قانون حفاظت از داده on Arpokrat

سیگنال‌تریس: اروپا نظارتی را صادر می‌کند که به خود اجازه‌اش را نمی‌دهد

Tue, 01 Sep 2026 00:00:00 +0000

یک سدان خاکستری با سرعت ۱۱۰ کیلومتر بر ساعت از زیر دروازهٔ بزرگراه می‌گذرد. دوربین نصب‌شده بر تیرک پلاک را می‌خواند، زمان را ثبت می‌کند، و آن را ذخیره می‌کند. چیز تازه‌ای در کار نیست: این تجهیزات بیست سال است وجود دارند و ده‌ها هزار نمونه از آن‌ها هم در آمریکای شمالی و هم در اروپا نصب شده است.

اما اگر آن دروازه ماژولی را دریافت کرده باشد که گروه ایتالیایی لئوناردو از ژوئن ۲۰۲۶ به بازار عرضه می‌کند، همین حالا چیز دیگری هم ثبت کرده است. آیفون راننده. هدفون بی‌سیم سرنشین. ساعت هوشمند روی داشبورد. رادیوپخش خودرو. جاکلیدی متصل داخل داشبورد. حسگرهای فشار هر چهار لاستیک. کارت ورودی که در جیب کت جا مانده است. و اگر سگی عقب خوابیده باشد، تراشهٔ شناسایی‌اش را هم.

ده‌ودوازده شناسه، یک پلاک، یک موقعیت، یک ساعت. این را در هر دروازهٔ شبکه تکرار کنید و دیگر یک خودرو را دنبال نمی‌کنید: آدم‌ها را دنبال می‌کنید و می‌دانید با چه کسی جابه‌جا می‌شوند.

این دستگاه واقعاً چه می‌کند

نام محصول SignalTrace است. Leonardo US Cyber and Security Solutions آن را می‌فروشد و مکمل خانوادهٔ ELSAG است، یکی از پرکاربردترین خطوط پلاک‌خوان خودکار در بازار آمریکا. وجود آن را در ۸ ژوئن ۲۰۲۶ جوزف کاکس در 404 Media بر پایهٔ برگهٔ محصول سازنده افشا کرد.

نکتهٔ تعیین‌کننده در یک جمله جا می‌شود: بحث بر سر دوربین‌های تازه نیست. SignalTrace حسگری رادیویی است که به پلاک‌خوان‌های ازپیش‌نصب‌شده افزوده می‌شود. تیرک تغییر نمی‌کند، محل تغییر نمی‌کند، ظاهر تجهیزات کنار جاده تغییر نمی‌کند. آنچه تغییر می‌کند این است که این تجهیزات به چه چیزی گوش می‌دهند.

حسگر شناسه‌هایی را ثبت می‌کند که پروتکل‌های بلوتوث، وای‌فای و RFID دستگاه‌های داخل خودرو به‌صورت آشکار پخش می‌کنند. نکتهٔ فنی‌ای که اغلب بد فهمیده می‌شود: هیچ دستگاهی هک نمی‌شود و از هیچ آسیب‌پذیری‌ای سوءاستفاده نمی‌شود. دستگاه بلوتوثی یا وای‌فای پیوسته قاب‌های کشف می‌فرستد، چون این پروتکل‌ها همین‌گونه طراحی شده‌اند. هدفون شما حضورش را اعلام می‌کند تا تلفن پیدایش کند، و خود تلفن هم فضای پیرامون را برای یافتن شبکه‌هایی که می‌شناسد می‌کاود. این ارسال‌ها بنا بر ساختار عمومی‌اند و هر گیرنده‌ای در برد آن‌ها را می‌شنود.

لئوناردو خود نیز تصریح می‌کند که این سامانه با پلاک‌خوان یا بدون آن کار می‌کند، از جمله در فضای بسته، و خودرویی را که پلاکش پوشانده یا برداشته شده نیز بازمی‌شناسد.

مسئلهٔ سیاسی واقعی همین ارتقای تجهیزات موجود است. نصب یک شبکهٔ دوربین تازه رأی‌گیری، شور و گاه دعوای حقوقی به دنبال دارد. افزودن یک برد الکترونیکی درون جعبه‌ای که پیش‌تر تأیید شده هیچ چیز به دنبال ندارد. توان نظارت بدون بحث عمومی ماهیت خود را عوض می‌کند، چون از نظر مادی چیز تازه‌ای برای دیدن نیست.

از خودرو به شخص، و از شخص به گروه

پلاک‌خوان به یک پرسش پاسخ می‌دهد: این خودرو کجا بوده است. SignalTrace دو پرسش دیگر می‌افزاید: چه کسی درون آن بوده، و با چه کسی.

لئوناردو این را پنهان نمی‌کند، همین استدلال فروش است. سامانه چیزی می‌سازد که مستندات آن را اثر انگشت الکترونیکی می‌نامد، مجموعه‌ای از شناسه‌ها که «غالباً با هم فرستاده می‌شوند». مثال سازنده صریح است: در یک شهر کامل، تنها یک خودرو آیفون 13rev2، رادیوپخش آئودی، هدست بوز، ساعت گارمین، ردیاب کلید و پلاک ABC-1234 را کنار هم خواهد داشت.

این محصول تنها خودروها را دنبال نمی‌کند. به‌طور خودکار گرافی از روابط میان اشخاص تولید می‌کند، بی‌آنکه کسی ناچار باشد کوچک‌ترین ظنی را صورت‌بندی کند.

جهش کیفی همین‌جا رخ می‌دهد. سامانه با هم‌بسته‌کردن دستگاه‌هایی که مرتب با هم سفر می‌کنند، به‌طور مکانیکی گرافی اجتماعی می‌سازد. دو تلفن که هر صبح در یک خودرو کنار هم می‌آیند یا هم‌سفری‌اند یا رابطه‌ای که هیچ‌کدام نمی‌خواهند علنی شود. پنجاه دستگاه که در یک مکان و یک ساعت ثبت می‌شوند یعنی یک گردهمایی: یک تظاهرات، یک مراسم دینی، یک نشست صنفی یا صفی جلوی یک درمانگاه.

هیچ‌یک از این نتیجه‌گیری‌ها نیازمند دسترسی به محتوای یک ارتباط نیست. از جدولی از مجاورت استنتاج می‌شود، به‌طور پیش‌فرض، دربارهٔ کل جمعیت در حال تردد و نه دربارهٔ اهدافی مشخص. این مجرمیت به سبب معاشرت است، تولیدشده در مقیاس صنعتی، پیش از هر تحقیقی. تام باومن، حقوق‌دان Center for Democracy & Technology، مسئله را در TechNewsWorld چنین خلاصه می‌کند: آنچه این ابزار را برای تعقیب یک مظنون واقعی سودمند می‌کند، آن را به همان اندازه توانا می‌سازد که همهٔ رانندگان دیگر را نیز دنبال کند، رانندگانی که هیچ‌یک به ثبت دستگاه‌هایشان رضایت نداده‌اند.

لئوناردو دو استدلال در برابر می‌گذارد: سامانه محتوای ارتباطات را نه رمزگشایی می‌کند و نه می‌خواند، و به خودی خود هویت اشخاص را تعیین نمی‌کند. هر دو گزاره درست‌اند و هر دو بی‌ربط. اطلاعاتی که جست‌وجو می‌شود هرگز محتوا نبوده است، در فرادادهٔ موقعیت نهفته است که از یک پیام گویاتر است. دربارهٔ شناسایی هم، خود سازنده می‌پذیرد که بازپرس می‌تواند یک امضای الکترونیکی را به یک پلاک پیوند بزند و سپس از راه سوابق شماره‌گذاری به مالک برسد.

حقوقی آمریکایی که برای چیز دیگری نوشته شده

در ایالات متحده قوانین ایالتی ناظر بر پلاک‌خوان‌ها وجود دارد و برخی دربارهٔ مدت نگهداری و اهداف دسترسی سخت‌گیرند. اما همه پیرامون یک موضوع دقیق نوشته شده‌اند: تصویر یک پلاک خودرو. هیچ‌یک ثبت شناسه‌های دستگاه‌های شخصی توسط همان تجهیزات را پیش‌بینی نمی‌کند.

این ناهم‌خوانی نه بی‌قانونی، که منطقه‌ای خاکستری می‌سازد که برای فروشنده راحت‌تر است. یک ادارهٔ پلیس می‌تواند بی‌آنکه دروغ بگوید بگوید برنامهٔ پلاک‌خوانش مجاز و منطبق است، در حالی که از این پس زیر همان رژیم داده‌هایی با ماهیتی کاملاً متفاوت گرد می‌آورد. لئوناردو افزون بر این قراردادهای فدرال دارد، با Special Operations Command و General Services Administration، یعنی مسیر خریدی که تأییدهای محلی را تا حد زیادی دور می‌زند.

بحث قانون اساسی هم تازه تکان خورده است، و اینجا باید دقیق بود چون وضع حقوقی این تابستان تغییر کرد. در ژانویهٔ ۲۰۲۶ دادگاهی فدرال در ویرجینیا در پروندهٔ Schmidt v. City of Norfolk رأی داد که شبکهٔ دوربین Flock شهر تفتیش محسوب نمی‌شود به معنای متمم چهارم، چون همهٔ جابه‌جایی‌های ساکنان را پوشش نمی‌دهد. این رأی در مرحلهٔ تجدیدنظر در حوزهٔ چهارم است، جایی که ACLU وارد شده است.

سپس در ۲۹ ژوئن ۲۰۲۶ دیوان عالی رأی Chatrie v. United States را صادر کرد. با پنج رأی در برابر چهار، به قلم قاضی کیگن، مقرر داشت که تحصیل داده‌های موقعیت یک تلفن توسط پلیس تفتیش است، زیرا فرد انتظار معقول حریم خصوصی نسبت به این داده‌ها را حفظ می‌کند، حتی وقتی نزد شخص ثالث باشد و حتی برای مدتی کوتاه. این رأی Carpenter v. United States سال ۲۰۱۸ را امتداد می‌دهد و دکترین شخص ثالث را تضعیف می‌کند، چنان‌که CDT یادآور شده است.

دامنهٔ دقیق Chatrie دربارهٔ SignalTrace روشن نیست و ادعای خلاف آن بی‌احتیاطی است: رأی ناظر بر داده‌هایی است که از گوگل خواسته شده، نه بر ثبت مستقیم توسط حسگر پلیس در فضای عمومی. اما استدلالی را مستقر می‌کند که اهمیت دارد، یعنی اینکه حساسیت یک دادهٔ موقعیت به این بستگی ندارد که چه کسی آن را در اختیار دارد.

پرسش اروپایی، که پرسش اصلی است

اینجاست که پرونده برای اروپا آزاردهنده می‌شود. لئوناردو تأمین‌کننده‌ای آمریکایی نیست، بلکه گروهی ایتالیایی است پذیرفته‌شده در بورس میلان که سهام‌دار نخست آن وزارت اقتصاد و دارایی ایتالیا با حدود ۳۰ ٪ سرمایه است و اختیار تعیین اکثریت هیئت‌مدیره را دارد. دولت ایتالیا در این محصول سهام‌داری منفعل نیست.

نخست نکتهٔ فنی

در حقوق اروپا، شناسهٔ یک دستگاه دادهٔ شخصی است. این نظری دکترینی نیست بلکه موضع پایدار مقامات است. CNIL نشانی MAC را در دکترین خود دربارهٔ سامانه‌های سنجش تردد صراحتاً چنین تلقی می‌کند و گردآوری آن در فضای عمومی را تنها با شرایطی تنگ می‌پذیرد: ناشناس‌سازی در چند دقیقه با نرخ برخورد بالا میان افراد، یا نام‌مستعارسازی مطمئن و سپس نابودسازی ظرف بیست‌وچهار ساعت، وگرنه رضایت الزامی می‌شود. همان دکترین تصریح می‌کند که دعوت مردم به خاموش‌کردن وای‌فای شیوهٔ قابل قبولی برای اعتراض نیست.

دیوان دادگستری اتحادیهٔ اروپا در ۴ سپتامبر ۲۰۲۵ در پروندهٔ EDPS علیه SRB (C-413/23 P) روشن کرد که شخصی‌بودن یک دادهٔ نام‌مستعارشده در پرتو ابزارهای بازشناسایی‌ای سنجیده می‌شود که به‌طور معقول قابل به‌کارگیری‌اند. حال آنکه اینجا دارنده یک مقام پلیسی است که سوابق شماره‌گذاری را در اختیار دارد. ابزارهای بازشناسایی فرضی نیستند، در اتاق بغلی‌اند.

ظرافتی که همه چیز را عوض می‌کند

نوشتن اینکه SignalTrace «در اروپا غیرقانونی خواهد بود» نادرست است و خوانندهٔ حقوق‌دان بی‌درنگ متوجه می‌شود. پردازشی که یک مقام صالح برای اهداف پیشگیری و تعقیب کیفری انجام می‌دهد مشمول GDPR نیست. مشمول دستورالعمل (اتحادیهٔ اروپا) ۲۰۱۶/۶۸۰ است، موسوم به دستورالعمل پلیس و دادگستری، که هر کشور عضو جداگانه آن را به حقوق داخلی خود منتقل می‌کند، در فرانسه در باب سوم قانون اطلاعات و آزادی‌ها. CNIL یادآور می‌شود که این رژیم مستقل است، با مبانی مشروعیت و حقوق ویژهٔ خود.

پرسش درست بنابراین پرسش مشروعیت انتزاعی نیست، بلکه پرسش شرایط است. زیر این رژیم، چنین سامانه‌ای مستلزم مبنای قانونی ملی صریح، اهداف معین، ضرورت اثبات‌شده، مدت نگهداری محدود، ارزیابی اثر و نظارت مستقل است. در فرانسه پلاک‌خوان‌ها همین‌گونه تنظیم شده‌اند: مواد L233-1 و L233-1-1 قانون امنیت داخلی فهرستی حصری از جرایمی را تعیین می‌کنند که کاربرد آن‌ها را مجاز می‌سازد، و مدت نگهداری همچنان از کوتاه‌ترین‌ها در اتحادیه است، اصولاً پانزده روز، هرچند طرحی در مجلس سنا در پی افزایش آن است.

این تفاوت بنیادی با وضعیت آمریکاست. در ایالات متحده قانون یک موضوع را تنظیم می‌کند، پلاک را، و سکوت دربارهٔ شناسه‌های دستگاه‌ها در حکم اجازه است. در اروپا قانون اهداف و دسته‌های داده را تنظیم می‌کند و این سکوت، در نبود مبنای قانونی صریح، بیشتر در حکم ممنوعیت است. خلائی که آن سوی اقیانوس دیده می‌شود اینجا به همان شکل وجود ندارد. نه از آن رو که اروپا فضیلت‌مندتر است: فن حقوقی‌اش وارونه است.

پس این حمایت چه ارزشی دارد

پرسشی می‌ماند که این نوشته برای آن است. حمایت مقرراتی اروپایی چه ارزشی دارد وقتی یک شرکت اروپایی، تحت کنترل یک کشور عضو، بیرون از اروپا توانی را می‌فروشد که در خانهٔ خود بدون قانونی تازه نمی‌تواند مستقر کند؟

ایرادها شایستهٔ توجه جدی‌اند. یک صنعتگر مسئول چارچوب قانونی مشتری‌اش نیست: تصمیم دربارهٔ آنچه در خاک خود مجاز می‌دانند با مقامات آمریکایی است. محصول به یک دیکتاتوری فروخته نمی‌شود بلکه به یک دولت حقوقی با دیوان عالی فعال، چنان‌که Chatrie همین حالا یادآوری کرد. و استدلال حاکمیت صنعتی مشروع است: اگر گروه‌های اروپایی این بازارها را بر خود ببندند، تأمین‌کنندگان اسرائیلی، آمریکایی یا چینی آن‌ها را می‌گیرند، بی‌آنکه نظارت یک متر عقب بنشیند، و اروپا پایگاه فناورانه‌اش را از دست می‌دهد.

این استدلال‌ها پذیرفتنی‌اند. اما به مسئله پاسخ نمی‌دهند.

نخست از آن رو که اتحادیه پیشاپیش پذیرفته است که صدور ابزارهای نظارت تجارتی مانند دیگر تجارت‌ها نیست. مقررات (اتحادیهٔ اروپا) ۲۰۲۱/۸۲۱ دربارهٔ کالاهای دومنظوره در مادهٔ ۵ خود بندی فراگیر ناظر بر کالاهای نظارت سایبری وارد کرد، چون قانون‌گذار پذیرفت ابزاری که ساختش قانونی است ممکن است در مقصد نامشروع باشد. حد آن آموزنده است: با خطر سرکوب داخلی یا نقض‌های شدید حقوق بشر فعال می‌شود، یعنی دسته‌هایی که برای رژیم‌های اقتدارگرا اندیشیده شده‌اند. فروش به یک پلیس شهرداری آمریکایی در آن نمی‌گنجد. شبکهٔ سنجش اروپایی اخلاق مشتری را می‌سنجد، هرگز ماهیت توانی را که فروخته می‌شود.

دوم از آن رو که چنین محصولی انبار کالایی نیست که تخلیه شود، بلکه توانی است که نگه‌داری می‌شود: پژوهش را تأمین مالی می‌کند، مهندس تربیت می‌کند، دانش فنی می‌انبارد و پایگاهی نصب‌شده پدید می‌آورد. روزی که حمله‌ای بزرگ کشوری عضو را به مطالبهٔ این توان وادارد، بحث دیگر بر سر شایستگی ساختن آن نخواهد بود. وجود خواهد داشت، اروپایی خواهد بود، پخته خواهد بود، و تأمین‌کننده‌اش تا حدی دولتی. آنگاه استدلال «ما فقط از بازار پیروی می‌کنیم» دوری می‌شود، چون بازار داخلی را همان صادرات آماده کرده است.

ارزش یک حمایت مقرراتی در این سناریو همین است: اروپایی‌ها را در برابر کاربردها حفظ می‌کند، نه در برابر وجود ابزارها. این پرسش را حل می‌کند که چه کسی حق فشردن دکمه را دارد و ساختن، فروختن، بهبوددادن و سپس انتظارکشیدن را به صنعت وامی‌گذارد.

چه می‌توان کرد، بی‌آنکه خود را فریب دهیم

نخستین پاسخی که همیشه مطرح می‌شود تصادفی‌سازی نشانی MAC است. سزاوار بررسی صادقانه است، نه تبلیغ و نه تحقیر. واقعی است و کار می‌کند.

اندروید از نسخهٔ ۱۰ و iOS از نسخهٔ ۱۴ به‌طور پیش‌فرض نشانی MAC به‌کاررفته در وای‌فای را تصادفی می‌کنند، با نشانی متفاوت برای هر شبکه. در بلوتوث کم‌مصرف، دستگاه‌های امروزی نشانی‌های خصوصی قابل‌تحلیل پخش می‌کنند که به‌طور دوره‌ای عوض می‌شوند و تنها طرفی که کلید تحلیل را دارد می‌تواند آن‌ها را به دستگاه واقعی نسبت دهد.

محدودیت‌هایش به همان اندازه واقعی‌اند.

جفت‌شدن دوباره در را باز می‌کند. کلید تحلیل هنگام جفت‌شدن منتقل می‌شود. دستگاهی که پیش‌تر جفت شده یا صریحاً تأیید شده، هویت پایدار پشت نشانی چرخان را بازمی‌یابد. سازوکار برای همین ساخته شده است.
بسیاری از اشیا هیچ چیز را تصادفی نمی‌کنند. حسگرهای فشار لاستیک، کارت‌های RFID، تراشه‌های شناسایی حیوان، رادیوپخش خودرو و لوازم جانبی ارزان شناسه‌های ثابت می‌فرستند. برگهٔ محصول لئوناردو دقیقاً همین دسته‌ها را نام می‌برد و این تصادفی نیست.
تصادفی‌سازی را می‌توان خاموش کرد. شبکه‌به‌شبکه غیرفعال می‌شود و اغلب برای راحتی خاموش است، برای فیلتر MAC روی روتر خانگی یا به حکم سیاست سازمانی.
گروه از چرخش شناسه‌ها جان به در می‌برد. این کم‌شهودی‌ترین و مهم‌ترین نکته است. SignalTrace دنبال یک شناسه نیست، دنبال مجموعه‌ای از دستگاه‌هاست که با هم سفر می‌کنند. اگر تنها یک عضو گروه شناسه‌ای ثابت بفرستد، کل مجموعه قابل انتساب می‌ماند، هر اندازه هم بقیه منضبط باشند.

مؤثرترین تدبیر همچنان کسل‌کننده‌ترین است: نفرستادن. این یعنی خاموش‌کردن بلوتوث و وای‌فای در سطح سیستم، در تنظیمات، نه از پنل میان‌بر. این تمایز آرایشی نیست، آن را در نوشته‌مان دربارهٔ ردیابی دائمی موقعیت تلفن به تفصیل آورده بودیم: در بیشتر سیستم‌های مصرفی، دکمهٔ پنل سریع جفت‌شدن آشکار را قطع می‌کند اما پشتهٔ نرم‌افزاری را زنده می‌گذارد و تحلیل‌های مجاورت ادامه می‌یابد. آن نوشته پویش بلوتوث را برداری نظری توصیف می‌کرد. SignalTrace محصول تجاری آن است، فهرست‌شده و قابل تحویل.

باید دربارهٔ نتیجه صادق ماند: این تدبیرها سطح مواجهه را کم می‌کنند، از میان نمی‌برند. خودرو همچنان یک پلاک است و پلاک همچنان خواندنی. تنها راه هیچ نفرستادن، هیچ همراه نداشتن است، و این سیاست عمومی نیست.

این دربارهٔ انتخاب‌های طراحی ما چه می‌گوید

در آرپوکرات، همین استدلال ما را به آنجا رساند که بلوتوث را در سطح Core در ArpokratOS مدیریت کنیم نه در سطح تنظیمات. یک کلید در رابط کاربری ترجیح کاربر است: یک به‌روزرسانی، یک برنامهٔ سیستمی یا یک سرویس موقعیت‌یابی می‌تواند آن را دور بزند یا دوباره فعال کند، بی‌آنکه کاربر بداند. پشته‌ای که وجود ندارد دوباره فعال نمی‌شود.

در برابر ثبتی مانند SignalTrace، این بدیهی است که دستگاه را غیرقابل‌کشف نمی‌کند و ما هم چنین ادعایی نداریم: تلفن روی شبکهٔ همراه می‌ماند و دیگر اشیای خودرو به حساب خود می‌فرستند. آنچه تضمین می‌کند این است که یک بردار ارسال مشخص بنا بر ساخت غایب است نه اینکه بر پایهٔ اعتماد خاموش شده باشد. این همان نظریه‌ای است که دربارهٔ ۵G و خطای هدف‌گیری حقوق از آن دفاع می‌کردیم: حمایت حقوقی بر دسترسی به داده‌ها متمرکز است حال آنکه باید بر خودِ وجود زیرساختی باشد که آن‌ها را تولید می‌کند. SignalTrace نمونهٔ آن است، با این تفاوت که این زیرساخت در اروپا ساخته می‌شود.

نتیجه‌گیری

چشمگیرترین چیز در این پرونده توان فنی نیست، که پژوهشگران سال‌هاست وصفش می‌کنند. شیوهٔ استقرار است.

هیچ شبکهٔ دوربین تازه‌ای برای افتتاح نخواهد بود، هیچ مصوبهٔ شهرداری برای اعتراض، هیچ مناقصهٔ عمومی که بتوان آن را تغییری ماهوی شناخت. ماژول‌هایی خواهند بود که به تیرک‌های موجود افزوده می‌شوند، ذیل قراردادهای موجود، در برنامه‌هایی که پیش‌تر مجاز شده‌اند. روزی که بحث عمومی آغاز شود، زیرساخت نصب‌شده، مستهلک‌شده و در رویه‌های تحقیق ادغام‌شده خواهد بود. بحث آنگاه بر سر شرایط دسترسی به پایگاهی خواهد بود که وجود دارد، هرگز بر سر شایستگی تشکیل آن.

این ترتیب معمول امور در حوزهٔ نظارت است و تصادفی نیست. می‌ماند اینکه بدانیم آیا اروپا برای خود حرفی می‌بیند وقتی صنعتگران خودش، با تکیه بر دولت‌های خودش، این زیرساخت را برای دیگران می‌سازند. حقوق اروپا پاسخ به این پرسش را که چه کسی می‌تواند نزد ما این داده‌ها را ببیند با دقت سامان داده است. اما هرگز این پرسش را طرح نکرده که چه کسی حق ساختن ماشین را دارد.

نسل پنجم، داده‌های مکانی و خطای هدف‌گیری حقوق

Tue, 18 Aug 2026 00:00:00 +0000

در سال ۲۰۱۱ پلیس دیترویت از یک اپراتور تلفن همراه سابقه‌ی اتصال گوشی تیموتی کارپنتر به دکل‌ها را خواست. ۱۲٬۸۹۸ نقطه‌ی مکانی پراکنده در ۱۲۷ روز به دستش رسید، یعنی حدود صد نقطه در روز. هفت سال بعد، دیوان عالی ایالات متحده رأی داد که چنین درخواستی تفتیش به شمار می‌آید و نیازمند حکم قضایی است.

آن ۱۲٬۸۹۸ نقطه از دکل‌های نسل چهارم می‌آمد که هر یک شعاعی چند کیلومتری را پوشش می‌داد. همان درخواست اگر امروز به یک شبکه‌ی نسل پنجم شهری فرستاده شود، صد نقطه در روز با دقت چند کیلومتر برنمی‌گرداند. حجمی بسیار بیشتر برمی‌گرداند، با دقت چند ده متر.

مقیاس فناوری عوض شد. استدلال حقوقی اما در همان نقطه‌ی زنجیره ماند.

منفعتی حقوقی که قضات دو سوی اقیانوس اطلس آن را می‌شناسند

منفعتی هست که تقریباً همه به آن اذعان دارند و تقریباً هیچ متنی به‌طور مؤثر از آن حمایت نمی‌کند: حق بودن در جایی بدون آنکه این واقعیت ثبت شود.

رویه‌ی قضایی اروپا این را بی‌ابهام تثبیت کرده است. در پرونده‌ی Digital Rights Ireland (پرونده‌های پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴) و سپس در Tele2 Sverige و Watson (پرونده‌های پیوسته C-203/15 و C-698/15، شعبه‌ی بزرگ، ۲۱ دسامبر ۲۰۱۶)، دیوان دادگستری اتحادیه‌ی اروپا رأی داد که این داده‌ها در مجموع خود امکان می‌دهند نتیجه‌گیری‌های بسیار دقیقی درباره‌ی زندگی خصوصی اشخاص انجام شود: عادت‌های زندگی روزمره، محل‌های اقامت، جابه‌جایی‌ها، فعالیت‌های انجام‌شده و روابط اجتماعی.

دیوان عالی ایالات متحده در Carpenter v. United States، 585 U.S. 296 (2018) به نتیجه‌ای نزدیک رسید. بر نکته‌ای تأکید کرد که حقوق‌دانان آمریکایی بسیار درباره‌اش نوشته‌اند: ماهیت گریزناپذیر و خودکار این گردآوری. کسی به اتصال به یک دکل رضایت نمی‌دهد؛ متصل است چون گوشی روشنی در اختیار دارد.

پس منفعت حقوقی وجود دارد و دو دادگاهی که در این حوزه وزن دارند آن را به رسمیت می‌شناسند. مشکل جای دیگری است.

آنچه نسل پنجم واقعاً تغییر داد

خلط رایج آن است که مکان را داده‌ای بدانیم که گوشی ارسال می‌کند، درست مانند یک پیام یا یک عکس. چنین نیست. مکان نتیجه‌ی فیزیکی کارکرد شبکه است. اپراتور می‌داند دستگاه به کدام دکل متصل است چون برای مسیریابی یک تماس ناگزیر باید بداند. هیچ کلیدی برای رمزگذاری این اطلاعات وجود ندارد، چون محتوا نیست بلکه ویژگی خودِ اتصال است.

دقیقاً همین است که نسل پنجم را در سطح حقوقی، و نه فنی، معنادار می‌کند.

معماری‌های پیشین بر سلول‌های پهن استوار بودند. یک دکل نسل چهارم معمولاً شعاعی چند کیلومتری را سرویس می‌دهد و موقعیتی که تنها از اتصال استنتاج می‌شد در شهر به صدها متر و در روستا گاه به ده‌ها کیلومتر می‌رسید. نسل پنجم بر تراکم گسترده استوار است: سلول‌های شهری معمولاً چند صد متر را پوشش می‌دهند و ادبیات مهندسی چگالی‌هایی در حدود چهل تا پنجاه ایستگاه پایه در هر کیلومتر مربع را در نظر می‌گیرد، در برابر چهار یا پنج در دوره‌ی نسل سوم.

پیامد، مکانیکی است. بنا بر سند سفید اریکسون درباره‌ی مکان‌یابی در نسل پنجم، زیرساختی که تنها برای اتصال‌پذیری مستقر شده به دقت بیست تا پنجاه متر در فضای باز و یک تا سه متر در فضای بسته می‌رسد و در شرایط مساعد شهری به زیر یک متر می‌رود. سخن از یک قابلیت مکان‌یابی که جایی روشن شده باشد نیست، بلکه از چیزی است که شبکه بنا بر ساختارش می‌داند، بدون نصب هیچ برنامه‌ای و بدون اعطای هیچ مجوزی. همه‌ی این سازوکارها و نیز اقدام‌های متقابلی که واقعاً کار می‌کنند را در نوشته‌مان درباره‌ی مکان‌یابی دائمی گوشی به تفصیل آورده‌ایم.

بنابراین میزان تعرض چند مرتبه‌ی بزرگی افزایش یافته است. چارچوب حقوقی قابل اعمال همان است که برای نسل دوم و سوم اندیشیده شده بود. هیچ تطبیق هنجاری‌ای همراه این تغییر مقیاس نبوده است.

حقوق از دسترسی حمایت می‌کند، نه از تولید

حقوق اروپا با دقت تعیین می‌کند چه کسی، تحت چه شرایطی و زیر چه نظارتی می‌تواند به داده‌های مکانی دسترسی داشته باشد. دستورالعمل 2002/58/EC اصل محرمانگی ارتباطات را می‌نهد و دیوان دادگستری در پرونده‌ی La Quadrature du Net (پرونده‌های پیوسته C-511/18، C-512/18 و C-520/18، شعبه‌ی بزرگ، ۶ اکتبر ۲۰۲۰) رأی داد که ماده‌ی ۱۵(۱) این دستورالعمل، در پرتو مواد ۷، ۸، ۱۱ و ۵۲(۱) منشور، مانع نگهداری عام و بدون تفکیک داده‌های ترافیک و مکان به‌صورت پیشگیرانه است. با این حال دیوان استثناهایی چارچوب‌دار را پذیرفت، آنجا که یک کشور عضو با تهدیدی جدی علیه امنیت ملی روبه‌روست که واقعی و کنونی یا قابل پیش‌بینی باشد، مشروط به نظارت مؤثر.

اینها حمایت‌هایی واقعی‌اند و کم‌شمردن‌شان بیهوده است. اما همگی پس از وقوع وارد می‌شوند. فرض می‌گیرند داده وجود دارد و نگهداری می‌شود، و آنگاه شرایط بهره‌برداری از آن را سامان می‌دهند.

اما اگر مکان محصول جانبی گریزناپذیر کارکرد شبکه باشد، نقطه‌ی مداخله‌ی درست محرمانگی نیست. ماندگاری است.

موقعیتی لحظه‌ای که برای مسیریابی یک ارتباط لازم است و بی‌درنگ پس از آن پاک می‌شود، ابزار نظارت نیست. تاریخچه‌ای از موقعیت‌ها که ماه‌ها نگهداری شود، هست، هر تضمین دسترسی‌ای هم که پیرامونش باشد.

تفاوت این دو حقوقی نیست، معماری است. و تقویم اروپایی این پرسش را به‌جای نظری، فوری می‌کند. کمیسیون در ۲۰۲۵ پیشنهاد مقررات ePrivacy را پس گرفت، به دلیل نبود توافق میان قانون‌گذاران مشترک. از آن پس روی سندی جداگانه درباره‌ی نگهداری داده برای مقاصد کیفری کار می‌کند که برای ۲۰۲۶ اعلام شده و قرار است نظام‌های ملی را که از زمان ابطال دستورالعمل ۲۰۰۶ پراکنده شده‌اند هماهنگ کند. به بیان دیگر، متنی که برای یک دهه نظام فراداده‌های مکانی را تعیین خواهد کرد هم‌اکنون نوشته می‌شود، بر پایه‌ی استدلالی که در دوران سلول‌های کیلومتری شکل گرفته بود.

سابقه‌ای که خود نسل پنجم ساخت

جالب‌ترین وجه ماجرا این است که پاسخ درست پیشاپیش در استاندارد فنی آمده است، اما بر موضوعی دیگر اعمال شده.

تا نسل چهارم، شناسه‌ی دائمی مشترک، یعنی IMSI، هنگام اتصال به‌صورت آشکار روی رابط رادیویی منتقل می‌شد. همین بود که گیرنده‌های IMSI را ممکن کرد؛ همان ایستگاه‌های پایه‌ی جعلی که بنا بر توصیف مرجع بنیاد مرزهای الکترونیک قوی‌تر از دکل‌های مشروع می‌تابند تا دستگاه‌ها را جذب کنند و شناسه‌شان را بگیرند.

از Release 15 مشخصات 3GPP، منتشرشده در ۲۰۱۹، نسل پنجم پاسخی ظریف آورده است. شناسه‌ی دائمی که اکنون SUPI نامیده می‌شود می‌تواند روی رابط رادیویی با SUCI جایگزین شود؛ شناسه‌ای پنهان‌شده که از رمزگذاری بخش مخصوص مشترک با رمزنگاری خم بیضوی و با کلید عمومی اپراتور خانگی به دست می‌آید. تنها شبکه‌ی خانگی که کلید خصوصی متناظر را دارد می‌تواند آن را بگشاید. نتیجه در هر محاسبه یکتاست و همین همبسته‌سازی نشست‌ها را ناممکن می‌کند.

منطق برگزیده شایسته‌ی تأکید است، زیرا دقیقاً همان منطقی است که باید راهنمای قانون‌گذار باشد: موقعیت را رمز نمی‌کنند، که از نظر فنی ناممکن است، هویت را رمز می‌کنند. موقعیتی که هویت قابل انتسابی نداشته باشد، برای نظارت فردی ارزش بسیار محدودی دارد.

رخنه: حمایتی اختیاری

با این همه تحفظی بزرگ در کار است و به نظر ما ملموس‌ترین نقطه‌ی مداخله در سراسر این پرونده همین است.

سند سفید NIST CSWP 36A، منتشرشده در مارس ۲۰۲۶ از سوی مؤسسه‌ی ملی استانداردها و فناوری، آن را بی‌پرده بیان می‌کند. دستگاه‌ها و کارکردهای شبکه‌ی منطبق با Release 15 یا پس از آن موظف‌اند از SUCI پشتیبانی کنند، اما فعال‌سازی‌اش اختیاری برای اپراتور می‌ماند. سه شرط باید گرد هم آیند: سازنده‌ی تجهیزات باید پشتیبانی کند، اپراتور باید آن را روی شبکه‌اش فعال کند و سیم‌کارت باید عناصر لازم برای محاسبه را داشته باشد.

به این یک دام پیکربندی هم افزوده می‌شود. استاندارد طرح حفاظتی صفر را پیش‌بینی کرده است که در آن قالب SUCI به‌صورت صوری به کار می‌رود اما بدون رمزگذاری واقعی، چنان‌که شناسه آشکار منتقل می‌شود. NIST می‌نویسد که لازم است اپراتور شبکه‌اش را با طرح حفاظتی غیرصفر پیکربندی کند و یادآور می‌شود که گزارشی از CSRIC، نهاد مشورتی کمیسیون ارتباطات فدرال، همان ۲۰۲۱ توصیه کرده بود طرح صفر تنها به تماس‌های اضطراری از دستگاهی که برای شبکه ناشناخته است محدود شود.

این عبارت را باید همان‌گونه که هست نگه داشت. بهترین حمایت موجود در برابر ردیابی دستگاه‌های همراه از ۲۰۱۹ در استاندارد فنی وجود دارد. بر انتخابی پیکربندی استوار است که به صلاحدید اپراتور واگذار شده. یک نهاد فدرال آمریکایی مفید می‌داند در ۲۰۲۶ سندی منتشر کند تا یادآوری کند باید آن را روشن کرد. و هیچ سند حقوقی اروپایی آن را الزامی نمی‌کند.

باید افزود که SUCI پرونده را نمی‌بندد. کارهایی که با عنوان 5G SUCI-catchers: still catching them all? ارائه شده‌اند حمله‌های پیوندپذیری را مستند می‌کنند که با وجود رمزگذاری امکان همبسته‌سازی دوباره‌ی نشست‌ها را می‌دهند، و اگر مهاجم دستگاه را وادار به بازگشت به نسلی پیشین کند حفاظت به‌کلی فرو می‌ریزد. پس یک الزام حقوقی همه‌چیز را حل نمی‌کند. با این حال شکافی را از میان برمی‌دارد که هیچ توجیه دفاع‌پذیری ندارد: شکاف میان آنچه استاندارد اجازه می‌دهد و آنچه شبکه‌های تجاری انجام می‌دهند.

سه مداخله‌ی هم‌ساز

اگر این اندیشه را جدی بگیریم که مکان باید از مرحله‌ی طراحی کمینه شود نه آنکه پس از تولید حمایت شود، سه اقدام به‌طور منطقی خود را تحمیل می‌کنند.

الزامی‌کردن پنهان‌سازی مؤثر شناسه. الزام به فعال‌سازی SUCI و ممنوعیت طرح‌های حفاظتی صفر در شبکه‌های تجاری، جز در مورد باقی‌مانده‌ی تماس‌های اضطراری. سخن از تجویز فناوری‌ای نو یا تأمین مالی یک استقرار نیست، بلکه از الزام به فعال‌کردن قابلیتی است که هفت سال است استاندارد شده و از پیش در تجهیزات وجود دارد.
نگهداری را استثنا بدانیم، نه پیش‌فرض. موقعیتی که برای مسیریابی یک ارتباط لازم است باید به‌محض انجام این کارکرد پاک شود. تشکیل یک تاریخچه باید توجیهی ویژه بطلبد. تفاوت میان شبکه‌ای که می‌داند کجا هستید و شبکه‌ای که به یاد دارد کجا بوده‌اید همین است.
نگهداری کلید را عامل ارتباط مربوط قرار دهیم. استقرار سرورها در اتحادیه چندان معنایی ندارد اگر کلیدهایی که داده‌ها را خوانا می‌کنند جای دیگری باشند. معیار دارای اهمیت حقوقی باید تسلط مؤثر بر ابزارهای رمزگشایی باشد؛ پرسشی که آن را در بحث تعارض میان Data Act و CLOUD Act به تفصیل بررسی کرده‌ایم.

زاویه‌ای که Arpokrat دنبال می‌کند

این استدلال ویژه‌ی حقوق ارتباطات نیست. همان است که بر انتخاب‌های معماری خودمان اعمال می‌کنیم و در یک جمله می‌گنجد: آنچه تولید نشده، نیازی به حفاظت ندارد.

به همین سبب ArpokratOS به‌جای خاموش‌کردن GPS و بلوتوث و NFC در یک منو، آنها را در سطح هسته حذف می‌کند. یک کلید، یک سیاست است: مؤلفه‌ای دارای امتیاز می‌تواند دورش بزند، یک به‌روزرسانی می‌تواند دوباره روشنش کند، سامانه‌ای که به خطر افتاده می‌تواند نادیده‌اش بگیرد. حذف مسیر کد، خودِ پرسش را از میان برمی‌دارد. این در مقیاس یک دستگاه، همان جابه‌جایی‌ای است که در مقیاس حقوق خواستارش هستیم: مداخله در تولید، نه در دسترسی.

بی‌درنگ باید گفت این کار چه نمی‌کند. هیچ سیستم‌عاملی دستگاه را از هندسه‌ی شبکه بیرون نمی‌برد. تا وقتی سیم‌کارتی فعال باشد، اپراتور سلول اتصال را می‌داند و عبور دادن تمام ترافیک از Tor چیزی را عوض نمی‌کند، چون Tor از محتوا و مقصد حفاظت می‌کند نه از لایه‌ی رادیویی. دقیقاً به همین دلیل موضوع حقوقی است. دسته‌ای از خطرها هست که هیچ پیکربندی فردی آنها را کم نمی‌کند و تنها متغیر در دسترس برایشان قاعده‌ی حاکم بر اپراتور است.

همین دغدغه بر باقی کار ما نیز حاکم است. داده‌ای که وجود ندارد نه می‌توان ضبطش کرد، نه فروختش، نه بیرونش کشید، و نه ده سال بعد با ماشینی که امروز کسی در اختیار ندارد رمزگشایی‌اش کرد؛ پرسشی که آن را از زاویه‌ی رمزنگاری امروز برداشت‌شده و بعداً شکسته بررسی کرده‌ایم.

نتیجه

بحث عمومی درباره‌ی نظارت بر تلفن همراه تقریباً به‌طور کامل بر دسترسی متمرکز است: چه کسی می‌تواند داده‌ها را ببیند، بر چه مبنایی، با چه مجوزی. این بحث مشروع است و آرای دیوان دادگستری از ۲۰۱۴ به این‌سو آثار ملموسی داشته‌اند. اما در زنجیره خیلی دیر وارد می‌شود.

پرسش مقدم‌تر و تعیین‌کننده‌تر این است که آیا اصلاً باید تاریخچه‌ای وجود داشته باشد. پایگاهی که امروز به دلیلی مشروع ساخته می‌شود فردا برای دلیلی دیگر در دسترس می‌ماند، و تضمین‌های پیرامون آن به تصمیم‌های سیاسی بعدی وابسته‌اند که در لحظه‌ی گردآوری هیچ‌کس مهارشان نمی‌کند. این شرط‌بندی بر ثبات نهادهاست، برای مدتی که هیچ‌کس تعیینش نمی‌کند.

نسل پنجم تفکیک‌پذیری این اطلاعات را چند برابر کرد بی‌آنکه هیچ تطبیق هنجاری‌ای رخ دهد. هم‌زمان با سازوکار SUCI نشان داد که راه عملی، جداکردن موقعیت از هویت است نه تلاش برای رمزگذاری یک ویژگی فیزیکی شبکه. استاندارد فنی پاسخ را هفت سال پیش از آنکه حقوق پرسش را طرح کند فراهم کرده بود.

متن اروپایی درباره‌ی نگهداری داده هم‌اکنون نوشته می‌شود. به فراداده‌ها مربوط خواهد بود، یعنی به مکان، یعنی به آنچه نسل پنجم اکنون با دقتی تولید می‌کند که نویسندگانش آن را نمی‌شناختند. اینکه آیا به سامان‌دادن دسترسی به تاریخچه‌ای که مفروض گرفته شده بسنده می‌کند یا جسارت پرسیدن از ضرورت آن تاریخچه را دارد، احتمالاً مهم‌ترین پرسش حریم خصوصی سال‌های آینده در اروپاست. و پرسشی است که بخش فنی، برای یک بار هم که شده، پیشاپیش در جهت درست به آن پاسخ داده است.

منابع

دیوان دادگستری اتحادیه‌ی اروپا، Digital Rights Ireland، پرونده‌های پیوسته C-293/12 و C-594/12، ۸ آوریل ۲۰۱۴
دیوان دادگستری اتحادیه‌ی اروپا، Tele2 Sverige و Watson، پرونده‌های پیوسته C-203/15 و C-698/15، شعبه‌ی بزرگ، ۲۱ دسامبر ۲۰۱۶
دیوان دادگستری اتحادیه‌ی اروپا، La Quadrature du Net و دیگران، پرونده‌های پیوسته C-511/18، C-512/18 و C-520/18، شعبه‌ی بزرگ، ۶ اکتبر ۲۰۲۰
دیوان عالی ایالات متحده، Carpenter v. United States، 585 U.S. 296، ۲۰۱۸
مؤسسه‌ی ملی استانداردها و فناوری، Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI)، NIST CSWP 36A، مارس ۲۰۲۶
اریکسون، 5G positioning: Locating devices anywhere
Merlin Chlosta و دیگران، 5G SUCI-catchers: still catching them all?، ACM WiSec، ۲۰۲۱
بنیاد مرزهای الکترونیک، Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights، The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online، Data Retention: Commission to present proposal by mid-2026

Data Act در برابر CLOUD Act: چه کسی واقعاً داده‌های شما را در فضای ابری کنترل می‌کند؟

Fri, 19 Jun 2026 00:00:00 +0000

سال‌ها بود که جهان بر اساس یک فرض ساده عمل می‌کرد: داده‌ها محل اقامت فیزیکی دارند. اگر داده‌ای روی سروری در دوبلین ذخیره بود، تابع قوانین ایرلند و اتحادیه اروپا بود. این فرض در سال ۲۰۱۸ فروریخت، زمانی که ایالات متحده CLOUD Act را تصویب کرد؛ قانونی که به مقامات آمریکایی اجازه می‌دهد به داده‌های تحت کنترل شرکت‌های آمریکایی دسترسی داشته باشند، صرف‌نظر از اینکه این داده‌ها از نظر فیزیکی در کجای جهان ذخیره شده‌اند. چند سال بعد، بروکسل با ابزار حمایتی خود پاسخ داد: Data Act که اکنون به طور کامل قابل اجراست و تلاش می‌کند دسترسی فراسرزمینی مقامات کشورهای ثالث به داده‌های نگهداری‌شده در اتحادیه اروپا را محدود کند.

در اینجا به آنچه این دو متن واقعاً پیش‌بینی می‌کنند، نقاط تصادم آن‌ها، و دلیل اینکه تنها حمایت واقعاً محکم در برابر این تعارض، ناممکن‌سازی فنی دسترسی است، می‌پردازیم.

CLOUD Act آمریکایی: دسترسی مبتنی بر کنترل، نه مکان

CLOUD Act (Clarifying Lawful Overseas Use of Data Act)، که در مارس ۲۰۱۸ تصویب شد، قوانین آمریکا را با افزودن ماده 18 U.S. Code § 2713 اصلاح کرد. این متن هر ارائه‌دهنده خدمات ارتباطات الکترونیکی یا پردازش رایانه‌ای از راه دور را ملزم می‌کند که محتوای ارتباطات یا هر سابقه مرتبط با آن را حفظ، نگهداری یا افشا کند، به محض اینکه این داده‌ها در تصرف، نگهداری یا کنترل آن باشند، صرف‌نظر از اینکه این داده‌ها در داخل یا خارج از ایالات متحده قرار دارند.

دقیقاً همین بند آخر است که همه چیز را تغییر می‌دهد. معیار دیگر مکان فیزیکی سرور نیست، بلکه کنترلی است که شرکت مادر بر شعب خود اعمال می‌کند. بنابراین یک شرکت آمریکایی که مراکز داده را در اروپا اداره می‌کند، همچنان تابع احضاریه‌های آمریکایی است، حتی برای داده‌هایی که به طور کامل در خاک اروپا ذخیره شده‌اند.

Data Act اروپایی: یک مانع حقوقی در برابر دسترسی فراسرزمینی

مقررات (اتحادیه اروپا) 2023/2854، موسوم به Data Act، در ۱۱ ژانویه ۲۰۲۴ لازم‌الاجرا شد و از ۱۲ سپتامبر ۲۰۲۵ به طور کامل اعمال می‌شود، با برخی مقررات که تا ۲۰۲۶ و ۲۰۲۷ به صورت تدریجی اجرا می‌شوند. ماده ۳۲ آن مستقیماً به موضوع دسترسی بین‌المللی دولت‌ها به داده‌ها می‌پردازد.

این متن یک قاعده روشن تعیین می‌کند: هر تصمیم یا حکم یک دادگاه یا مقام اداری کشور ثالثی که از ارائه‌دهنده خدمات پردازش داده می‌خواهد داده‌های غیرشخصی نگهداری‌شده در اتحادیه اروپا را منتقل کند یا به آن‌ها دسترسی دهد، تنها در صورتی به رسمیت شناخته می‌شود و قابل اجراست که مبتنی بر یک توافق بین‌المللی باشد، مانند یک معاهده کمک حقوقی متقابل (MLA)، که بین کشور درخواست‌کننده و اتحادیه، یا بین آن کشور و دولت عضو مربوطه، معتبر باشد.

در غیاب چنین توافقی، ماده ۳۲ راه دومی را پیش‌بینی می‌کند، اما با محدودیت‌های سختگیرانه: تصمیم خارجی تنها در صورتی قابل اجراست که نظام حقوقی کشور ثالث ایجاب کند که درخواست مستدل، متناسب و به اندازه کافی مشخص باشد - برای مثال با ایجاد پیوند روشن با افراد یا جرائم معین - و اگر اعتراض موجه گیرنده بتواند تحت بازرسی دادگاه صالح آن کشور ثالث قرار گیرد.

یک تصادم حقوقی مستقیم

مشکل فوری است: CLOUD Act افشای اطلاعات را بر اساس کنترل اعمال‌شده توسط شرکت مادر الزامی می‌کند، بدون شرط تناسبی مشابه آنچه قانون اروپایی مطالبه می‌کند. Data Act، برعکس، به رسمیت شناختن چنین درخواستی را مشروط به وجود یک توافق بین‌المللی یا ضمانت‌های رویه‌ای دقیق می‌کند. یک شرکت آمریکایی که در اروپا فعالیت می‌کند و توسط یک مقام آمریکایی ملزم به انتقال داده‌های میزبانی‌شده در اتحادیه است، خود را بین دو تعهد قانونی متناقض می‌یابد: تبعیت از دستور آمریکایی با نقض قوانین اتحادیه، یا رعایت Data Act با در معرض قرار گرفتن در برابر عواقب رد درخواست در ایالات متحده.

این تنش نظری نیست. دیوان دادگستری اتحادیه اروپا (CJEU) آن را در دو تصمیم مهم مستند کرده است: Schrems I (2015) و Schrems II (2020). در حکم Schrems II، دیوان دادگستری اتحادیه اروپا حکم داد که نظارت آمریکایی انجام‌شده بر اساس بخش ۷۰۲ FISA (Foreign Intelligence Surveillance Act) و فرمان اجرایی ۱۲۳۳۳ حداقل ضمانت‌های مورد نیاز قانون اتحادیه را بر اساس اصل تناسب رعایت نمی‌کند و بنابراین نمی‌توان آن را محدود به آنچه کاملاً ضروری است تلقی کرد. دادگاه همچنین فقدان راه جبران قضایی مؤثر برای افراد مربوطه در اتحادیه را تشخیص داد که ناقض ماده ۴۷ منشور حقوق اساسی است. این تصمیم چارچوب Privacy Shield را که تا آن زمان انتقال داده بین اتحادیه اروپا و ایالات متحده را سازماندهی می‌کرد، باطل اعلام کرد.

خطر ساختاری: Harvest Now, Decrypt Later

فراتر از تعارض صلاحیت‌ها، تهدیدی موذیانه‌تر بر داده‌های میزبانی‌شده در زیرساخت‌های تابع قوانین آمریکایی سایه افکنده است: استراتژی موسوم به Harvest Now, Decrypt Later (HNDL). این اصل برای یک سرویس اطلاعاتی یا بازیگر دولتی خصمانه عبارت است از رهگیری و ذخیره‌سازی داده‌های رمزگذاری‌شده از همین امروز، در انتظار توانایی‌های محاسبات کوانتومی کافی برای رمزگشایی آن‌ها در آینده.

این استراتژی هر وابستگی طولانی‌مدت به زیرساخت ابری آمریکایی را به یک بدهی امنیتی معوق تبدیل می‌کند: آنچه امروز محرمانه است ممکن است در ده یا پانزده سال دیگر قابل خواندن شود، بدون اینکه هیچ اقدام اضافی از سوی مهاجم لازم باشد، فقط زمان و صبر.

چرا تنها ناممکن‌سازی فنی یک ضمانت واقعی است

تحلیل حقوقی به نتیجه‌ای مشترک می‌رسد که بسیاری از متخصصان انطباق به آن رسیده‌اند: هر چقدر هم چارچوب قانونی Data Act محکم باشد، همچنان متنی است که توازن قوای ژئوپولیتیک و فشارهای دیپلماتیک می‌توانند آن را دور بزنند، به تعویق بیندازند یا تفسیر مجدد کنند. تنها حمایتی که به هیچ مذاکره آینده‌ای وابسته نیست، ناممکن‌سازی فنی اجرا است.

یک معماری zero knowledge، که در آن ارائه‌دهنده خدمات هیچ‌گاه در تصرف یا نگهداری کلیدهای رمزگشایی نیست، یک احضاریه را از نظر مادی بی‌اثر می‌کند. نمی‌توان کسی را مجبور کرد چیزی را که هرگز در اختیار ندارد تحویل دهد.

این منطقی است که اکوسیستم‌هایی مانند Arpokrat را شکل می‌دهد:

خنثی‌سازی صلاحیت قضایی: زیرساخت در سوئیس میزبانی می‌شود، تحت رژیم قانون فدرال حفاظت از داده‌ها (LPD/FADP)، خارج از حوزه اعمال مستقیم فراسرزمینی CLOUD Act
فقدان نگهداری: معماری zero knowledge به ارائه‌دهنده هیچ توانایی برای تحویل کلیدها یا محتواهایی که هرگز در اختیار ندارد نمی‌دهد
کاهش ردپای هویتی: با حذف الزام ثبت‌نام از طریق شماره تلفن یا آدرس ایمیل - شناسه‌هایی که نظارت مبتنی بر بخش ۷۰۲ FISA می‌تواند به راحتی آن‌ها را ردیابی کند - کاربر از یک مشترک قابل شناسایی به یک کلید رمزنگاری ناشناس تبدیل می‌شود

زنجیره نگهداری در رمزگذاری پیام‌ها متوقف نمی‌شود

نکته‌ای که اغلب در تحلیل‌های انطباق دست‌کم گرفته می‌شود این است: رمزگذاری محتوای یک ارتباط کافی نیست اگر سیستم عامل زیربنایی - چه Android باشد چه iOS - به جمع‌آوری ابرداده یا تله‌متری در سطح هسته، با مقصد سرورهایی تحت صلاحیت آمریکا، ادامه دهد. حمایت از محرمانگی مستلزم بستن کامل زنجیره نگهداری است، از محتوا تا خود زیرساخت سخت‌افزاری.

به همین دلیل است که حاکمیت دیجیتال مستلزم تأمل درباره سیستم عامل مورد استفاده نیز هست، نه فقط برنامه‌های پیام‌رسان. سیستم‌های بدون گوگل، که در آن‌ها ماژول‌هایی مانند بلوتوث یا موقعیت‌یابی GNSS می‌توانند مستقیماً در سطح هسته غیرفعال شوند، بردارهای حمله فیزیکی را که هیچ رمزگذاری در سطح برنامه نمی‌تواند جبران کند، حذف می‌کنند.

رمزنگاری پس از کوانتوم، افقی که اکنون در پیش است

در برابر تهدیدی که استراتژی HNDL نشان می‌دهد، اتخاذ استانداردهای رمزنگاری پس از کوانتوم (PQC) برای هر کسی که می‌خواهد محرمانگی داده‌های حساس را در بلندمدت تضمین کند، ضرورتی اجتناب‌ناپذیر است - چه اسرار تجاری باشد، چه مکاتبات حرفه‌ای یا داده‌های بهداشتی. رمزگذاری‌ای که امروز بر اساس استانداردهای کلاسیک محکم تلقی می‌شود، تضمین نمی‌کند که در برابر توانایی‌های محاسبات کوانتومی مورد انتظار در پانزده سال آینده مقاومت کند.

تعارض بین Data Act و CLOUD Act یک واقعیت گسترده‌تر را نشان می‌دهد: حاکمیت دیجیتال دیگر نمی‌تواند صرفاً بر متون قانونی بنا شود، هر چقدر هم محکم باشند. این امر مستلزم بستن زنجیره نگهداری در هر سطحی است، از پروتکل رمزگذاری تا صلاحیت میزبانی، از جمله خود سیستم عامل. این رویکرد لایه‌ای، به جای اعتماد به یک چارچوب نظارتی واحد، است که امروز حاکمیت دیجیتال واقعی بر اساس طراحی را تعریف می‌کند.

پایان حریم خصوصی؟ درهای پشتی (Backdoors)، قانون ایمنی آنلاین و واکنش اکوسیستم‌های مستقل

Wed, 10 Jun 2026 00:00:00 +0000

لندن به کانون نبردی جهانی برای آینده حریم خصوصی دیجیتال تبدیل شده است. با تصویب قانون ایمنی آنلاین ۲۰۲۳ (OSA) و پیشنهادهای اخیر برای بازنگری در قانون اختیارات تحقیقاتی (IPA) — که توسط منتقدانش «منشور جاسوسان» نامیده می‌شود —، دولت بریتانیا حق تحمیل تعهدات نظارتی را در قلب ارتباطات خصوصی برای خود قائل است. نقطه شکست، قدرتی است که به نهاد نظارتی OFCOM داده شده است تا از پلتفرم‌ها بخواهد «فناوری معتبر» را برای شناسایی محتوای سوءاستفاده جنسی از کودکان (CSEA) یا تروریسم، از جمله در ارتباطات رمزگذاری شده سرتاسر (End-to-End)، مستقر کنند.

برای پلتفرم‌های دیجیتال بزرگ، پیام وست مینستر واضح است: یا دسترسی دولت به زیرساخت‌های خود را تسهیل می‌کنند، یا با جریمه‌هایی تا سقف ۱۰ درصد از درآمد جهانی خود مواجه می‌شوند. واکنش فوری بود: خدماتی مانند سیگنال (Signal) و واتس‌اپ (WhatsApp) علناً تهدید کردند که از بازار بریتانیا خارج خواهند شد و از به خطر انداختن امنیت کاربران خود برای جلب رضایت یک حوزه قضایی واحد امتناع ورزیدند. بحث فنی به سختی قابل انکار است: هیچ شاه‌کلیدی وجود ندارد که منحصراً برای بازیگران قانونی محفوظ باشد. در باز برای مجریان قانون، بنا به طراحی، یک در باز برای مجرمان سایبری و سرویس‌های اطلاعاتی خارجی است.

مدل کسب‌وکار پلتفرم‌های بزرگ: یک مانع ساختاری برای دانش صفر (Zero-Knowledge)

مقاومت پلتفرم‌های بزرگ در برابر اتخاذ رمزنگاری نوع دانش صفر با ناتوانی فنی توضیح داده نمی‌شود، بلکه با یک ناسازگاری اساسی اقتصادی توضیح داده می‌شود. شرکت‌هایی مانند آلفابت (Alphabet) و متا (Meta) بر مدل‌های درآمدزایی مبتنی بر جمع‌آوری سیستماتیک داده‌های رفتاری تکیه دارند. این مدل اتفاقاً به طور ضمنی توسط قانون بازارهای دیجیتال (DMA) اتحادیه اروپا به رسمیت شناخته شده است، که این «دروازه‌بانان» (gatekeepers) را به عنوان نهادهایی طبقه‌بندی می‌کند که موقعیت مسلط آنها دقیقاً از طریق انباشت داده‌ها در مقیاسی بی‌نظیر تغذیه می‌شود. برای این بازیگران، اتخاذ یک معماری دانش صفر به معنای محروم کردن سیستم‌های تبلیغاتی آنها از شناسایی مداوم کاربرانی است که سوخت آن را تشکیل می‌دهد. بنابراین این یک انتخاب فنی نیست، بلکه یک مبادله بین حریم خصوصی کاربران و دوام مدل کسب‌وکار آنها است.

خطر استراتژیک: تهدید «اکنون برداشت کن، بعداً رمزگشایی کن» (Harvest Now, Decrypt Later)

فراتر از بحث در مورد حریم خصوصی، تضعیف رمزنگاری مسئله‌ای در حوزه امنیت ملی با دامنه‌ای کاملاً متفاوت را مطرح می‌کند. استراتژی معروف به Harvest Now, Decrypt Later (HNDL) شامل این است که دشمنان دولتی امروز حجم عظیمی از ارتباطات رمزگذاری شده را در انتظار قابلیت‌های رمزگشایی کوانتومی آینده، رهگیری و ذخیره کنند. با تضعیف استانداردهای رمزنگاری فعلی، چارچوب قانونی بریتانیا از نظر عینی این نوع عملیات را علیه ارتباطات دولتی، دیپلماتیک یا صنعتی تسهیل می‌کند.

دقیقاً در همین زمینهِ کمبود اعتماد است که اکوسیستم‌هایی مانند آرپوکرات (Arpokrat) اهمیت عملیاتی پیدا می‌کنند. با فعالیت تحت رژیم قانون فدرال حفاظت از داده‌های سوئیس (FADP)، با معماری که هیچ شناسه مدنی را جمع‌آوری نمی‌کند، آرپوکرات یک گسست فنی از زیرساخت‌های مشمول حوزه قضایی بریتانیا ارائه می‌دهد — و تضمین می‌کند که سیستم در برابر احکام پیش‌بینی شده توسط قانون OSA ناشنوا باقی می‌ماند.

تضاد هنجارها: OSA و IPA در برابر حقوق اروپا

تحلیل حقوقی امتیازات جدید دولتی بریتانیا، برخورد مستقیمی را با مبانی حقوق اروپا در مورد حفاظت از داده‌ها و محرمانگی ارتباطات آشکار می‌کند.

قانون OSA در برابر ممنوعیت نظارت تعمیم یافته

ماده ۱۲۱ قانون OSA این امکان را برای OFCOM معرفی می‌کند که احکامی صادر کند که پلتفرم‌ها را مجبور به اجرای اسکن سمت کاربر (client-side scanning) می‌کند. این اقدام مستقیماً با اصلی که از حقوق اروپا نشأت گرفته و در رویه قضایی دیوان دادگستری اتحادیه اروپا (CJEU) گنجانده شده است و تعهدات نظارت عمومی را ممنوع می‌کند، در تضاد است. با تحمیل یک «آسیب‌پذیری از طریق طراحی» (vulnerability by design)، این امر شرکت‌ها را در یک وضعیت بن‌بست مضاعف نیز قرار می‌دهد: با تضعیف امنیت خود برای تبعیت از یک دستور دولتی، آنها در تعهد خود برای تضمین سطح امنیتی متناسب با پردازش، همانطور که در ماده ۳۲ قانون GDPR تصریح شده است، کوتاهی می‌کنند.

دستورالعمل حریم خصوصی الکترونیک (ePrivacy) و محرمانگی ارتباطات

اسکن پیام‌های خصوصی در تضاد مستقیم با ماده ۵، بند ۱ از دستورالعمل 2002/58/EC (ePrivacy) است، که کشورهای عضو را موظف می‌کند محرمانگی ارتباطات الکترونیکی را تضمین کنند و هرگونه شکل رهگیری یا نظارت را بدون رضایت صریح کاربرانِ ذی‌نفع ممنوع می‌کند.

اطلاعیه‌های قابلیت فنی (Technical Capability Notices) و مسدود کردن به‌روزرسانی‌های امنیتی

تحت رژیم IPA ۲۰۱۶، دولت بریتانیا اکنون در نظر دارد از اطلاعیه‌های قابلیت فنی (TCN) برای مخالفت با به‌روزرسانی‌های امنیتی قبل از استقرار آنها استفاده کند. این مکانیسم تضادی لاینحل با تعهدی ایجاد می‌کند که توسط ماده ۳۲ قانون GDPR تعیین شده است تا از امنیت مداوم سیستم‌های پردازش اطمینان حاصل شود — تعهدی که دقیقاً نیازمند توانایی اعمال اصلاحیه‌ها (patches) بدون تأخیر یا مداخله خارجی است.

خطرات انطباق (Compliance) برای شرکت‌های فعال در اروپا

بازنگری‌های قانون IPA با هدف مجبور کردن شرکت‌ها به اطلاع‌رسانی به دولت بریتانیا در مورد هرگونه تغییر فنی مؤثر بر امنیت، قبل از اجرای آن است، و در نتیجه حق وتو در مورد توسعه محصول را به آن اعطا می‌کند. این مداخله ناامنی حقوقی قابل توجهی را برای تأمین‌کنندگان فعال در بازار اروپا ایجاد می‌کند: کفایت بریتانیا نسبت به حقوق اروپا — که از قبل شکننده بود — می‌تواند مورد تردید قرار گیرد اگر بریتانیا دیگر حفاظتی اساساً معادل با حفاظت GDPR را تضمین نکند. بنابراین، انتقال داده‌ها به بریتانیا تحت این چارچوب جدید احتمالاً شرکت‌ها را در معرض مجازات‌های تحت GDPR قرار می‌دهد.

دفاع از طریق عدم امکان فنی: اصل دانش صفر به عنوان یک سپر حقوقی

رویه قضایی بین‌المللی، که با احکام Schrems I و Schrems II از دیوان دادگستری اتحادیه اروپا (CJEU) تثبیت شده است، یک اصل تعیین‌کننده را پایه‌گذاری کرده است: تنها پادمان قوی در برابر نظارت نامتناسب، عدم امکان فنی دسترسی به آن است. معماری‌های دانش صفر (Zero-Knowledge) این اصل را در سه لایه محافظتی اعمال می‌کنند:

فقدان حضانت: از آنجا که پلتفرم کلیدهای رمزگشایی را در اختیار ندارد، هرگونه حکم برای اسکن پیام‌ها از نظر فنی غیرقابل اجرا است؛
حاکمیت سیستم عامل: کنترل ArpokratOS تله‌متری که جمع‌آوری اطلاعات در سطح دستگاه را تغذیه می‌کند، از بین می‌برد؛
لنگرگاه قضایی سوئیس: آرپوکرات با میزبانی زیرساخت‌های خود در سوئیس، تحت یک رژیم قانونی عمل می‌کند که نیازمند درخواست‌های معاضدت قضایی متقابلِ فردی و مستدل است، و اجرای خودکار اسکن‌های انبوه پیش‌بینی شده توسط OSA را خنثی می‌کند.

نتیجه‌گیری

مفاد قانون OSA و بازنگری‌های قانون IPA تنها تهدیدی برای حریم خصوصی افراد نیستند: آنها نشان‌دهنده نقض قطعیت حقوقی برای تمام داده‌های اروپایی هستند که از طریق زیرساخت‌های مشمول حوزه قضایی بریتانیا عبور می‌کنند. با مشروعیت بخشیدن به تضعیف رمزنگاری به نام امنیت عمومی، لندن به طور متناقضی متحدان و شرکای تجاری خود را در معرض خطرات جاسوسی صنعتی و دولتی قرار می‌دهد که معماری‌های دانش صفر دقیقاً برای جلوگیری از آنها طراحی شده‌اند.

یکپارچگی ارتباطات حرفه‌ای و نهادی اکنون نیازمند یک پاسخ ساختاری است: مهاجرت به سمت اکوسیستم‌های غیرمتمرکز که حاکمیت دیجیتال را از سطح کد تا لنگرگاه قضایی تضمین می‌کنند.

بمب ساعتی: اکنون جمع‌آوری کن، بعداً رمزگشایی کن و ضرورت دانش صفر

Tue, 26 May 2026 00:00:00 +0000

وابستگی دولت‌های اروپایی به زیرساخت‌های ابری آمریکا تنها یک مشکل رهگیری فوری نیست. ویرانگرترین تهدید دهه‌های آینده، استراتژی HNDL: “اکنون جمع‌آوری کن، بعداً رمزگشایی کن” است.

این یک نفوذ مستقیم نیست، بلکه یک سرقت خاموش است. آژانس‌های اطلاعاتی امروز حجم عظیمی از داده‌های رمزنگاری شده را ذخیره می‌کنند زیرا هزینه ذخیره‌سازی ناچیز شده است.

آن‌ها صبورانه منتظر لحظه‌ای هستند که جهش‌های فناوری کلیدهای رمزنگاری فعلی را منسوخ کند. راز دولتی محافظت شده در سال 2026 ممکن است در پانزده سال آینده به یک کتاب باز تبدیل شود.

مسئولیت عطف به ماسبق و ریسک زمانی

مدل HNDL مفهوم جدیدی را معرفی می‌کند: آسیب قانونی تاخیری. با جمع‌آوری انبوه داده‌ها برای رمزگشایی آینده، محرمانگی به یک متغیر وابسته به زمان تبدیل می‌شود.

مدل علمی HNDL تعریف می‌کند که وقتی طول عمر مورد نیاز راز از افق رمزگشایی دشمن فراتر رود، محرمانگی به ناچار شکست می‌خورد.

اگر یک دولت حاکمیت مطلق زیرساخت سخت‌افزاری خود را تضمین نکند، در عمل از محرمانگی بلندمدت شهروندان خود چشم‌پوشی می‌کند.

رهگیری امروز، سازش فرداست. تبدیل وابستگی ابری به بدهی امنیت ملی، قماری غیرقابل پرداخت است.

آنتی‌تز Arpokrat: عدم امکان قانونی از طریق کد

در پاسخ به این آسیب‌پذیری، صنعت اکوسیستم‌های رادیکال حاکمیت دیجیتال را ایجاد می‌کند. مدل Arpokrat بر روی یک شبکه غیرمتمرکز کار می‌کند که توسط قانون فدرال حفاظت از داده‌ها (FADP) در سوئیس محافظت می‌شود.

منطق اصلی حریم خصوصی با طراحی است. با حذف نیاز به شماره تلفن، کاربر به یک کلید رمزنگاری ساده تبدیل می‌شود.

از نظر قانونی، اگر معماری کاملاً مبتنی بر دانش صفر (Zero-Knowledge) باشد، شرکت برای اجرای دستورات دادگاه با عدم امکان فنی مواجه می‌شود.

این یک پادمان غیرقابل توقف ریاضی است: آنچه در اختیار ندارید، نمی‌توانید فاش کنید.

فراتر از رمزنگاری: کاهش ارزش داده هدف

پاسخ واقعی در برنامه Arpokrat، شرط‌بندی روی ریاضیات ابدی نیست، بلکه کاهش ارزش خود داده‌ها است.

بدون فراداده مرکزی برای پیوند پیام به یک فرد فیزیکی، محتوای رمزگذاری شده ارزش استراتژیک خود را از دست می‌دهد.

با این حال، اگر سخت‌افزار به آن خیانت کند، نرم‌افزار به تنهایی نمی‌تواند کاری انجام دهد.

استقرار یک سیستم‌عامل حاکمیتی عاری از گوگل برای هر کسی که اسرار دولتی را مدیریت می‌کند به یک الزام مطلق برای بقا تبدیل شده است.