تبيين اسباب مشروعيت پردازش داده‌ي شخصي از منظر حقوق اتحاديه اروپا و ايران

Explain the reasons for the legitimacy of personal data processing from the perspective of EU and Iranian law

با تصويب مقررات عمومي حفاظت از داده‌ اتحاديه اروپا (GDPR) در خصوص حمايت از داده‌ شخصي در سال 2016 و لازم‌الاجرا شدن آن در سال 2018، تمامي كشورهاي عضو اتحاديه اروپا ملزم به حمايت حداكثري از داده‌هاي شخصي و اشخاص موضوع داده شدند. حمايت‌هاي حداكثري اين مقررات در مواد مختلفي بيان‌ شده است كه نسبت به بسترهاي قانوني سابق در اتحاديه اروپا و ساير كشورها نسبت به حمايت از داده‌ شخصي دقيق‌تر، سخت‌گيرانه‌تر و در مقام عمل كاربردي‌تر است. در جهت تحقق كامل چنين حمايتي، اين مقررات اسباب متعددي را براي مشروعيت پردازش داده‌ شخصي با عنوان مباني حقوقي پردازش داده شخصي بيان كرده است. به‌موجب ماده‌ مربوطه، اشخاص پردازش‌كننده‌ داده بايد مبناي حقوقي معتبر براي پردازش داده‌هاي شخصي داشته باشند. پژوهش حاضر با تبيين مباني حقوقي پيش‌گفته، به دنبال امكان‌سنجي جريان اين مباني در حقوق ايران است. به ديگر سخن، پاسخ به اين مسئله كه در نظام حقوقي ايران با وجود كدام اسباب مي‌توان داده‌هاي شخصي را پردازش كرد. بر اساس برآمد بررسي‌ها، چگونگي جريان مباني حقوقي مذكور در مقررات اروپايي حفاظت از داده - يعني رضايت، ضرورت قراردادي، پردازش به‌موجب تعهد قانوني كنترل‌كننده، پردازش به دليل حفاظت از منافع حياتي افراد و پردازش به علت غلبه‌ منافع مشروع كنترل‌كننده يا شخص ثالث - به دليل فقدان قانوني ايراني در خصوص حفاظت از داده‌هاي شخصي، بايد از مسير منابع مختلف حقوق ايران بررسي شود. هم‌چنين نتايج حكايت از اين دارد كه مباني مذكور، در حقوق ايران نيز قابليت جريان دارد؛ ليكن تحقق كامل آن با تصريح قانون حاصل مي‌شود.

With the adoption of the European unio‎n General Data Protection Regulation (GDPR) on personal data protection in 2016 and its entry into force in 2018, all EU member states were required to provide maximum protection of personal data and individuals. The maximum protections of this regulation are expressed in various provisions, which are more accurate, stricter and more practical than the previous legal frameworks of the European unio‎n and other countries. In order to fully realize such protection, this regulation has stated several reasons for the legitimacy of personal data processing under the title of legal bases of personal data processing. According to the relevant article, controllers must have a valid legal basis for processing personal data. By explaining the aforementioned legal bases, the current research seeks to verify the feasibility of these legal bases in Iranian law. In other words, the answer to the question that in Iran's legal system, personal data can be processed despite the existence of which reasons. The result of the investigations is that the flow of the legal bases mentioned in the European data protection regulation - consent, contractual necessity, processing under the legal obligation of the controller, protection of the vital interests of individuals and the legitimate interests of the controller or a third party if prevailing - Due to the lack of Iranian law regarding the protection of personal data, it should be checked through different sources of Iranian law. Also, the results indicate that the aforementioned legal bases can also be used in Iranian law; But its full realization is achieved by the law.