برنامه‌ها و دولت‌ها

امکانی که از یه کشور برداشته شد

درس آیفون «محافظت پیشرفته‌ی داده» (Advanced Data Protection) رو گفت: یه گزینه که پشتیبان و عکس‌های آی‌کلود رو سرتاسری رمزگذاری می‌کنه، طوری که خود اپل هم نتونه بازشون کنه. حالا یه صفحه‌ی رسمی از پشتیبانی اپل هست با این عنوان: «اپل دیگه نمی‌تونه محافظت پیشرفته‌ی داده رو به کاربرهای تازه توی بریتانیا ارائه بده».

یعنی یه شرکت، یه قفل امنیتی رو که همه‌جای دنیا می‌ده، توی یه کشور دیگه نمی‌تونه بده. چرا؟ این درس دقیقا درباره‌ی همین سواله: دولت‌ها، طبق قانون، تا کجا می‌تونن به داده‌ی کاربرهای یه سرویس برسن، و شرکت‌ها چی می‌گن به اون‌ها می‌دن.

قانون این درس ساده‌ست: فقط متن قانون‌ها و سندهای رسمی خود شرکت‌ها، با اسم و شماره؛ نه شایعه، نه حدس، نه داوری سیاسی. درباره‌ی هر کشوری هم فقط چیزی گفته می‌شه که متن رسمی قانونش رو پیدا کردیم. سوال این نیست که کدوم دولت خوبه یا بد؛ سوال اینه که داده‌ی شما، روی کاغذ، کجا می‌ره.

دسترسی قانونی یعنی چی

«دسترسی قانونی» (Lawful access) یعنی دولت، با یه کاغذ رسمی که قانون پیش‌بینی کرده، مثل احضاریه یا حکم دادگاه، از یه شرکت بخواد داده‌ی یه کاربر رو بده. این با «هک کردن» فرق داره؛ شرکت خبر داره و طبق قانون جواب می‌ده. سند رسمی گوگل این‌طور شروع می‌شه: «سازمان‌های دولتی از سراسر دنیا از گوگل می‌خوان اطلاعات کاربرها رو فاش کنه. ما هر درخواست رو با دقت بررسی می‌کنیم تا مطمئن بشیم با قانون جوره.»

مثلا فرض کنید یه صندوق امانات توی بانک دارید. بانک اسم و آدرس شما رو داره، می‌دونه کی اومدید و کی رفتید، و اگه کلید صندوق پیش خودش باشه، می‌تونه داخلش رو هم باز کنه. قانون هر کشور می‌گه پلیس برای هر کدوم از این‌ها، چه کاغذی باید بیاره. داده‌ی آنلاین هم همینه؛ فقط صندوق‌ها خیلی بیشترن.

سه نوع داده

داده‌ای که یه سرویس از شما داره، سه جوره، و این تقسیم توی قانون‌ها و سندهای شرکت‌ها مدام تکرار می‌شه. اول، «اطلاعات حساب» یا «اطلاعات مشترک» (Subscriber information): اسم، ایمیل، شماره، و نشانی‌های IP که باهاشون وارد شدید. دوم، «فراداده» (Metadata) یا داده‌ای که محتوا نیست: سند گوگل مثالش رو زده، فیلدهای «فرستنده»، «گیرنده»، «رونوشت» و «ساعت» یه ایمیل. یعنی کی، به کی، کی. سوم، «محتوا» (Content): خود ایمیل، سند، عکس، پیام.

سند اپل هم همین رو گفته: داده‌ی غیرمحتوایی مثل اطلاعات مشترک، اطلاعات تراکنش و سوابق اتصال؛ و داده‌ی محتوایی مثل عکس‌های ذخیره‌شده، ایمیل، پشتیبان آیفون، مخاطب‌ها و تقویم. یادتون باشه، فراداده هم خیلی چیز می‌گه. اینکه هر شب ساعت ۲ با یه نفر خاص تماس دارید، یا هر هفته با یه دکتر خاص ایمیل رد و بدل می‌کنید، بی اینکه کسی محتوا رو بخونه، خودش داستانیه.

نگه‌داشتن سوابق

یه سوال رایج: «اگه پاکش کنم، دیگه نیست؟» همون بخش ۲۷۰۳، بند (f)، یه چیز مهم داره به اسم «الزام به نگه‌داشتن مدرک». شرکت، به درخواست دولت، باید سوابق و مدرک‌هایی رو که داره، تا وقتی دستور دادگاه یا کاغذ دیگه‌ای برسه، نگه داره؛ ۹۰ روز، که با درخواست دوباره، ۹۰ روز دیگه تمدید می‌شه. یعنی ممکنه پیش از اینکه حتی حکمی صادر بشه، دولت از شرکت بخواد چیزی رو پاک نکنه. این برای حرف درس حق پاک شدن هم مهمه: پاک کردن شما، همیشه یعنی پاک شدن فوری از همه‌جا نیست.

دستور سکوت

خیلی‌ها فکر می‌کنن اگه دولتی داده‌شون رو بخواد، شرکت حتما خبرشون می‌کنه. ولی بخش ۲۷۰۵ همون قانون، بند (b)، اجازه می‌ده دولت از دادگاه دستوری بگیره که شرکت «به هیچ کس دیگه‌ای» درباره‌ی وجود حکم یا احضاریه چیزی نگه؛ به این می‌گن «دستور سکوت» (Gag order یا Nondisclosure order). قانون پنج دلیل برای صادر کردنش گفته: خطر برای جون یا سلامت یه نفر، فرار از دادگاه، از بین بردن یا دستکاری مدرک، ترسوندن شاهدها، یا اینکه یه تحقیق به‌طور جدی خراب یا یه دادگاه بی‌دلیل عقب بیفته.

کشورهای دیگه هم مشابهش رو دارن، که پایین‌تر می‌گیم. نتیجه‌ش برای شما: نبودن خبر، به معنی نبودن درخواست نیست.

نامه‌ی امنیت ملی

برای پرونده‌های امنیت ملی، آمریکا یه ابزار دیگه هم داره: «نامه‌ی امنیت ملی» (National Security Letter یا NSL). طبق بخش ۲۷۰۹ قانون، شرکت ارتباطی باید به درخواست پلیس فدرال آمریکا (FBI)، اطلاعات مشترک، سوابق صورت‌حساب تماس، یا سوابق تراکنش‌های ارتباط الکترونیکی رو بده؛ و همون بخش، شرکت رو از گفتن اینکه FBI دنبال این اطلاعات بوده، منع می‌کنه، اگه FBI گواهی بده که گفتنش خطرناکه.

سند رسمی گوگل دو مرز مهمش رو گفته: نامه‌ی امنیت ملی «به تایید قاضی نیاز نداره»، و فقط می‌شه باهاش «اطلاعات محدود مشترک» رو گرفت، نه محتوا رو.

FISA و بخش ۷۰۲

قانون دیگه‌ای که توی سند گوگل، اپل و مایکروسافت اسمش اومده، FISA‌ه، کوتاه‌شده‌ی Foreign Intelligence Surveillance Act، یعنی «قانون شنود اطلاعات خارجی». سند گوگل می‌گه دستورها و مجوزهای FISA می‌تونن گوگل رو به شنود الکترونیکی و دادن داده‌ی ذخیره‌شده، از جمله محتوای سرویس‌هایی مثل جیمیل، درایو و عکس‌ها، مجبور کنن.

سند مایکروسافت بخش ۷۰۲ این قانون رو توضیح داده: دادگاه FISA می‌تونه به دولت اجازه بده به شرکت‌ها دستور بده داده‌ی محتوایی و غیرمحتوایی مربوط به «افراد غیرآمریکایی مشخصی که بیرون از آمریکان» رو برای اطلاعات خارجی، مثلا درباره‌ی تروریسم، گسترش سلاح، و حمله‌های سایبری، بدن. همون سند می‌گه طبق یه دستور ریاست‌جمهوری، از بخش ۷۰۲ نمی‌شه برای جاسوسی صنعتی یا سرکوب انتقاد استفاده کرد، و دادگاه FISA هر سال برنامه رو تایید و تخلف‌ها رو بررسی می‌کنه.

یه نکته که برای کسی که بیرون از آمریکا زندگی می‌کنه مهمه: بخش ۷۰۲، طبق همین توضیح، دقیقا برای افراد غیرآمریکایی بیرون از آمریکا نوشته شده. یعنی همون محافظت‌هایی که قانون اساسی آمریکا برای شهروند خودش داره، اینجا به همون شکل شامل حال یه کاربر خارجی نمی‌شه.

CLOUD Act: داده هر جا باشه

یه فکر رایج اینه که «اگه سرورش توی اروپاست، قانون آمریکا بهش نمی‌رسه». قانونی که سال ۲۰۱۸ تصویب شد و اسمش CLOUD Act‌ه، کوتاه‌شده‌ی Clarifying Lawful Overseas Use of Data Act، یعنی «قانون روشن کردن استفاده‌ی قانونی از داده در خارج»، دقیقا همین رو جواب داده. بخش ۲۷۱۳ که این قانون اضافه کرد، می‌گه شرکت باید طبق همین فصل، محتوا و سوابق رو که «در اختیار، نگه‌داری یا کنترل» داره، نگه داره، پشتیبان بگیره یا بده؛ «فرقی نمی‌کنه که اون داده توی آمریکا باشه یا بیرون از آمریکا».

پس برای یه شرکت آمریکایی، جای سرور، به‌تنهایی، داده رو از قانون آمریکا بیرون نمی‌بره. چیزی که مهمه، اینه که شرکت کیه و کجا ثبت شده. همون قانون یه راه دیگه هم ساخت: کشورهایی که با آمریکا «توافق اجرایی» دارن، طبق بند (h) بخش ۲۷۰۳، می‌تونن مستقیم‌تر از شرکت‌ها داده بخوان. گزارش شفافیت اپل یه دسته‌ی جدا به اسم «توافق دسترسی به داده‌ی آمریکا و بریتانیا: درخواست‌های بریتانیا طبق قانون اختیارات تحقیقاتی» داره؛ یعنی دست‌کم یکی از این توافق‌ها، بین آمریکا و بریتانیا، الان کار می‌کنه.

درخواست کشورهای دیگه

خب اگه یه دولت غیرآمریکایی از یه شرکت آمریکایی داده بخواد چی؟ سند گوگل می‌گه گوگل ممکنه اطلاعات کاربر رو بده، اگه با چهار چیز با هم جور باشه: قانون آمریکا، یعنی دادنش طبق قانون آمریکا مجاز باشه؛ قانون کشور درخواست‌کننده، یعنی همون تشریفاتی رعایت شده باشه که برای یه شرکت داخلی لازمه؛ «اصول بین‌المللی»، یعنی اصول آزادی بیان و حریم خصوصی «ابتکار شبکه‌ی جهانی» (Global Network Initiative یا GNI)؛ و سیاست‌های خود گوگل، از جمله سیاست‌های مربوط به آزادی بیان.

اپل هم توی گزارش شفافیتش درخواست‌ها رو کشوربه‌کشور می‌شمره، و می‌گه اگه اسم یه کشور توی گزارش نیست، یعنی از اون کشور هیچ درخواستی از نهاد دولتی یا پلیس نگرفته. یعنی جواب دادن به درخواست یه کشور، اتوماتیک نیست؛ هر شرکت شرط‌های خودش رو داره.

به شما خبر می‌دن؟

سند گوگل می‌گه وقتی درخواستی از یه نهاد دولتی میاد، پیش از دادن اطلاعات، به حساب کاربر ایمیل می‌زنه؛ و اگه حساب مال یه سازمانه، به مدیر حساب. ولی چند استثنا داره: وقتی قانون یا شرط‌های خود درخواست ممنوع کنه، که بعد از تموم شدن دوره‌ی ممنوعیت خبر می‌ده؛ وقتی حساب غیرفعال یا هک شده باشه؛ و توی وضعیت اضطراری، مثل خطر برای جون یه نفر یا یه بچه، که بعد از گذشتن اضطرار خبر می‌ده.

سند مایکروسافت هم برای سرویس‌های شخصیش، مثل Outlook.com، همین رو گفته: پیش از دادن داده، به کاربر خبر می‌ده، مگه قانون منع کنه، یا توی موارد استثنایی، مثل اضطرار یا وقتی حساب هک شده؛ و بعد از تموم شدن دستور سکوت هم خبر می‌ده. پس اگه یه روز ایمیلی از یکی از این شرکت‌ها اومد که می‌گه درخواست دولتی برای حسابتون رسیده، این خودش بخشی از قانونه، نه لزوما هک یا کلاهبرداری؛ ولی طبق درس فیشینگ ایمیلی، اول مطمئن بشید ایمیل واقعا از خود شرکته.

درخواست اضطراری

یه نوع درخواست هم هست که کاغذ معمولی رو صبر نمی‌کنه. سند اپل «درخواست اضطراری» (Emergency request) رو این‌طور تعریف کرده: وقتی خطر قریب‌الوقوع مرگ یا آسیب جدی به یه نفر هست، مثلا وقتی پلیس فکر می‌کنه یه نفر گم شده و در خطره. سند دیپ‌سیک هم می‌گه ممکنه توی اضطرار که جون یا امنیت کسی در خطره، داده‌ای مثل نشانی IP رو به پلیس بده. اپل، گوگل و بقیه این درخواست‌ها رو جدا می‌شمرن و توی گزارش شفافیتشون می‌آرن.

بریتانیا و اعلامیه‌ی توانایی فنی

حالا برگردیم به داستان اول. بریتانیا قانونی داره به اسم «قانون اختیارات تحقیقاتی ۲۰۱۶» (Investigatory Powers Act 2016 یا IPA). بخش ۲۵۳ این قانون، که متنش روی سایت رسمی قوانین بریتانیا هست، به وزیر اجازه می‌ده به یه شرکت ارتباطی «اعلامیه‌ی توانایی فنی» (Technical Capability Notice) بده؛ یعنی دستوری که شرکت باید توانایی فنی کمک به مجوزهای تحقیقاتی رو داشته باشه. شرط‌هاش: وزیر باید لازم و متناسب بدونه، و یه «قاضی مخصوص» (Judicial Commissioner) تاییدش کنه.

و مهم‌ترین تیکه‌ش، بند ۵ همون بخش: یکی از تعهدهایی که این اعلامیه می‌تونه بخواد، «برداشتن حفاظت الکترونیکی»‌ه که خود شرکت روی ارتباط‌ها یا داده‌ها گذاشته. حفاظت الکترونیکی یعنی چیزی مثل رمزگذاری. و بخش ۲۵۵، بند ۸، می‌گه کسی که این اعلامیه رو گرفته، بی اجازه‌ی وزیر، نباید «وجود یا محتوای» اون رو به هیچ کس بگه. یعنی حتی اگه یه شرکت چنین دستوری گرفته باشه، قانونا نمی‌تونه بگه گرفته.

ماجرای ADP اپل

حالا صفحه‌ی اپل رو دوباره بخونیم. اپل نمی‌گه چرا؛ و طبق بخش ۲۵۵ که بالا گفتیم، اگه دلیلش یه اعلامیه بوده باشه، اجازه نداشته بگه. چیزی که اپل گفته، این‌هاست: «خیلی ناامیدیم» که مشتری‌های بریتانیا دیگه این گزینه رو ندارن؛ و «همون‌طور که بارها گفتیم، هیچ‌وقت در پشتی یا کلید اصلی برای هیچ‌کدوم از محصولات یا سرویس‌هامون نساختیم و نخواهیم ساخت».

جزئیاتش از همون صفحه: ۱۵ دسته از داده‌های آی‌کلود، مثل «جاکلیدی آی‌کلود» (iCloud Keychain) و داده‌های سلامت، به‌طور پیش‌فرض سرتاسری‌ان و دست نمی‌خورن؛ آی‌مسیج و فیس‌تایم «همه‌جای دنیا، از جمله بریتانیا» سرتاسری می‌مونن؛ ولی ۱۰ دسته‌ای که فقط با ADP سرتاسری می‌شدن، یعنی پشتیبان آی‌کلود، آی‌کلود درایو، عکس‌ها، یادداشت‌ها، یادآورها، نشونک‌های سافاری، میانبرهای سیری، یادداشت‌های صوتی، کارت‌های والت و فری‌فرم، برای کاربرهای تازه‌ی بریتانیا با «محافظت استاندارد» نگه داشته می‌شن؛ یعنی کلیدشون پیش اپله. ADP، طبق همون صفحه، همه‌جای دیگه‌ی دنیا هنوز هست.

درس این ماجرا برای ما: وقتی شرکت کلید داده‌ی شما رو داره، قانون می‌تونه بخواد بده؛ و وقتی نداره، قانون می‌تونه سراغ این بره که شرکت دیگه اون امکان رو نده. برای همینه که توی بحث‌های امنیت، رمزگذاری سرتاسری این‌قدر مهمه.

اتحادیه‌ی اروپا

اتحادیه‌ی اروپا، با اینکه برای حریم خصوصی معروفه، اون هم قانون دسترسی خودش رو داره. «مقررات ۲۰۲۳/۱۵۴۳»، مصوب ۱۲ ژوئیه‌ی ۲۰۲۳، یعنی ۲۱ تیر ۱۴۰۲، که بهش «مقررات شواهد الکترونیکی» (E-evidence Regulation) می‌گن، به مقام‌های قضایی کشورهای عضو اجازه می‌ده توی پرونده‌های جنایی، به هر شرکتی که توی اتحادیه‌ی اروپا خدمت می‌ده، «دستور ارائه» (Production Order) یا «دستور نگه‌داشت» (Preservation Order) مدرک الکترونیکی بدن؛ «هر جا که داده باشه». طبق خلاصه‌ی رسمی EUR-Lex، این مقررات از ۱۸ اوت ۲۰۲۶، یعنی ۲۷ مرداد ۱۴۰۵، اجرا می‌شه، و جریمه‌ی سرپیچی تا ۲ درصد گردش مالی سالانه‌ی جهانی شرکته.

یعنی فکری که پشت CLOUD Act آمریکا بود، «داده هر جا باشه»، حالا توی اروپا هم هست. سند گوگل هم یه جزئیات جالب داره: بیشتر خدمات گوگل توی منطقه‌ی اقتصادی اروپا و سوئیس رو شرکت «گوگل ایرلند» ارائه می‌ده، و گوگل ایرلند درخواست پلیس ایرلند رو طبق قانون ایرلند بررسی می‌کنه؛ قانونی که می‌گه پلیس ایرلند برای مجبور کردن گوگل ایرلند به دادن اطلاعات کاربر، باید دستوری بگیره که قاضی مجوزش رو داده.

چین و دیپ‌سیک

درس هوش مصنوعی گفت دیپ‌سیک کجاست؛ حالا قانونش رو ببینیم. سیاست حریم خصوصی رسمی دیپ‌سیک می‌گه شرکت «هانگژو دیپ‌سیک» با نشانی ثبت‌شده در چینه، و «برای ارائه‌ی خدمات، داده‌ی شخصی شما رو مستقیم توی جمهوری خلق چین جمع، پردازش و ذخیره می‌کنیم». همون سند می‌گه ممکنه داده رو در جواب «درخواست‌های دولتی، طبق تشریفات قانونی» بده.

و قانون چین چی می‌گه؟ «قانون امنیت داده‌ی جمهوری خلق چین» (Data Security Law)، که ترجمه‌ی رسمی انگلیسیش روی سایت کنگره‌ی ملی خلق چین منتشر شده، توی ماده‌ی ۳۵ می‌گه وقتی پلیس یا نهاد امنیت ملی، برای امنیت ملی یا تحقیق درباره‌ی جرم، طبق قانون داده‌ای لازم داره، باید تشریفات سخت تایید رو بگذرونه، و «سازمان‌ها و افراد مربوط همکاری می‌کنن». همون قانون، برای سازمانی که همکاری نکنه، اخطار و جریمه‌ی ۵۰ هزار تا ۵۰۰ هزار یوان گذاشته.

ماده‌ی ۳۶ همون قانون طرف دیگه‌ی ماجراست: سازمان‌ها و افراد توی چین، بی اجازه‌ی مقام‌های صلاحیت‌دار چین، نباید داده‌ای که توی چین ذخیره شده رو به هیچ نهاد قضایی یا پلیس خارجی بدن؛ و جریمه‌ی سرپیچی، اگه پیامد جدی داشته باشه، تا ۵ میلیون یوان. یعنی داده‌ای که توی چینه، برای دولت چین در دسترس‌تره و برای دولت‌های دیگه سخت‌تر. این همون حرف بخش CLOUD Act از اون طرف ماجراست: هر کشوری قانون خودش رو داره، و شرکت اول از قانون کشور خودش پیروی می‌کنه.

روسیه و یاندکس

سیاست حریم خصوصی رسمی یاندکس می‌گه داده‌ی شخصی رو «یاندکس»، شرکتی که «طبق قانون روسیه» ثبت شده و دفتر مرکزیش توی مسکوئه، جمع و استفاده می‌کنه؛ و یکی از جاهایی که ممکنه داده رو بده، «هر نهاد نظارتی یا اجرایی ملی، اداره‌ی دولتی و دادگاه، وقتی قانون یا مقررات ما رو موظف کنه»‌ه. متن کامل قانون‌های داده‌ی روسیه رو به شکل رسمی و قابل نقل پیدا نکردیم، برای همین درس بیشتر از سند خود یاندکس چیزی نمی‌گه. یه نکته‌ی تاریخی هم از سند رسمی تلگرام: تیم تلگرام می‌گه «به خاطر مقررات محلی فناوری» مجبور شد روسیه رو ترک کنه، و الان توی دبی مستقره.

تلگرام

«تلگرام اطلاعات کاربران رو می‌ده؟» یکی از سوال‌های رایجه. بند ۸.۳ سیاست حریم خصوصی رسمی تلگرام، با عنوان «نهادهای مجری قانون»، می‌گه اگه تلگرام از مقام‌های قضایی صلاحیت‌دار یه دستور معتبر بگیره که تایید کنه شما توی پرونده‌ای که به فعالیت جنایی خلاف قوانین تلگرام مربوطه، مظنون هستید، تلگرام درخواست رو بررسی حقوقی می‌کنه و «ممکنه نشانی IP و شماره‌ی تلفن شما رو به مقام‌های مربوط بده». و هر وقت چنین داده‌ای داده بشه، توی یه «گزارش شفافیت» سه‌ماهه، که نشانیش توی همون سند هست، می‌آدش.

دقت کنید سند فقط از IP و شماره‌ی تلفن حرف می‌زنه، نه محتوای پیام‌ها. ولی همون‌طور که درس تلگرام و رمزگذاری سرتاسری گفتن، چت‌های معمولی تلگرام سرتاسری نیستن و فقط «چت مخفی» (Secret Chat) سرتاسریه؛ سوالات رایج تلگرام هم می‌گه برای چت مخفی لازم نیست به تلگرام اعتماد کنید، فقط کلید تصویری چت با کلید طرف مقابل یکی باشه.

سیگنال

سیگنال یه صفحه‌ی رسمی داره که احضاریه‌هایی که گرفته رو، با جوابی که داده، منتشر می‌کنه. جمله‌ی کلیدیش اینه: سیگنال طوری طراحی شده که کمترین داده‌ی ممکن رو از کاربرها نگه داره، و «تنها اطلاعاتی که در جواب درخواستی مثل این می‌تونیم بدیم، تاریخ و ساعت ثبت‌نام کاربر توی سیگنال و تاریخ آخرین اتصال کاربر به سرویسه». نه پیام، نه فهرست مخاطب، نه گروه‌ها.

این بهترین مثال برای حرف اصلی این درسه: قانون می‌تونه شرکت رو مجبور کنه چیزی رو که «داره» بده؛ ولی نمی‌تونه مجبورش کنه چیزی رو بده که اصلا نداره. سیگنال قانون کمتری نداره، داده‌ی کمتری داره.

مایکروسافت

سند رسمی مایکروسافت درباره‌ی درخواست‌های دولتی چند جمله‌ی صاف داره: مایکروسافت داده‌ی مشتری رو «فقط وقتی قانونا مجبور باشه» می‌ده؛ به هیچ دولتی «دسترسی مستقیم یا بی‌قیدوشرط» به داده‌ی مشتری نمی‌ده؛ و به هیچ دولتی «کلیدهای رمزگذاری یا توانایی شکستن رمزگذاریش» رو نمی‌ده. مایکروسافت هم مثل اپل و گوگل، سالی دو بار عدد درخواست‌ها رو منتشر می‌کنه، جدا برای سرویس‌های شخصی مثل Outlook.com و OneDrive، و سرویس‌های سازمانی.

گزارش شفافیت

«گزارش شفافیت» (Transparency Report) گزارشیه که شرکت‌ها، معمولا سالی دو بار، منتشر می‌کنن و توش می‌گن از کدوم کشورها، چند درخواست برای داده‌ی کاربرها گرفتن، چند تاش رو جواب دادن و چند تاش رو رد کردن. اپل می‌گه «مشتری‌ها حق دارن بدونن داده‌ی شخصیشون چطور مدیریت و محافظت می‌شه». گوگل هم توی سندش به گزارش شفافیتش ارجاع می‌ده، و می‌گه اگه درخواستی «بیش از حد» اطلاعات بخواد، سعی می‌کنه کوچیکش کنه و گاهی کلا مخالفت می‌کنه.

اپل توضیح داده چطور می‌شمره: هر درخواست با پایه‌ی قانونی معتبر، یه درخواست حساب می‌شه؛ درخواستی که رد یا به چالش کشیده بشه هم یکی؛ و تعداد دستگاه‌ها، حساب‌ها و شناسه‌های مالی که توی هر درخواست اومده هم جدا شمرده می‌شه. سند تلگرام هم گزارش سه‌ماهه‌ی خودش رو داره.

بیشتر درخواست‌ها چی‌ان؟

وقتی اسم «درخواست دولت» میاد، آدم یاد جاسوسی میفته؛ ولی گزارش اپل نشون می‌ده خیلی از درخواست‌ها چیز دیگه‌ان. اپل درخواست‌ها رو چند دسته کرده. «درخواست دستگاه» (Device request)، که معمولا مثلا وقتیه که پلیس از طرف خود یه مشتری، دنبال گوشی گم‌شده یا دزدیده‌شده‌ست. «درخواست شناسه‌ی مالی» (Financial identifier)، معمولا وقتی کارت بانکی کسی با کلاهبرداری برای خرید از اپل استفاده شده. «درخواست حساب» (Account request)، وقتی ممکنه از یه حساب برای کار غیرقانونی استفاده شده باشه؛ که طبق همون سند، ممکنه محتوا، مثل عکس و ایمیل و پشتیبان، رو هم بخواد.

چند نوع دیگه هم هست: درخواست نگه‌داشتن، محدود کردن یا پاک کردن یه حساب؛ «درخواست ارائه‌دهنده‌ی محتوای دیجیتال»، وقتی یه برنامه یا آهنگ یا پادکست مشکوک به خلاف قانون محلیه؛ و «درخواست طرف خصوصی» (Private party request)، یعنی وقتی دو طرف یه دعوای حقوقی، نه دولت، دنبال اطلاعاتن. مایکروسافت هم «درخواست‌های مدنی» رو جدا گزارش می‌کنه. یعنی گزارش شفافیت فقط درباره‌ی امنیت ملی نیست؛ بیشترش کار روزمره‌ی پلیس و دادگاهه.

خوندن عددها

یه نمونه از گزارش رسمی اپل برای آمریکا، که نشون می‌ده این‌ها عدد کوچیکی نیستن: توی نیمه‌ی دوم ۲۰۲۵، اپل بین ۵۰۰ تا ۹۹۹ دستور FISA برای محتوا گرفته، که بین ۷۷٬۵۰۰ تا ۷۷٬۹۹۹ حساب رو شامل می‌شده؛ و بین ۵۰۰ تا ۹۹۹ دستور FISA برای داده‌ی غیرمحتوایی، برای ۶۱٬۵۰۰ تا ۶۱٬۹۹۹ حساب؛ و بین صفر تا ۴۹۹ نامه‌ی امنیت ملی، برای ۱٬۵۰۰ تا ۱٬۹۹۹ حساب.

چرا بازه، نه عدد دقیق؟ اپل خودش توضیح داده: طبق قانون آمریکا به اسم USA FREEDOM Act، برای اینکه درخواست‌های FISA محتوایی و غیرمحتوایی رو جدا گزارش کنه، باید ۶ ماه صبر کنه و عدد رو توی بازه‌های ۵۰۰تایی بگه. یعنی حتی خود عدد درخواست‌های امنیت ملی هم، قانونا، فقط به‌طور تقریبی گفته می‌شه.

اگه خواستید گزارش یه شرکت رو بخونید، سه چیز رو ببینید: درخواست از کدوم کشورها اومده، چند درصد جواب داده شده، و آیا شرکت می‌گه چند تا رو رد کرده. گزارشی که هیچ ردی نداره، یا شرکتی که اصلا گزارش منتشر نمی‌کنه، خودش یه نشونه‌ست.

سرویس‌ها کنار هم

خلاصه‌ی چیزی که هر سرویس، توی سند رسمی خودش، درباره‌ی خودش گفته:

واتساپ و اینستاگرام، که مال متان، هم سند رسمی دارن، ولی صفحه‌هاشون از ایران باز نمی‌شه و ما چیزی رو که خودمون نخوندیم، نقل نمی‌کنیم. درس واتساپ گفت پیام‌های واتساپ به‌طور پیش‌فرض سرتاسری‌ان.

جای شرکت، جای سرور

از این درس، یه قاعده‌ی کاربردی درمیاد: برای هر سرویسی که داده‌ی مهمی بهش می‌دید، سه سوال بپرسید. اول، شرکت کجا ثبت شده؟ چون طبق همه‌ی قانون‌هایی که دیدیم، شرکت اول از قانون کشور خودش پیروی می‌کنه؛ و CLOUD Act و مقررات اروپا نشون دادن جای سرور به‌تنهایی کافی نیست. دوم، داده کجا ذخیره می‌شه؟ چون مثل ماده‌ی ۳۶ قانون چین، بعضی کشورها برای داده‌ای که توشونه، قانون خودشون رو دارن. سوم، شرکت خودش کلید داره یا نه؟ چون این تعیین می‌کنه که اصلا چیزی برای دادن هست یا نه.

جواب این سه سوال، معمولا توی بخش «طرف قرارداد شما کیه» و «داده‌ها کجا ذخیره می‌شن» سیاست حریم خصوصی خود سرویسه؛ همون جاهایی که از روشون این درس رو نوشتیم.

کار شما

این درس قرار نیست بترسونه؛ بیشتر آدم‌ها هیچ‌وقت موضوع هیچ درخواست دولتی نیستن. ولی چند کار ساده، داده‌ای که اصلا هست رو کم می‌کنه، که به هر دلیلی، از نشت تا درخواست، کمتر جایی بره:

1. برای گفت‌وگوی خصوصی، از پیام‌رسانی استفاده کنید که پیش‌فرض سرتاسریه؛ درس پیام‌رسان‌ها.
2. پشتیبان پیام‌ها رو هم سرتاسری کنید، جایی که امکانش هست.
3. پیام ناپدیدشونده و پاک کردن تاریخچه‌ی قدیمی، داده‌ای که می‌مونه رو کم می‌کنه.
4. به هوش مصنوعی و سرویس‌هایی که داده رو جای دیگه نگه می‌دارن، چیز حساس نگید؛ درس هوش مصنوعی.
5. یه بار سیاست حریم خصوصی سرویس‌های اصلی‌تون رو برای «کجا ثبت شده» و «کجا ذخیره می‌کنه» ببینید.

اشتباه‌های رایج

• «سرورش توی اروپاست، پس قانون آمریکا نمی‌رسه.» CLOUD Act می‌گه داده هر جا باشه.
• «اگه کسی داده‌م رو خواسته بود، خبرم می‌کردن.» دستور سکوت می‌تونه جلوش رو بگیره.
• «فقط محتوا مهمه.» فراداده، یعنی کی به کی و کی، خودش داستان می‌گه.
• «پاکش کردم، پس دیگه نیست.» قانون می‌تونه از شرکت بخواد سوابق رو نگه داره.
• «پیام‌رسانم سرتاسریه، پس همه‌چیز امنه.» پشتیبان و فراداده رو هم ببینید.
• «این شرکت قانون کمتری داره.» مهم‌تر از قانون، اینه که شرکت چه داده‌ای اصلا داره.

آخرین بررسی متن قانون‌های آمریکا، بریتانیا، اتحادیه‌ی اروپا و چین، و سندهای رسمی گوگل، اپل، مایکروسافت، تلگرام، سیگنال، دیپ‌سیک و یاندکس: ۲۴ مهر ۱۴۰۵.