وقتی عینک، دوربین است؛ هیئت اروپایی حفاظت از داده و مسئولیت کاربر، سازنده و هوش مصنوعی در برابر رهگذران

تا چند سال پیش، کسی که می‌خواست از دیگران فیلم بگیرد، دست‌کم باید گوشی یا دوربینی را بالا می‌آورد و همین حرکت، به اطرافیان هشدار می‌داد؛ اما امروز عینکی که کاملاً شبیه عینک آفتابی معمولی است، می‌تواند تصویر بگیرد، صدا ضبط کند، پخش زنده داشته باشد و حتی تصویر چهره رهگذر را برای تحلیل به یک سامانه هوش مصنوعی بفرستد. پرسش حقوقی ساده به نظر می‌رسد ولی پاسخش ساده نیست؛ وقتی رهگذری بی‌آنکه بداند در قاب عینک دیگری قرار می‌گیرد، چه کسی در برابر او مسئول است؟ کاربر عینک، شرکت سازنده، یا شرکتی که هوش مصنوعیِ متصل به عینک را ارائه می‌دهد؟

هیئت اروپایی حفاظت از داده‌ها (EDPB) در ۲۱ مهر ۱۴۰۵ (۱۳ اکتبر ۲۰۲۶) بیانیه‌ای درباره عینک‌های هوشمند تصویب کرد که نخستین موضع جمعی ناظران داده اروپا در این باره است. این بیانیه هنوز رهنمود کامل نیست و خود هیئت آن را «ملاحظات مقدماتی» می‌نامد؛ اما چند گره مهم را باز می‌کند و به نظر من چارچوبی به دست می‌دهد که فراتر از اروپا هم کاربرد دارد.

۱. معافیت «فعالیت شخصی و خانگی»؛ تا کجا کاربر در امان است؟

مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) پردازشی را که شخص حقیقی صرفاً در قلمرو زندگی شخصی و خانگی انجام می‌دهد، از شمول خود بیرون گذاشته است؛ بیانیه هم می‌پذیرد که اگر کاربر عینک، عکسی را فقط برای یکی از اعضای خانواده یا دوستش بفرستد یا از ترجمه همزمان در یک موقعیت خصوصی استفاده کند، تکلیفی از جهت این مقررات ندارد. اما هیئت با استناد به رویه دیوان دادگستری اتحادیه اروپا در پرونده‌های Lindqvist، Buivids و Ryneš تأکید می‌کند که این معافیت را باید مضیق تفسیر کرد. همین که کاربر ویدئو را در حساب عمومی شبکه اجتماعی برای شمار نامعینی از مخاطبان منتشر کند، یا عینک را در فعالیت حرفه‌ای، اداری یا سیاسی به کار ببرد، دیگر «کاربر عادی» نیست؛ «کنترل‌کننده» داده است و همه تکالیف، از جمله شفافیت، بر دوش اوست. معتقدم این مرزبندی منصفانه است؛ آنچه حریم خصوصی رهگذر را تهدید می‌کند خود ضبط نیست، بلکه بیرون بردن آن از دایره خصوصی و رساندنش به جمع است!

۲. سازنده و ارائه‌دهنده هوش مصنوعی نمی‌توانند پشت کاربر پنهان شوند

نکته‌ای که بیانیه بر آن پافشاری می‌کند این است که معاف بودن کاربر، به معنای معاف بودن سازنده نیست. هیئت با تکیه بر بند ۱۸ مقدمه GDPR یادآوری می‌کند که این مقررات بر اشخاصی که ابزار پردازش را برای فعالیت‌های شخصی دیگران فراهم می‌کنند همچنان حاکم است. اگر ارائه‌دهنده قابلیت هوش مصنوعی، تصویر دوربین عینک را تحلیل کند تا به سؤال کاربر درباره محیط اطرافش پاسخ دهد و در آن تصویر افراد دیگری هم دیده شوند، خود او کنترل‌کننده مستقل یا مشترک است و نمی‌تواند برای ایفای تکالیفش، از جمله اطلاع‌رسانی به رهگذران، به رفتار کاربر تکیه کند. به نظر من این مهم‌ترین پیام بیانیه است؛ زیرا مدل کسب‌وکار بسیاری از ابزارهای هوشمند بر این فرض بنا شده که «مسئولیت با کاربر است» و این فرض اکنون از سوی ناظران اروپایی صریحاً رد شده است.

۳. شفافیت برای کسی که هیچ رابطه‌ای با شرکت ندارد

شاید دشوارترین مسئله حقوقی عینک هوشمند، اطلاع‌رسانی به کسی باشد که نه کاربر است و نه مشتری؛ رهگذری که سیاست حریم خصوصی هیچ شرکتی را نخوانده و نخواهد خواند. هیئت می‌پذیرد که نشانگرهای موجود روی عینک‌ها بسیاری از افراد را بی‌خبر می‌گذارند و اطلاعیه‌های سنتی برای این گروه کارایی ندارند. پیشنهاد بیانیه ترکیبی از سازوکارهاست؛ چراغ نشانگری که در نور روز هم دیده شود، به اندازه کافی روشن بماند، غیرفعال کردنش دشوار باشد و اگر پوشانده شد ضبط متوقف شود؛ صدای هشدار هنگام عکس‌برداری؛ اعلان از طریق گوشی‌های اطراف، البته نه به‌عنوان تنها راه؛ و طراحی ظاهری که عینک هوشمند را از عینک معمولی متمایز کند. معتقدم ارزش این بخش در آن است که شفافیت را از «متن» به «طراحی» منتقل می‌کند؛ یعنی تکلیف حقوقی، به مشخصه فنی محصول تبدیل می‌شود.

۴. رضایت پس از ضبط، رضایت نیست

در بحث مبنای قانونی پردازش، بیانیه دو نکته روشن دارد. نخست اینکه برای سازنده یا ارائه‌دهنده خدمات که با رهگذر رابطه‌ای ندارد، گرفتن رضایت آزادانه، آگاهانه و صریح تقریباً ناممکن است و رضایتی که پس از ضبط گرفته شود، اعتبار ندارد؛ چون مبنای قانونی باید پیش از پردازش و در طول آن وجود داشته باشد. دوم اینکه استناد به «منافع مشروع» نیازمند سنجش موردی است و هیئت آن را به‌ویژه برای استفاده‌های تجاری فراتر از خدمت درخواستی کاربر و برای آموزش مدل‌های هوش مصنوعی دشوار می‌داند؛ زیرا رهگذری که حتی از ضبط اولیه خبر نداشته، انتظار ندارد چهره‌اش خوراک آموزش یک مدل شود. به نظر من این بند، پیامی مستقیم به صنعت هوش مصنوعی است؛ داده‌ای که بی‌خبر از دیگران جمع شده، مواد خام رایگان برای آموزش مدل نیست!

۵. حریم خصوصی از راه طراحی؛ از محدوده جغرافیایی تا «اصطکاک» در انتشار

بیانیه فهرستی از تدابیر فنی را هم توصیه می‌کند؛ محدود کردن ضبط مداوم و پخش زنده، تار کردن چهره رهگذران پیش از انتشار، پردازش روی خود دستگاه به جای ارسال به سرور، غیرفعال بودن ذخیره دائمی به‌طور پیش‌فرض، محدودیت مکانی در فضاهای حساس مانند بیمارستان، مدرسه و رختکن، و ایجاد مکث یا «اصطکاک» پیش از اشتراک‌گذاری در شبکه‌های اجتماعی. هیئت تصریح می‌کند که نگرانی کلی و فرضی کاربر برای امنیت شخصی‌اش، توجیهی برای ضبط مداوم و بی‌هدف دیگران نیست. همچنین یادآوری می‌کند که برخی استفاده‌ها ممکن است مشمول قوانین کیفری، مدنی یا کار باشند و نقض این قوانین، منصفانه بودن پردازش را هم زیر سؤال می‌برد. به نظر من نقطه ضعف بیانیه همین‌جاست که هنوز در سطح توصیه مانده است؛ ولی جهت حرکت روشن است و هیئت خودش وعده کار بیشتر داده است.

۶. درس‌هایی برای ایران

عینک‌های هوشمند هنوز در ایران فراگیر نشده‌اند، اما ورودشان از مسیر بازار غیررسمی دور از انتظار نیست؛ و پرسش‌هایی که این فناوری مطرح می‌کند، در مورد دوربین‌های همراه، دوربین خودرو و دستیارهای صوتی هم صادق است. چند نکته به نظرم قابل توجه است.

نخست، تا جایی که بنده اطلاع دارم، ما هنوز قانون جامع حفاظت از داده‌های شخصی نداریم و پیش‌نویس‌های این حوزه به تصویب نهایی نرسیده‌اند؛ بنابراین ابزار اصلی ما بیشتر قواعد کیفری است. قانون جرایم رایانه‌ای مصوب ۱۳۸۸، تا جایی که بنده اطلاع دارم، انتشار فیلم، صوت یا تصویر خصوصی دیگری بدون رضایت او را در شرایطی جرم‌انگاری کرده است؛ اما منطق کیفری فقط پس از وقوع زیان وارد عمل می‌شود و درباره طراحی محصول، شفافیت یا مسئولیت سازنده حرفی برای گفتن ندارد. درس بیانیه اروپایی این است که مسئولیت را باید پیش از ضبط، در طراحی دستگاه، تعریف کرد!

دوم، تفکیک «استفاده شخصی» از «انتشار عمومی» می‌تواند در رویه دادگاه‌های ما هم معیاری کاربردی باشد؛ کسی که از جمع خانوادگی فیلم می‌گیرد با کسی که برای جذب دنبال‌کننده، چهره رهگذران را منتشر می‌کند، در یک جایگاه نیستند.

سوم، شرکت‌ها و استارتاپ‌های ایرانی که خدمات تحلیل تصویر یا دستیار هوشمند ارائه می‌دهند، نباید با درج یک بند در شرایط استفاده، کل مسئولیت را به کاربر منتقل‌شده بدانند. اگر خدمت شما تصویر اشخاص ثالث را پردازش می‌کند، شما هم در برابر آن‌ها پاسخ‌گو هستید؛ این قاعده در اروپا اکنون صریح است و معتقدم دیر یا زود به منطق داوری و قضاوت ما هم راه می‌یابد.

و چهارم، برای مراجع تنظیم‌گر، شاید بهتر باشد پیش از ممنوعیت کلی یا سکوت کامل، الزامات فنی ساده‌ای مانند نشانگر ضبط غیرقابل‌غیرفعال‌سازی را برای ورود و عرضه این تجهیزات شرط کنند؛ راهی که هم نوآوری را نمی‌کُشد و هم حق رهگذر را به رسمیت می‌شناسد.

منابع: متن بیانیه EDPB درباره عینک‌های هوشمند، ۱۳ اکتبر ۲۰۲۶؛ خبر رسمی EDPB؛ A&O Shearman، ۲۸ اکتبر ۲۰۲۶؛ Blank Rome، نوامبر ۲۰۲۶. تصویر: Wikimedia Commons، Axrxax، مجوز CC BY-SA 4.0.

این یادداشت جنبه آموزشی دارد و جایگزین مشاوره حقوقی در پرونده‌های مشخص نیست.