چگونگی انتقال بین‌المللی داده‌های شخصی (مطالعه تطبیقی در حقوق اتحادیه اروپا و نظام حقوقی ایران)

در راستای حمایت موثر از داده‌های شخصی و اشخاص موضوع داده، مقررات اروپایی حفاظت از داده (gdpr) جنبه‌های حمایتی مختلفی را موردتوجه قرار داده است. یکی از این حمایت‌ها، چگونگی انتقال بین‌المللی داده‌های شخصی است. از منظر قانون‌گذار اتحادیه اروپا حق بر داده‌ی اشخاص موضوع داده حتی در صورت انتقال دادهای افراد به کشورهای ثالث یا سازمان‌ها بین‌المللی نباید تضعیف شود. بدین‌جهت در چند ماده الزامات متفاوتی را در این خصوص مقرر نموده است. پژوهش حاضر با روش توصیفی و تحلیلی ابزارهای متنوعی که به‌عنوان الزامات مربوط به انتقال بین‌المللی داده‌های شخصی در اتحادیه اروپا قابل اشاره‌اند را تبیین نموده است. این ابزارها وجود سطح کافی حفاظت از داده (تصمیم کفایت)، شروط قراردادی استاندارد ، قواعد الزامی شرکتی ، مکانیسم گواهی‌نامه، منشورهای رفتاری و وجود موقعیت‌های ویژه ماده 49 gdpr است. با شفاف‌سازی این ابزارها و چگونگی تحقق آن‌ها به‌موجب حقوق اتحادیه اروپا، جریان الزامات پیش‌گفته با روش تطبیقی در نظام حقوقی ایران موردبررسی قرار گرفت. بررسی‌های انجام‌شده حکایت از این دارد که در حقوق ایران به دلیل فقدان قانون خاص نسبت به داده‌های شخصی و بالتبع مواد مصرح در خصوص انتقال بین‌المللی داده‌های شخصی، صرفاً برخی الزامات برای انتقال موقعیت‌های مقرر در ماده 49 gdpr از مسیر دکترین حقوقی و مبانی حقوق ایران قابل جریان است. بدین‌جهت به‌موجب حقوق ایران رضایت شخص موضوع داده، ضرورت قراردادی، وجود منافع حیاتی، جریان منافع عمومی و هم‌چنین غلبه منافع مشروع کنترل‌کننده می‌تواند مجوزی برای انتقال بین‌المللی داده‌های شخصی تلقی شود. با وجود این توجه قانون‌گذار به مسئله حیاتی حمایت از داده‌ی شخصی به‌طور کلی و انتقال بین‌المللی داده‌های شخصی به‌طور خاص ضروری است.

how to transfer personal data internationally: a comparative study of european union law and iranian legal system

to fully protect personal data and data subjects, the european union data protection regulation (gdpr) addresses various aspects of such protection, one of which is the international transfer of personal data. from the point of view of the eu legislature, the rights of data subjects should not be undermined, even if their data is transferred to third countries or international organizations. therefore, in several articles, it has set different requirements in this regard. in this research, a descriptive method has been used to analyze the tools required for the transfer of personal data in accordance with the eu law. these tools include adequacy decision, standard contractual clauses, binding corporate rules, certification mechanism, codes of conduct and specific situations of article 49. also, the existence of these requirements in the iranian legal system has been studied in a comparative way. the results show that in the iranian law, due to the lack of specific legislation on personal data and, consequently, the articles authorizing the international transfer of personal data, only some of the requirements mentioned in the european regulation, especially the situations of article 49, can be applied through the legal doctrine and principles of the iranian law. therefore, according to the iranian law, the consent of the data subject, the contractual necessity, the existence of vital interests and the public interest, as well as the overriding legitimate interests of the controller can be considered as the reasons for the international transfer of personal data. however, the legislature’s attention to the important issue of personal data protection in general and the international transfer of personal data in particular is essential.