شماره ۱۰۷۱۹۸ – ۲۷/۱۰/۱۴۰۲
کلیه دستگاههای اجرایی
به پیوست دستورالعمل اجرایی «بهبود حفاظت از حریم خصوصی کاربران و شیوه جمعآوری، پردازش و نگهداری اطلاعات کاربران در سامانه‌ها و سکوهای فضای مجازی» که در یکصد و بیست و هفتمین جلسه مورخ ۱۱/۱۰/۱۴۰۲ کمیسیون عالی تنظیم مقررات فضای مجازی کشور و بر اساس وظایف و اختیارات مصرح در بندهای “۳ـ۲ـ۱ـ” و “۳ـ۲ـ۱۲ـ” آیین‌نامه آن کمیسیون (مصوب هشتاد و یکمین جلسه مورخ ۲۷/۰۲/۱۴۰۱ شورای عالی فضای مجازی کشور) و با هدف کاهش بخشی از مخاطرات مرتبط با نقض حریم خصوصی کاربران و نیز الزام اشخاص حقوقی غیردولتی و دستگاههای اجرایی کشور (دستگاههای اجرایی موضوع ماده (۲۹) قانون برنامه پنجساله ششم توسعه اقتصادی، اجتماعی و فرهنگی جمهوری اسلامی ایران) به رعایت شرایط مرتبط با شیوه های جمعآوری، پردازش و نگهداری داده های کاربران در سامانه‌ها و سکوهای فضای مجازی، مصوب شده است، برای اجرا ابلاغ می‌شود.
دبیر شورای عالی و رئیس مرکز ملی فضای مجازی ـ سید محمدامین آقامیری
دستورالعمل اجرایی بهبود حفاظت از حریم خصوصی کاربران و شیوه جمعآوری، پردازش و نگهداری اطلاعات کاربران در سامانه‌ها و سکوهای فضای مجازی
(بخش اول از سند سیاستها و الزامات حفاظت از داده‌ها)
مصوب یکصد و بیست و هفتمین جلسه مورخ ۱۱/۱۰/۱۴۰۲ کمیسیون عالی تنظیم مقررات فضای مجازی کشور
براساس وظایف و اختیارات مصّرح در بندهای “۳ـ۲ـ۱ـ” و “۳ـ۲ـ۱۲ـ” آیین‌نامه کمیسیون عالی تنظیم مقررات فضای مجازی کشور (مصوب هشتاد و یکمین جلسه مورخ ۲۷/۰۲/۱۴۰۱ شورای عالی فضای مجازی کشور) و با هدف کاهش بخشی از مخاطرات مرتبط با نقض حریم خصوصی کاربران و نیز الزام اشخاص حقوقی غیردولتی و دستگاههای اجرایی کشور (دستگاههای اجرایی موضوع ماده ‐ (۲۹) قانون برنامه پنجساله ششم توسعه تصادی، اجتماعی و فرهنگی جمهوری اسلایم ایران) به رعایت شرایط مرتبط با شیوه‌های جمعآوری، پردازش و نگهداری داده‌های کاربران در سامانه‌ها و سکوهای فضای مجازی، تکالیف اجرایی زیر ابلاغ می‌شود:
۱ـ کلیه ارائه‌دهندگان خدمات از طریق سامانه‌ها و سکوهای فضای مجازی موظف‌اند حداکثر ظرف مدت دو ماه (۲ ماه) از تاریخ ابلاغ این دستورالعمل:
۱ـ۱ـ سیاستهای حفظ حریم خصوصی مرتبط با جمعآوری، پردازش و نگهداری داده‌های کاربران را به صورت شفاف شامل موارد زیر اعلام و رضایت صریح آنان مبنی بر پذیرش شرایط را اخذ نمایند:
۱ـ۱ـ۱ـ کدام اقلام داده‌ای را و برای چه منظوری از کاربران دریافت و یا جمعآوری میکنند. در این زمینه و در زمان دریافت و جمعآوری، اقلام ضروری را از اقلام اختیاری تفکیک نموده و قابلیت انتخاب را برای کاربر در ارائه اطلاعات اختیاری فراهم کنند؛
۱ـ۱ـ۲ـ شیوه دریافت و جمعآوری اعم از دریافت مستقیم از کاربران و یا به صورت غیرمستقیم و از طریق مشخصات تجهیزات و سامانه‌های در اختیار کاربران را مشخص کنند؛
۱ـ۱ـ۳ـ نحوه و ابزار اطلاع‌رسانی تغییر سیاستها را مشخص نموده و مجددا رضایت صریح کاربران را اخذ و تغییرات لازم را اعمال نمایند؛
تبصره: هرگونه تغییر در شرایط و سیاستها باید حداقل دو ماه (۲ ماه) قبل از اعمال، به کاربران اعلام شود.
۱ـ۲ـ داده‌ها باید صرفا در حد اقالم مورد نیاز برای انجام تکالیف قانونی یا ادامه کسب وکار و متناسب با اهدافی که در بند “۱ـ۱ـ کاربر شرح داده شده و اجازه و رضایت صریح وی اخذ گردیده است، جمعآوری، پردازش و ذخیره سازی شود؛
۱ـ۳ـ درصورت درخواست کاربران برای حذف داده‌های مرتبط از قبیل حذف حساب کاربری، تمام و یا بخشی از داده‌های مرتبط با فعالیت آنان در سامانه و سکو (مشروط به عدم مغایرت با قوانین و مقررات کشور و مأموریتها و تکالیف دستگاههای اجرایی)، بلافاصله انجام پذیرفته و داده‌های حذف شده از سامانه و سکوی برخط، به منظور رعایت مقررات قانونی از جمله مقررات مواد (۶۶۷) تا (۶۷۰) قانون آیین دادرسی کیفری (دادرسی جرایم رایانه‌ای) به پایگاههای داده پشتیبان مستقر در بخش غیربرخط و منفصل از شبکه‌های ارتباطی عمومی منتقل و تنها برای انجام تکالیف مقرر در قانون، نگهداری یا پردازش شود و پس از خاتمه مواعد قانونی یا قضایی، به طور کامل امحاء شود؛
۱ـ۴- داده‌های مربوط به هویت و اطلاعات شخصی کاربران که منجر به شناسایی هویت ایشان می‌شود، صرفاً باید به صورت رمزنگاری شده ذخیره شود. دستورالعملها مرتبط با سطوح و شیوه‌های رمزنگاری براساس وظایف تعیین شده در اسناد مصوب شورای عالی فضای مجازی کشور، توسط دستگاههای مسئول ابلاغ می‌شود؛
تبصره ۱: مسئولیتهای حقوقی و قضایی نقض حریم خصوصی ناشی از عدم رعایت مقررات بند یک این دستورالعمل، بر عهده ارائه‌دهنده خدمت مربوط است؛
تبصره ۲: تمامی اشخاص مشمول مکلفاند ظرف مدت سه ماه (۳ ماه) از تاریخ ابلاغ این مصوبه، مقررات بند یک این دستورالعمل را برای داده هایی که پیش از تصویب این مقررات جمعآوری، ذخیره یا پردازش نموده اند، اعمال کرده و درخصوص درخواست حذف، براساس بند “۱ـ۳ـ” عمل نمایند.
۲ـ تنظیمگران بخشی یا مراجع صدور مجوز موظف‌اند استمرار ارائه خدمات یا تمدید مجوزها به سامانه‌ها و سکوهای موضوع این دستورالعمل را منوط به حصول اطمینان از رعایت این مقررات تعیین نموده و در غیر این صورت، اقدامات قانونی لازم را بعمل آوردند؛
۳ـ ارائه‌دهندگان خدمات موظف‌اند از طریق سامانه‌ها و سکوهای فضای مجازی، ضمن پیاده‌سازی شرایط این دستورالعمل در زمان تعیین شده براساس بند یک، پس از فراهم شدن سازوکار ارائه خدمات احراز هویت کاربران براساس قابلیت «زیست بوم هویت معتبر» (مبتنی بر نظام هویت معتبر مصوب پنجاه و نهمین جلسه شورای عالی فضای مجازی کشور) توسط سازمان ثبت احوال کشور، با هدف به حداقل رساندن جمعآوری اطلاعات هویتی، حداکثر پس از یک ماه (۱ ماه)، سامانه‌های خود را با فرآیندهای مربوط منطبق نمایند؛
۴ـ سازوکار نظارت بر حسن اجرای این مصوبه، توسط مرکز ملی فضای مجازی کشور به دستگاههای نظارتی مرتبط ابلاغ می‌شود. کلیه دستگاههای اجرایی، مراجع قانونی عهده‌دار نظارت یا صدور مجوز و تنظیم گران بخشی، مکلفاند با دستگاههای نظارتی که در این خصوص تعیین میشوند، همکاری نمایند.