إنترنت الأشياء (IoT): التحديات القانونية

صفحة الخدمة: محامٍ للتجارة الرقمية والذكاء الاصطناعي: شروط الموقع، والخصوصية، والتسويق المباشر.

أجهزة إنترنت الأشياء: تنظيم يتخلّف عن التكنولوجيا

الساعة على معصمكم تعرف متى تنامون، وكم ضغط دمكم، وأين أنتم. وكاميرا البيت تعرف متى تكونون في الداخل ومتى لا. ومكبّر الصوت الذكي يستمع إلى المحادثات. هذه أجهزة إنترنت الأشياء: كل جهاز مادي متصل بالإنترنت يجمع البيانات ويعالجها ويرسلها. وفي إسرائيل يعمل منها الملايين في البيوت والمكاتب والمصانع.

المشكلة: النموّ يسبق التنظيم. لا يوجد في إسرائيل تشريع خاص بإنترنت الأشياء. القوانين القائمة، أي حماية الخصوصية وحماية المستهلك وقانون الأضرار، تسري، لكن تفسيرها بشأن الأجهزة الذكية لم يُحسم بعد. وهذه المناطق الرمادية هي التي ستصل إلى المحاكم في السنوات القريبة.

أربعة أسئلة قانونية لا جواب قاطعًا لها بعد

المسؤولية عن مشاكل الأمن: إذا تعرّض جهاز من أجهزة إنترنت الأشياء لتسريب بيانات غير مصرّح به، فمن المسؤول؟ المُصنِّع؟ شركة الخدمة السحابية؟ صاحب البيت الذي لم يحدّث البرنامج الثابت؟

حماية البيانات: تجمع أجهزة إنترنت الأشياء بيانات شخصية حساسة: معلومات عن عادات النوم، والدخول إلى البيت، والصحة. والقانون يُلزم بحمايتها بمستوى أمن ملائم.

حقوق المستهلكين: اشتريتم جهاز إنترنت أشياء لا يعمل كما وُعدتم، فما حقوقكم؟ يسري قانون حماية المستهلك، 1981 (חוק הגנת הצרכן, התשמ״א-1981)، لكن التنفيذ ضد مُصنِّع أجنبي معقّد.

الإهمال في قانون الأضرار: إذا سبّب جهاز من أجهزة إنترنت الأشياء ضررًا، مثل خلل في البرمجيات أدّى إلى ضرر مادي، فمن يمكن مقاضاته؟

الأمن السيبراني وإنترنت الأشياء

الهجمات السيبرانية: أجهزة إنترنت الأشياء هدف شائع للهجمات: دخول غير مصرّح به إلى البيت، وسرقة المعلومات، بل تعطيل أجهزة طبية. وإهمال المُصنِّع في الأمن قد يشكّل ضررًا مدنيًا.

تحديثات الأمان: حتى دون نص قانوني خاص، قد يؤخذ توقّف تحديثات الأمان بالحسبان في مسألة إهمال المُصنِّع. فالجهاز الذي توقّف مُصنِّعه عن دعمه لكنه لا يزال متصلًا بالشبكة خطر قانوني. وفي جانب من يشغّل الأنظمة يوجد نص صريح: على صاحب قاعدة البيانات أن يحرص على التحديثات الدورية لأنظمة قاعدة البيانات، وألّا يستخدم أنظمة لا يدعمها المُصنِّع في جوانبها الأمنية، إلا إذا وُجد حل أمني ملائم (المادة 13(ج) من أنظمة أمن المعلومات). و«أنظمة قاعدة البيانات» هي الأنظمة التي تخدم قاعدة البيانات ولها أهمية في جوانب أمن المعلومات (المادة 1 من الأنظمة).

التشفير: المادة 14(ب) من أنظمة حماية الخصوصية (أمن المعلومات)، 2017 (תקנות הגנת הפרטיות (אבטחת מידע), התשע״ז-2017) تُلزم بنقل المعلومات من قاعدة البيانات عبر شبكة عامة أو عبر الإنترنت بطرق تشفير متّبعة؛ ولا تحدّد الأنظمة «مستويات تشفير» رقمية.

مبدأ الحدّ الأدنى من الصلاحيات: لا يحتاج كل عامل في الشركة إلى الوصول إلى كل البيانات التي تُجمع. وتقييد الوصول واجب قانوني (المادة 8 من أنظمة أمن المعلومات: إدارة صلاحيات الوصول) وأداة لإدارة المخاطر معًا.

القوانين والتنظيم في إسرائيل

قانون حماية الخصوصية، 1981 (חוק הגנת הפרטיות, התשמ״א-1981): من يجمع معلومات شخصية بواسطة جهاز من أجهزة إنترنت الأشياء لمعالجتها في قاعدة بيانات ملزم، ضمن أمور أخرى، بتقديم إبلاغ وفق المادة 11، ولا يحق له استخدام المعلومات إلا للغرض الذي قُدّمت من أجله (المادة 2(9)).

أنظمة حماية الخصوصية (أمن المعلومات)، 2017: تحدّد ثلاثة مستويات أمن (أساسي، ومتوسط، ومرتفع)، وواجبات مخفّفة لقاعدة البيانات التي يديرها فرد (المادة 21)، بحسب نوع المعلومات، وعدد الأشخاص في قاعدة البيانات، وعدد أصحاب الصلاحية. وحائزو قواعد البيانات، بما في ذلك المصالح التجارية التي تستخدم إنترنت الأشياء، ملزمون باستيفاء المستوى ذي الصلة.

اللائحة الأوروبية لحماية البيانات (GDPR): إذا عرض المُصنِّع الجهاز أو الخدمة على أشخاص موجودين في الاتحاد الأوروبي، أو راقب سلوكهم هناك، فإن الـ GDPR تسري (المادة 3(2))، مع غرامات تصل إلى 20 مليون يورو أو 4% من حجم الأعمال العالمي، أيّهما أعلى (المادة 83(5)).

وزارة الاتصالات: تستطيع وزارة الاتصالات في إسرائيل فرض متطلبات توافق على أجهزة إنترنت الأشياء المتصلة بشبكات الاتصالات. فالاتصال بشبكة خلوية، مثلًا، يستلزم موافقات محدّدة.

المسؤولية في دعاوى الأضرار

إذا سبّب جهاز من أجهزة إنترنت الأشياء ضررًا، فمن المسؤول؟ هذه هي المسألة القانونية الرئيسية:

• المُصنِّع: إذا كان في الجهاز عيب في التصميم أو في البرمجيات، فقد يتحمّل المُصنِّع المسؤولية وفق ضرر الإهمال، وإذا وقع ضرر جسدي، فحتى دون خطأ وفق قانون المسؤولية عن المنتجات المعيبة، 1980 (חוק האחריות למוצרים פגומים, התש״ם-1980) (المادتان 2–3)، الذي لا يسري على الضرر بالممتلكات أو على الضرر المالي وحده.
• مزوِّد الخدمة السحابية: إذا فشلت الخدمة السحابية (Cloud) التي تدير الجهاز، فقد يكون مزوِّد الخدمة معرَّضًا لدعوى.
• صاحب الجهاز: إذا لم يحدّث صاحب الجهاز إصلاحات أمنية معروفة، أو استخدم الجهاز خلافًا للتعليمات، فقد يتحمّل مسؤولية جزئية عن الضرر الذي سبّبه.

سياسة الخصوصية وإنترنت الأشياء

من يجمع معلومات شخصية بواسطة جهاز من أجهزة إنترنت الأشياء ملزم بتقديم إبلاغ وفق المادة 11 من قانون حماية الخصوصية: هل تقديم المعلومات إلزامي أم اختياري، وغرض الجمع، وهوية المتحكّم في المعلومات، ولمن ستُنقل المعلومات، وحق الاطّلاع وحق التصحيح. وعمليًا، جرت العادة أن تُفصَّل في سياسة الخصوصية أيضًا الأمور التالية:

• ما البيانات التي تُجمع ومتى
• أين تُخزَّن البيانات (إسرائيل؟ أوروبا؟ الولايات المتحدة؟)، وعلى أي أساس يُسمح بنقل المعلومات إلى الخارج
• من يستطيع الوصول إلى البيانات
• كم من الوقت تُحفظ البيانات
• كيف يمكن طلب تصحيح البيانات أو حذفها (في إسرائيل: المادة 14؛ ويوجد حق حذف أوسع وفق الـ GDPR، المادة 17)

يجب أن تكون هذه السياسة متاحة ومفهومة؛ وحق الاطّلاع نفسه يُمنح بالعبرية أو بالعربية أو بالإنجليزية (المادة 13(ب)). والضغط على «تشغيل» دون شرح ما يُجمع ولماذا يصعب أن يستوفي شرط «الموافقة المستنيرة» (المادة 3).

توصيات عملية

للمُصنِّعين:

• مبدأ Privacy by Design: ابنوا حماية الخصوصية في كل مرحلة من مراحل التطوير، لا كإضافة لاحقة
• وفّروا تحديثات الأمان طوال عمر المنتج، ويجب الإعلان مسبقًا عن وقف التحديثات
• كونوا شفّافين بشأن البيانات التي تُجمع وسبب جمعها
• فكّروا في تأمين المسؤولية عن المنتج، فسوق إنترنت الأشياء يراكم الدعاوى

للمستهلكين:

• اختاروا أجهزة من مُصنِّعين ذوي سمعة وسياسة أمن واضحة
• اقرأوا سياسة الخصوصية قبل الشراء، وخاصة بنود مشاركة البيانات مع أطراف ثالثة
• حدّثوا البرنامج الثابت عندما تتوفر تحديثات أمان
• استخدموا كلمات مرور قوية والتحقق بخطوتين (2FA) في كل جهاز يدعم ذلك

أسئلة شائعة

تسبّب جهاز من أجهزة إنترنت الأشياء بضرر. من المسؤول؟

قد يتحمّل المُصنِّع المسؤولية وفق ضرر الإهمال إذا كان في الجهاز عيب في التصميم أو في البرمجيات، وإذا وقع ضرر جسدي، فحتى دون خطأ وفق قانون المسؤولية عن المنتجات المعيبة، 1980 (المادتان 2–3)، الذي لا يسري على الضرر بالممتلكات أو على الضرر المالي وحده. وقد يكون مزوِّد الخدمة السحابية معرَّضًا لدعوى إذا فشلت الخدمة، وصاحب الجهاز الذي لم يحدّث إصلاحات أمنية معروفة قد يتحمّل مسؤولية جزئية.

خوادم الجهاز خارج البلاد. هل يسري قانون حماية الخصوصية الإسرائيلي؟

نعم. من يدير قاعدة بيانات في إسرائيل يخضع للقانون حتى عندما يكون الخادم في الخارج، ونقل المعلومات من قاعدة البيانات إلى خادم في الخارج يخضع لأنظمة حماية الخصوصية (نقل المعلومات إلى قواعد بيانات خارج حدود الدولة)، 2001 (תקנות הגנת הפרטיות (העברת מידע אל מאגרי מידע שמחוץ לגבולות המדינה), התשס״א-2001) (المواد 1–3).

توقف المُصنِّع عن إرسال تحديثات الأمان. ما المعنى القانوني لذلك؟

حتى دون نص قانوني خاص، قد يؤخذ توقّف تحديثات الأمان بالحسبان في مسألة إهمال المُصنِّع. وفي جانب من يشغّل الأنظمة يوجد نص صريح: على صاحب قاعدة البيانات أن يحرص على التحديثات الدورية لأنظمة قاعدة البيانات، وألّا يستخدم أنظمة لا يدعمها المُصنِّع في جوانبها الأمنية، إلا إذا وُجد حل أمني ملائم (المادة 13(ج) من أنظمة أمن المعلومات).

هل تسري اللائحة الأوروبية (GDPR) على مُصنِّع إسرائيلي لأجهزة إنترنت الأشياء؟

نعم، إذا عرض المُصنِّع الجهاز أو الخدمة على أشخاص موجودين في الاتحاد الأوروبي، أو راقب سلوكهم هناك (المادة 3(2) من الـ GDPR). وتصل الغرامات بموجبها إلى 20 مليون يورو أو 4% من حجم الأعمال العالمي، أيّهما أعلى (المادة 83(5)).

هل الضغط على «تشغيل» في الجهاز موافقة على جمع المعلومات؟

ليس بالضرورة. الضغط على «تشغيل» دون شرح ما يُجمع ولماذا يصعب أن يستوفي شرط «الموافقة المستنيرة» (المادة 3 من قانون حماية الخصوصية). ومن يجمع معلومات شخصية بواسطة الجهاز ملزم أيضًا بتقديم إبلاغ وفق المادة 11: غرض الجمع، وهوية المتحكّم في المعلومات، ولمن ستُنقل المعلومات، وحق الاطّلاع وحق التصحيح.