برون‌سپاری داده‌های شخصی؛ آیا انتقال به پردازشگر به مبنای قانونی مستقل نیاز دارد؟

آیا وقتی یک شرکت، اطلاعات مشتریان خود را برای ارسال خبرنامه، میزبانی ابری یا تحلیل رفتار کاربران در اختیار پیمانکار دیگری قرار می‌دهد، همان مبنای قانونی که برای جمع‌آوری داده داشته کافی است؟ یا انتقال داده به پردازشگر، خود عملی مستقل است که باید توجیه حقوقی جداگانه‌ای داشته باشد؟ این پرسش در ظاهر فنی است، اما پاسخ آن می‌تواند ساختار قراردادهای فناوری، انتخاب ارائه‌دهندگان خدمات ابری و حتی طراحی فرم‌های رضایت کاربران را تغییر دهد.

در ۱۸ آبان ۱۴۰۵ (۹ نوامبر ۲۰۲۶)، پرسش‌های مطرح‌شده در پرونده C-585/26، با نام Trezor Company، در روزنامه رسمی اتحادیه اروپا منتشر شد؛ پرونده‌ای که از ارجاع دیوان عالی اتریش در ۵ خرداد ۱۴۰۵ (۲۶ مه ۲۰۲۶) آغاز شده و اکنون در دیوان دادگستری اتحادیه اروپا در جریان است. هنوز رأیی صادر نشده است؛ اما همین پرسش‌ها مرز میان «پردازش به‌وسیله پردازشگر» و «افشای داده به شخص دیگر» را به بحث گذاشته‌اند.

۱. مسئله دقیقاً چیست؛ پردازشگر ادامه دست کنترل‌کننده است یا دریافت‌کننده‌ای مستقل؟

در ساختار GDPR، کنترل‌کننده (Controller) اهداف و ابزارهای پردازش داده‌های شخصی را تعیین می‌کند و پردازشگر (Processor) داده‌ها را از طرف او و بر اساس دستورهای قراردادی پردازش می‌کند. ماده ۴(۸) GDPR پردازشگر را شخصی می‌داند که داده‌های شخصی را از جانب کنترل‌کننده پردازش می‌کند؛ ماده ۲۸ نیز رابطه طرفین را به قراردادی مقید می‌کند که موضوع، مدت، ماهیت و هدف پردازش، انواع داده‌ها و تعهدات طرفین را روشن سازد.

از یک سو می‌توان گفت پردازشگر، در محدوده دستورهای کنترل‌کننده، امتداد عملیاتی اوست و بنابراین مبنای قانونی ماده ۶(۱) که پردازش اصلی را توجیه می‌کند، اصولاً پردازش تبعی و ضروری را نیز پوشش می‌دهد. از سوی دیگر، تعریف «پردازش» در ماده ۴(۲) گسترده است و افشا از طریق انتقال را هم در بر می‌گیرد؛ در نتیجه ممکن است استدلال شود که واگذاری داده به یک شخص حقوقی دیگر، حتی اگر پردازشگر باشد، یک عملیات پردازشی مستقل است و باید مبنای قانونی خاص خود را داشته باشد. دیوان عالی اتریش در پرونده حاضر دقیقاً همین تعارض را برای تفسیر به دیوان اروپایی ارجاع کرده است.

۲. پرونده Trezor چه چیزی را به پرسش حقوقی اضافه می‌کند؟

بر اساس اطلاعات منتشرشده در اسناد قضایی اتریش و پرونده ارجاعی، اختلاف به داده‌های شخصی کاربری مربوط است که پس از خرید کیف پول سخت‌افزاری رمزارز، در فهرست دریافت خبرنامه قرار گرفته است. ارسال خبرنامه از طریق ارائه‌دهنده‌ای انجام می‌شده که در کشور ثالث مستقر بوده و به‌عنوان پردازشگر عمل می‌کرده است. دعوا این است که آیا انتقال نشانی ایمیل به این ارائه‌دهنده، با اتکا به مبانی مورد استناد کنترل‌کننده مجاز بوده یا خیر.

نکته مهم آن است که موضوع، صرفاً انتقال بین‌المللی داده نیست. پرسش نخست دیوان اتریش درباره ضرورت یا عدم ضرورت یک مبنای قانونی جداگانه برای انتقال داده از کنترل‌کننده به پردازشگر است؛ پرسش دوم، به‌صورت مشروط، می‌پرسد اگر مبنای جداگانه لازم نباشد، آیا رضایت به دریافت خبرنامه فقط زمانی «آگاهانه» است که کاربر پیش از اعلام رضایت بداند پردازش از طریق پردازشگر مستقر در کشور ثالث انجام خواهد شد. بنابراین پرونده، هم به مبنای قانونی پردازش و هم به کیفیت اطلاع‌رسانی و رضایت مربوط می‌شود.

۳. تفکیک مبنای پردازش از الزامات انتقال برون‌مرزی

به نظر من، یکی از خطرهای تحلیل این پرونده آن است که دو مسئله متفاوت با یکدیگر خلط شوند: نخست، اینکه آیا خودِ پردازش و واگذاری داده به پردازشگر بر مبنای ماده ۶ GDPR مجاز است؛ دوم، اینکه انتقال داده به کشور ثالث با الزامات فصل پنجم GDPR، به‌ویژه مواد ۴۴ به بعد، سازگار است یا نه. پاسخ مثبت به پرسش نخست، لزوماً پاسخ پرسش دوم نیست.

ممکن است پردازشگر در چارچوب یک قرارداد معتبر ماده ۲۸ فعالیت کند، اما انتقال داده به کشور ثالث همچنان به سازوکارهای قانونی انتقال، مانند تصمیم کفایت یا تضمین‌های مناسب، نیاز داشته باشد. برعکس، وجود سازوکار انتقال بین‌المللی نیز به‌تنهایی نقص در مبنای قانونی پردازش را جبران نمی‌کند. شرکت‌ها باید این دو لایه را جداگانه مستند کنند؛ قرارداد پردازش داده، ارزیابی کشور مقصد و مبنای ماده ۶ سه سند یا تحلیل هم‌معنا نیستند.

۴. رضایت آگاهانه تا کجا باید جزئیات زنجیره تأمین را آشکار کند؟

پرسش دوم پرونده از منظر طراحی تجربه کاربر و انطباق داده اهمیت ویژه‌ای دارد. اگر قرار باشد رضایت به دریافت خبرنامه فقط با اطلاع قبلی از هویت یا محل استقرار پردازشگر معتبر باشد، شرکت‌ها ناچار خواهند شد در زمان اخذ رضایت، اطلاعات بیشتری درباره زنجیره تأمین فنی خود ارائه کنند. اما اگر چنین الزامی پذیرفته نشود، همچنان باید بررسی شود که اطلاع‌رسانی عمومی و شفافیت درباره پردازشگر و انتقال برون‌مرزی، تحت سایر تکالیف GDPR تا چه حد لازم است.

معتقدم نباید از این ارجاع نتیجه گرفت که GDPR در همه موارد افشای نام تک‌تک پیمانکاران را شرط رضایت دانسته است؛ این دقیقاً پرسشی است که هنوز پاسخ قضایی نهایی ندارد. در عین حال، پنهان‌کردن واقعیت مهمی مانند پردازش داده در کشور ثالث می‌تواند کیفیت واقعی رضایت و امکان ارزیابی ریسک را تحت تأثیر قرار دهد. معیار مناسب، اطلاع‌رسانی قابل فهم، متناسب با ریسک و مرتبط با تصمیم کاربر است، نه انباشتن فرم رضایت از اصطلاحات فنی.

۵. درس‌هایی برای ایران

در ایران نیز بسیاری از کسب‌وکارهای دیجیتال، داده کاربران را برای میزبانی، ارسال پیام، پشتیبانی، تحلیل آماری یا اعتبارسنجی به پیمانکاران داخلی و خارجی می‌سپارند. در چنین روابطی، امضای یک قرارداد محرمانگی یا درج عبارت کلی «استفاده از خدمات اشخاص ثالث» به‌تنهایی پاسخ‌گوی تمام مسائل نیست. باید روشن باشد چه داده‌ای، برای چه هدفی، با چه دستورهایی، تا چه مدتی و با امکان دسترسی چه اشخاصی پردازش می‌شود؛ همچنین باید تکلیف پیمانکار فرعی، رخداد امنیتی، حذف یا بازگرداندن داده، ممیزی و همکاری در پاسخ به درخواست صاحبان داده مشخص شود.

تا جایی که بنده اطلاع دارم، مواد ۵۸ و ۵۹ قانون تجارت الکترونیکی مصوب ۱۳۸۲ در زمینه داده‌پیام‌های شخصی و شرایط پردازش برخی داده‌ها قابل توجه‌اند؛ با این حال، انطباق دقیق این مواد با مدل‌های نوین پردازش ابری و زنجیره پیمانکاران نیازمند بررسی تفصیلی و به‌روزرسانی تحلیلی است. نباید بدون مطالعه متن کامل قوانین و مقررات مرتبط، قواعد GDPR را عیناً به حقوق ایران منتقل کرد.

به نظر من، نخستین اقدام عملی برای شرکت‌های ایرانی باید تهیه «نقشه جریان داده» و پیوست مستقل پردازش داده در قراردادهای برون‌سپاری باشد؛ در آن باید نقش کنترل‌کننده و پردازشگر، مبنای پردازش، محل میزبانی، انتقال احتمالی برون‌مرزی، دسترسی پیمانکار فرعی و مسئولیت هر طرف در رخدادهای داده‌ای تفکیک شود. وکلای فناوری نیز بهتر است بررسی قرارداد را از سطح محرمانگی فراتر ببرند و چرخه عمر داده را از لحظه جمع‌آوری تا حذف نهایی دنبال کنند. پرونده Trezor هنوز به رأی نرسیده، اما همین ارجاع نشان می‌دهد که در حقوق داده، پرسش اصلی فقط «چه کسی داده را جمع کرده؟» نیست؛ بلکه «چه کسی، با چه مبنایی و در کدام حلقه از زنجیره، آن را پردازش می‌کند؟» نیز اهمیت مستقل دارد!

منابع: دیوان عالی اتریش، پرونده 6 Ob 69/25b، ۲۶ مه ۲۰۲۶؛ سامانه رسمی InfoCuria، پرونده C-585/26، Trezor Company؛ EU Law Radar، تحلیل ارجاع پرونده Trezor، ۹ نوامبر ۲۰۲۶.

این یادداشت جنبه آموزشی دارد و جایگزین مشاوره حقوقی در پرونده‌های مشخص نیست.