندادن دسترسی به تاریخچهای که مفروض گرفته شده بسنده میکند یا جسارت پرسیدن از ضرورت آن تاریخچه را دارد، احتمالاً مهمترین پرسش حریم خصوصی سالهای آینده در اروپاست. و پرسشی است که بخش فنی، برای یک بار هم که شده، پیشاپیش در جهت درست به آن پاسخ داده است.
منابع
- دیوان دادگستری اتحادیهی اروپا، Digital Rights Ireland ، پروندههای پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴
- دیوان دادگستری اتحادیهی اروپا، Tele2 Sverige و Watson ، پروندههای پیوسته C-203/15 و C-698/15، شعبهی بزرگ، ۲۱ دسامبر ۲۰۱۶
- دیوان دادگستری اتحادیهی اروپا، La Quadrature du Net و دیگران ، پروندههای پیوسته C-511/18، C-512/18 و C-520/18، شعبهی بزرگ، ۶ اکتبر ۲۰۲۰
- دیوان عالی ایالات متحده، Carpenter v. United States ، 585 U.S. 296، ۲۰۱۸
- مؤسسهی ملی استانداردها و فناوری، Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) ، NIST CSWP 36A، مارس ۲۰۲۶
- اریکسون، 5G positioning: Locating devices anywhere
- Merlin Chlosta و دیگران، 5G SUCI-catchers: still catching them all? ، ACM WiSec، ۲۰۲۱
- بنیاد مرزهای الکترونیک، Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
- European Digital Rights، The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
- heise online، Data Retention: Commission to present proposal by mid-2026