دستورالعمل حفاظت حریم خصوصی کاربران در سامانه ها و سکوهای فضای مجازی مصوب 1402/10/27

بند یک

کلیه ارائه دهندگان خدمات از طریق سامانه ها و سکوهای فضای مجازی موظف اند حداکثر ظرف مدت دو ماه (2ماه) از تاریخ ابلاغ این دستورالعمل:

1 ـ 1 ـ سیاست های حفظ حریم خصوصی مرتبط با جمع آوری، پردازش و نگهداری داده های کاربران را به صورت شفاف شامل موارد زیر اعلام و رضایت صریح آنان مبنی بر پذیرش شرایط را اخذ نمایند:

1 ـ 1 ـ 1 ـ کدام اقلام داده ای را و برای چه منظوری از کاربران دریافت و یا جمع آوری می کنند. در این زمینه و در زمان دریافت و جمع آوری، اقلام ضروری را از اقلام اختیاری تفکیک نموده و قابلیت انتخاب را برای کاربر در ارائه اطلاعات اختیاری فراهم کنند؛

1 ـ 1 ـ 2 ـ شیوه دریافت و جمع آوری اعم از دریافت مستقیم از کاربران و یا به صورت غیرمستقیم و از طریق مشخصات تجهیزات و سامانه های در اختیار کاربران را مشخص کنند؛

1 ـ 1 ـ 3 ـ نحوه و ابزار اطلاع رسانی تغییر سیاست ها را مشخص نموده و مجدداً رضایت صریح کاربران را اخذ و تغییرات لازم را اعمال نمایند؛

تبصره : هرگونه تغییر در شرایط و سیاست ها باید حداقل دو ماه (2 ماه) قبل از اعمال، به کاربران اعلام شود.

1 ـ 2 ـ داده ها باید صرفاً در حد اقلام مورد نیاز برای انجام تکالیف قانونی یا ادامه کسب وکار و متناسب با اهدافی که در بند 1 ـ 1 ـ برای کاربر شرح داده شده و اجازه و رضایت صریح وی اخذ گردیده است، جمع آوری، پردازش و ذخیره سازی شود؛

1 ـ 3 ـ درصورت درخواست کاربران برای حذف داده های مرتبط از قبیل حذف حساب کاربری، تمام و یا بخشی از داده های مرتبط با فعالیت آنان در سامانه و سکو (مشروط به عدم مغایرت با قوانین و مقررات کشور و مأموریت ها و تکالیف دستگاه های اجرایی)، بلافاصله انجام پذیرفته و داده های حذف شده از سامانه و سکوی برخط، به منظور رعایت مقررات قانونی ازجمله مقررات مواد (667) تا (670) قانون آیین دادرسی کیفری (دادرسی جرایم رایانه ای) به پایگاه های داده پشتیبان مستقر در بخش غیربرخط و منفصل از شبکه های ارتباطی عمومی منتقل و تنها برای انجام تکالیف مقرر در قانون، نگهداری یا پردازش شود و پس از خاتمه مواعد قانونی یا قضایی، به طور کامل امحاء شود؛

1 ـ 4 ـ داده های مربوط به هویت و اطلاعات شخصی کاربران که منجر به شناسایی هویت ایشان می‏شود، صرفاً باید به صورت رمزنگاری شده ذخیره شود. دستورالعمل های مرتبط با سطوح و شیوه های رمزنگاری براساس وظایف تعیین شده در اسناد مصوب شورای عالی فضای مجازی کشور، توسط دستگاه های مسئول ابلاغ می شود؛

تبصره 1: مسئولیت های حقوقی و قضایی نقض حریم خصوصی ناشی از عدم رعایت مقررات بند یک این دستورالعمل، برعهده ارائه دهنده خدمت مربوط است؛

تبصره 2: تمامی اشخاص مشمول مکلف اند ظرف مدت سه ماه (3ماه) از تاریخ ابلاغ این مصوبه، مقررات بند یک این دستورالعمل را برای داده هایی که پیش از تصویب این مقررات جمع آوری، ذخیره یا پردازش نموده اند، اعمال کرده و در خصوص درخواست حذف، براساس بند 1 ـ 3 عمل نمایند.