Screenshot_30-10-2026_174631_www.vzbv.de.webpوقتی کاربری با یک چت‌بات درد دل می‌کند، از بیماری‌اش می‌گوید یا درباره باورهای دینی‌اش سؤال می‌پرسد، این گفت‌وگو دقیقاً مال کیست؟ آیا شرکتی که چت‌بات را در اختیار او گذاشته می‌تواند همین حرف‌ها را به ماده خام تبلیغات هدفمند تبدیل کند؟ به نظر من این پرسش، یکی از مهم‌ترین پرسش‌های حقوق داده در سال‌های پیش روست؛ زیرا چت‌بات‌ها برخلاف موتور جست‌وجو، کاربر را به گفت‌وگویی صمیمی دعوت می‌کنند و صمیمیت، بیش از هر چیز داده تولید می‌کند!

دادگاه منطقه‌ای کلن آلمان در رأی ۱۷ سپتامبر ۲۰۲۶ (۲۶ شهریور ۱۴۰۵)، در دعوایی که فدراسیون سازمان‌های مصرف‌کنندگان آلمان (vzbv) علیه شرکت Snap، اپراتور اسنپ‌چت، طرح کرده بود، استفاده از داده‌های واردشده در چت‌بات «My AI» برای تبلیغات را بدون مبنای قانونی ممنوع کرد. همین رأی، تیک‌های از پیش زده‌شده در تنظیمات تبلیغات و فعال بودن پیش‌فرض برخی موضوعات تبلیغاتیِ ممنوع برای کودکان را نیز غیرقانونی دانست. رأی قطعی نیست و فدراسیون مصرف‌کنندگان آن را در ۱۵ اکتبر ۲۰۲۶ (۲۳ مهر ۱۴۰۵) اعلام کرد.

۱. گفت‌وگو با چت‌بات، داده شخصی و غالباً داده حساس است

نخستین نکته رأی، به نظر من از همه مهم‌تر است؛ دادگاه پذیرفت که کاربران به‌طور قابل پیش‌بینی اطلاعات مربوط به سلامت، مذهب و موضوعاتی از این دست را با چت‌بات در میان می‌گذارند. استدلال دادگاه ساده اما دقیق بود؛ خود چت‌بات کاربر را تشویق می‌کرد که «هر سؤالی» بپرسد و به تعبیر فدراسیون مصرف‌کنندگان، خود را همچون یک دوست معرفی می‌کرد. وقتی طراحی محصول، کاربر را به اعتماد و افشا دعوت می‌کند، شرکت نمی‌تواند بعداً ادعا کند از ورود داده‌های حساس بی‌خبر بوده است. در نتیجه، پردازش این داده‌ها تحت شمول ماده ۹ مقررات عمومی حفاظت از داده اتحادیه اروپا (GDPR) قرار گرفت که پردازش داده‌های حساس را جز با رضایت صریح یا مبانی استثنایی دیگر ممنوع می‌کند.

۲. نیت شرکت ملاک نیست؛ «جمع‌آوری تحمیلی» پذیرفته نشد

Snap استدلال کرده بود که اگر کاربر برخلاف توصیه شرکت داده حساس وارد کند، این در واقع جمع‌آوری‌ای است که به شرکت «تحمیل» شده و نباید آن را مسئول دانست؛ دادگاه این دفاع را نپذیرفت. مبنای دادگاه، رأی دیوان دادگستری اتحادیه اروپا در پرونده C-252/21 (۴ ژوئیه ۲۰۲۳ / ۱۳ تیر ۱۴۰۲) بود که بر اساس آن، ممنوعیت پردازش داده حساس حتی وقتی کنترل‌کننده قصد به دست آوردن چنین داده‌ای را ندارد نیز اعمال می‌شود؛ و اگر داده‌های حساس و عادی با هم جمع‌آوری شوند و قابل تفکیک نباشند، کل مجموعه تحت حمایت ویژه قرار می‌گیرد. توصیه‌ای که در یکی از زیرصفحه‌های سیاست حریم خصوصی آمده بود نیز از نظر دادگاه صرفاً یک پیشنهاد غیرالزام‌آور بود که اکثر کاربران هرگز آن را نمی‌خوانند. معتقدم این بخش رأی، پیام روشنی برای طراحان محصول دارد؛ هشدار پنهان در متن حقوقی، جای طراحی مسئولانه را نمی‌گیرد!

۳. دکمه «باشه» و تیک از پیش زده‌شده، رضایت نیست

پیش از اولین استفاده از My AI، پیامی به کاربر نمایش داده می‌شد که در آن آمده بود اطلاعات واردشده ممکن است برای بهبود محصولات و شخصی‌سازی، از جمله تبلیغات، به کار رود؛ کاربر فقط دکمه تأیید را می‌زد. دادگاه این را رضایت معتبر ندانست؛ به‌ویژه اینکه برای داده حساس، رضایت باید «صریح» باشد. در تنظیمات تبلیغات نیز همه گزینه‌ها، از جمله اشتراک داده با شبکه‌های تبلیغاتی ثالث و ردیابی فعالیت خارج از اپلیکیشن، از قبل فعال بود. دادگاه به رویه دیوان عالی فدرال آلمان استناد کرد که رضایت از طریق تنظیمات پیش‌فرض را باطل می‌داند. جالب اینکه Snap ادعا کرده بود تیک‌ها ابزاری برای اعمال «حق اعتراض» کاربر هستند؛ دادگاه پاسخ داد که اعتراض، فرع بر پردازش قانونی است و وقتی اساساً مبنای قانونی به کاربر اعلام نشده، نمی‌توان از این منطق وارونه استفاده کرد.

۴. منافع مشروعی که اعلام نشده، قابل استناد نیست؛ به‌خصوص وقتی کاربر کودک است

شرکت به «منافع مشروع» نیز تکیه کرده بود؛ اما دادگاه با استناد به رأی دیوان دادگستری اتحادیه اروپا در پرونده C-394/23 (۹ ژانویه ۲۰۲۵ / ۲۰ دی ۱۴۰۳) گفت کنترل‌کننده باید منافع مشروع مورد نظر خود را هنگام جمع‌آوری داده به کاربر اعلام کند و Snap چنین نکرده بود. دادگاه وارد ارزیابی نهایی موازنه منافع نشد، اما تردید جدی خود را نشان داد؛ زیرا خدمت از ۱۳ سالگی در دسترس است و نوجوانان کمتر از بزرگسالان از خطرات افشای داده آگاه‌اند. در همین چارچوب، فعال بودن پیش‌فرض موضوعات تبلیغاتی مانند الکل و قمار در حساب کاربران زیر سن قانونی نیز با مقررات حمایت از نوجوانان در رسانه‌ها مغایر شناخته شد. به نظر من نکته ظریف اینجاست که دادگاه منتظر وقوع آسیب نماند؛ صرف وجود چنین تنظیمی را برای صدور قرار منع کافی دانست.

۵. پنهان شدن پشت شرکت مادر ممکن نیست

دفاع دیگر شرکت اروپایی Snap این بود که تنها شرکت مادر آمریکایی داده‌ها را پردازش می‌کند. دادگاه با توجه به شرایط استفاده‌ای که حقوق گسترده‌ای بر محتوای کاربران و تبلیغات شخصی‌سازی‌شده برای همین شرکت اروپایی پیش‌بینی می‌کرد، آن را به همراه شرکت مادر «کنترل‌کننده مشترک» دانست. این بخش برای هر گروه شرکتی که خدمات دیجیتال را از طریق شرکت‌های تابعه در کشورهای مختلف عرضه می‌کند، درس مهمی است؛ آنچه در قرارداد با کاربر نوشته می‌شود، مسئولیت را تعیین می‌کند، نه نمودار سازمانی گروه! البته باید دقت کرد که دامنه رأی محدود است؛ دادگاه فقط درباره استفاده تبلیغاتی از داده‌های چت تصمیم گرفت و درباره استفاده برای پاسخ‌گویی، بهبود محصول یا آموزش مدل‌های هوش مصنوعی اظهار نظر نکرد.

۶. درس‌هایی برای ایران

در ایران نیز کسب‌وکارها با سرعت در حال افزودن دستیارهای گفت‌وگومحور به اپلیکیشن‌های خرید، بانکداری، سلامت و پیام‌رسان‌ها هستند؛ اما بحث حقوقی درباره سرنوشت داده‌های این گفت‌وگوها تقریباً آغاز نشده است. تا جایی که بنده اطلاع دارم، قانون تجارت الکترونیکی مصوب ۱۳۸۲ در بخش حمایت از داده‌پیام‌های شخصی، ذخیره و پردازش داده‌های حساس، از جمله داده‌های مربوط به سلامت و اعتقادات، را منوط به رضایت صریح دانسته است؛ معتقدم همین قاعده، اگر درست تفسیر شود، ظرفیت پاسخ به مسئله چت‌بات‌ها را دارد. چند پیشنهاد عملی دارم؛ اول، کسب‌وکارهای ایرانی پیش از استفاده تبلیغاتی یا تحلیلی از متن گفت‌وگوها، رضایت جداگانه و صریح بگیرند و گزینه‌های پیش‌فرض را خاموش بگذارند؛ دوم، هشدارهای مربوط به داده حساس را در خود رابط گفت‌وگو نمایش دهند نه در اعماق سیاست حریم خصوصی؛ سوم، برای کاربران کم‌سن سیاست جداگانه‌ای طراحی کنند؛ و چهارم، قانون‌گذار در تدوین مقررات جامع حفاظت از داده‌های شخصی، داده‌های تولیدشده در تعامل با سامانه‌های هوش مصنوعی را صراحتاً پوشش دهد. نکته دیگری که توجه مرا جلب کرد، نقش انجمن‌های مصرف‌کنندگان در طرح این دعوا بود؛ تا جایی که بنده اطلاع دارم، قانون حمایت از حقوق مصرف‌کنندگان نیز برای تشکل‌های مصرف‌کنندگان نقشی در پیگیری حقوق مصرف‌کننده پیش‌بینی کرده است و جای آن دارد که ظرفیت این تشکل‌ها در حوزه خدمات دیجیتال جدی‌تر بررسی شود. به نظر من، اعتمادی که چت‌بات از کاربر می‌گیرد، امانتی است که نباید به کالای تبلیغاتی تبدیل شود!

منابع: اطلاعیه فدراسیون سازمان‌های مصرف‌کنندگان آلمان (vzbv)، ۱۵ اکتبر ۲۰۲۶؛ تحلیل مؤسسه حقوقی LHR، ۱۵ اکتبر ۲۰۲۶؛ تحلیل مؤسسه حقوقی KPW؛ ADVANT Beiten، Privacy Ticker، اکتبر ۲۰۲۶

این یادداشت جنبه آموزشی دارد و جایگزین مشاوره حقوقی در پرونده‌های مشخص نیست.