متن دستورالعمل حفاظت از حریم خصوصی کاربران
دستورالعمل اجرایی بهبود حفاظت از حریم خصوصی کاربران و شیوه جمع‌آوری، پردازش و نگهداری اطلاعات کاربران در سامانه‌ها و سکوهای فضای مجازی به شرح زیر در سایت شورای عالی فضای مجازی منتشر شد:
)بخش اول از سند سیاستها و الزامات حفاظت از دادهها( مصوب یکصدوبیستوهفتمین جلسه مورخ 1402/10/11 کمیسیون عالی تنظیم مقررات فضای مجازی کشور
براساس وظایف و اختیارات مصرّح در بندهای "-1-2-3" و "-12-2-3" آیین‌نامه کمیسیون عالی تنظیم مقررات فضای مجازی کشور )مصوب هشتاد و یکمین جلسه مورخ 1401/2/27 شورای عالی فضای مجازی کشور(و با هدف کاهش بخشی از مخاطرات مرتبط با نقض حریم خصوصی کاربران و نیز الزام اشخاص حقوقی غیردولتی و دستگاههای اجرایی کشور )دستگاههای اجرایی موضوع ماده )22( قانون برنامه پنجساله ششم توسعه اقتصادی، اجتماعی و فرهنگی جمهوری اسالمی ایران( به رعایت شرایط مرتبط با شیوههای جمع‌آوری، پردازش و نگهداری دادههای کاربران در سامانه‌ها و سکوهای فضای مجازی، تکالیف اجرایی زیر ابلاغ میشود
: -1 کلیه ارائهدهندگان خدمات از طریق سامانه‌ها و سکوهای فضای مجازی موظف‌اند حداکثر ظرف مدت دو ماه )2ماه( از تاریخ ابلاغ این دستورالعمل:
-1-1 سیاستهای حفظ حریم خصوصی مرتبط با جمع‌آوری، پردازش و نگهداری دادههای کاربران را بهصورت شفاف شامل موارد زیر اعلام و رضایت صریح آنان مبنی بر پذیرش شرایط را اخذ نمایند
: -1-1-1 کدام اقالم دادهای را و برای چه منظوری از کاربران دریافت و یا جمع‌آوری میکنند. در این زمینه و در زمان دریافت و جمع‌آوری، اقالم ضروری را از اقالم اختیاری تفکیک نموده و قابلیت انتخاب را برای کاربر در ارائه اطلاعات اختیاری فراهم کنند؛
-2-1-1 شیوه دریافت و جمع‌آوری اعم از دریافت مستقیم از کاربران و یا بهصورت غیرمستقیم و از طریق مشخصات تجهیزات و سامانه‌های در اختیار کاربران را مشخصکنند؛
-3-1-1 نحوه و ابزار اطالعرسانی تغییر سیاستها را مشخص نموده و مجدداً رضایت صریح کاربران را اخذ و تغییرات الزم را اعمال نمایند؛
تبصره:هرگونه تغییر در شرایط و سیاستها باید حداقل دو ماه )2 ماه( قبل از اعمال، به کاربران اعلام شود.
-2-1 دادهها باید صرفاً درحد اقالم مورد نیاز برای انجام تکالیف قانونی یا ادامه کسب وکار و متناسب با اهدافی که دربند "-1-1" برای کاربر شرح داده شدهواجازهورضایت صریح وی اخذ گردیده است، جمع‌آوری، پردازش وذخیرهسازی شود؛
-3-1 درصورت درخواست کاربران برای حذف دادههای مرتبط از قبیل حذف حسابکاربری، تمام و یا بخشی از دادههای مرتبط با فعالیت آنان در سامانه و سکو )مشروط به عدم مغایرت با قوانین و مقررات کشور و مأموریتها و تکالیف دستگاههای اجرایی(، بلافاصله انجام پذیرفته و دادههای حذف شده از سامانه و سکوی برخط، به منظور رعایت مقررات قانونی ازجمله مقررات مواد )662( تا )622( قانون آیین دادرسی کیفری )دادرسی جرایم رایانه‌ای( به پایگاههای داده پشتیبان مستقر در بخش غیربرخط و منفصل از شبکه‌های ارتباطی عمومی منتقل و تنها برای انجام تکالیف مقرر در قانون، نگهداری یا پردازش شود و پس از خاتمه مواعد قانونی یا قضایی، به‌طور کامل امحاء شود؛
-4-1 دادههای مربوط به هویت و اطلاعات شخصی کاربران که منجر به شناسایی هویت ایشان میشود، صرفاً باید به صورت رمزنگاریشده ذخیره شود. دستورالعملهای مرتبط با سطوح و شیوههای رمزنگاری براساس وظایف تعیین شده در اسناد مصوب شورای عالی فضای مجازی کشور، توسط دستگاههای مسئول ابلاغ میشود؛
تبصره:1 مسئولیتهای حقوقی وقضایی نقض حریم خصوصی ناشی از عدم رعایت مقررات بند یک این دستورالعمل، برعهده ارائه‌دهنده خدمت مربوط است؛
تبصره:2 تمامی اشخاص مشمول مکلفاند ظرف مدت سه ماه )3ماه( از تاریخ ابلاغ این مصوبه، مقررات بند یک این دستورالعمل را برای دادههایی که پیش از تصویب این مقررات جمع‌آوری، ذخیره یا پردازش نمودهاند، اعمال کرده و درخصوص درخواست حذف، براساس بند "-3-1" عمل نمایند.
-2 تنظیمگران بخشی یا مراجع صدور مجوز موظف‌اند استمرار ارائه خدمات یا تمدید مجوزها به سامانه‌ها و سکوهای موضوع این دستورالعمل را منوط به حصول اطمینان از رعایت این مقررات تعیین نموده و در غیر این صورت، اقدامات قانونی الزم را بعملآوردند؛
-3 ارائهدهندگان خدمات موظف‌اند از طریق سامانه‌ها و سکوهای فضای مجازی، ضمن پیادهسازی شرایط این دستورالعمل در زمان تعیین شده براساس بند یک، پساز فراهم شدن سازوکار ارائه خدمات احراز هویت کاربران براساس قابلیت »زیست بوم هویت معتبر« )مبتنی برنظام هویت معتبرمصوب پنجاه ونهمین جلسه شورای عالی فضای مجازی کشور( توسط سازمان ثبت احوال کشور، باهدف به حداقل رساندن جمع‌آوری اطلاعات هویتی، حداکثر پس از یکماه )1ماه(، سامانه‌های خود را با فرآیندهای مربوط منطبق نمایند؛
-4 سازوکارنظارت بر حسن اجرای این مصوبه، توسط مرکز ملی فضای مجازی کشوربه دستگاههای نظارتی مرتبط ابلاغ میشود. کلیه دستگاههای اجرایی، مراجع قانونی عهدهدار نظارت یا صدور مجوز و تنظیمگران بخشی، مکلف اند با دستگاههای نظارتی که در این خصوص تعیین میشوند، همکاری نمایند