مقرراتی که غول‌ها را چاق‌تر و استارتاپ‌ها را لاغرتر کرد: تراژدی ناخواسته‌ی GDPR

علیرضا محمودی فرد – پسادکترای حرفه‌ای آینده‌پژوهی، پژوهشگر و مدرس دانشگاه‌ها تصور کنید شهرداری قانونی وضع کند که تمام ساختمان‌ها باید در برابر زلزله مقاوم باشند؛ قانونی با نیت خیر حفاظت از جان شهروندان. اما اجرای این قانون، چنان پرهزینه و پیچیده باشد که سازندگان کوچک ورشکست شوند، درحالی‌که غول‌های ساختمان‌سازی، با تیم‌های حقوقی و مهندسی عظیمشان، نه‌تنها جان سالم به در برند، که از حذف رقبا استقبال هم بکنند. این، دقیقاً داستان «مقررات عمومی حفاظت از داده‌های اتحادیه‌ی اروپا» یا همان GDPR است؛ قانونی که به نام «حقوق شهروندان» آمد، اما به کام «غول‌های فناوری» تمام شد. GDPR چیست و چرا وضع شد؟

در ماه می ۲۰۱۸، اتحادیه‌ی اروپا یکی از بلندپروازانه‌ترین قوانین حریم خصوصی در تاریخ را به اجرا گذاشت. GDPR به شهروندان اروپایی این حق را داد که بدانند چه داده‌هایی از آن‌ها جمع‌آوری می‌شود، بتوانند داده‌هایشان را پاک کنند و پیش از هرگونه جمع‌آوری داده، «رضایت آگاهانه» بدهند. جریمه‌ی تخلف نیز نفس‌گیر بود: تا ۴ درصد از درآمد سالانه‌ی جهانی شرکت.

نیت قانون‌گذار، ستودنی بود. در عصر استخراج بی‌محابای داده‌های شخصی توسط فیسبوک، گوگل و آمازون، شهروندان نیاز به سپر دفاعی داشتند. اما پرسشی که کمتر پرسیده شد این بود: «هزینه‌ی این سپر را چه کسی می‌پردازد؟» پاسخ، حالا پس از چند سال اجرا، کمکم روشن می‌شود: هزینه را استارتاپ‌های کوچک می‌پردازند و منفعت را غول‌های فناوری می‌برند. اقتصاد مقیاس در حقوق: چرا استارتاپ‌ها زیر بار له می‌شوند؟

برای فهم این تراژدی، باید مفهوم «هزینه‌ی تمکین» (Compliance Cost) را درک کنیم. GDPR الزامات فنی، حقوقی و سازمانی گسترده‌ای تحمیل می‌کند: استخدام یک افسر حفاظت از داده، انجام ارزیابی‌های اثر بر حریم خصوصی، ممیزی‌های منظم، ثبت دقیق تمام پردازش‌های داده و طراحی سیستم‌هایی که «حریم خصوصی از همان ابتدا» در آن‌ها تعبیه شده باشد. …