قوانین داده و حریم خصوصی در دنیا: از GDPR تا چشم‌انداز جهانی سیاست‌های داده

مقدمه: داده، خط قرمز قرن

در مه ۲۰۲۳، کمیسیون حفاظت از داده ایرلند جریمه‌ای معادل ۱٫۲ میلیارد یورو به متا پلتفرمز ایرلند تحمیل کرد؛ بزرگ‌ترین جریمه تاریخ GDPR که به انتقال داده‌های کاربران اروپایی به ایالات متحده مربوط می‌شد. این رکورد پایان ماجرا نبود: در سپتامبر ۲۰۲۶ همان مرجع، گوگل را به‌خاطر پردازش داده‌های مکانی ۴۰۳ میلیون یورو جریمه کرد و تا اوایل ۲۰۲۶ مجموع جریمه‌های GDPR از مرز ۷٫۱ میلیارد یورو گذشته است. حفاظت از داده‌های شخصی از موضوعی فنی–حقوقی به یکی از مؤلفه‌های اصلی ریسک کسب‌وکار بدل شده است.

اما چرا قوانین حریم خصوصی کشورهای دیگر باید برای یک مدیر یا کارشناس داده در ایران اهمیت داشته باشد؟ پاسخ در سه موقعیت رایج نهفته است: وقتی سرویس شما کاربرانی در اروپا دارد؛ وقتی از ابزارهای ابری و CRM خارجی برای مدیریت داده مشتریان استفاده می‌کنید؛ و وقتی برای مشتریان بین‌المللی داده پردازش می‌کنید. در هر سه حالت، مجموعه‌ای از قوانین داده بیرونی — و در آینده، حقوق داخلی ایران — رفتار سازمان شما با داده‌های شخصی را قاعده‌مند می‌کند.

در این مقاله نقشه قوانین حریم خصوصی در دنیا را مرور می‌کنیم: GDPR چیست، جریمه‌های GDPR در عمل چه اعدادی خورده‌اند، تفاوت GDPR و CCPA چیست، انتقال بین‌المللی داده چگونه قانون‌گذاری شده و قانون حریم خصوصی داده در ایران در چه مرحله‌ای قرار دارد.

حریم خصوصی داده‌ها چیست؟

پیش از ورود به مقررات‌نامه‌ها باید زبان مشترک این حوزه روشن شود. حریم خصوصی داده‌ها به مجموعه قواعدی گفته می‌شود که مشخص می‌کند چه کسی، با چه هدفی و تحت چه شرایطی می‌تواند اطلاعات مربوط به افراد حقیقی را جمع‌آوری، ذخیره و پردازش کند. سه مفهوم پایه در تقریباً همه قوانین داده تکرار می‌شود:

• داده شخصی: هر اطلاعاتی که به‌طور مستقیم یا غیرمستقیم هویت یک شخص حقیقی را شناسایی کند؛ از نام، شماره تماس و ایمیل گرفته تا شناسه کاربری، آدرس IP و رفتار آنلاین کاربر.
• پردازش: هر عملیاتی که روی داده انجام می‌شود؛ جمع‌آوری، ذخیره‌سازی، سازمان‌دهی، تحلیل، انتقال و حتی حذف، همگی «پردازش» محسوب می‌شوند.
• کنترل‌کننده و پردازشگر: کنترل‌کننده داده تصمیم می‌گیرد داده‌ها «چرا» و «چگونه» پردازش شوند؛ پردازشگر همان کار را از طرف کنترل‌کننده انجام می‌دهد. شرکتی که از یک سرویس ابری خارجی استفاده می‌کند معمولاً کنترل‌کننده است و سرویس ابری، پردازشگر.

این تعریف‌ها صرفاً واژگان فنی نیستند؛ همان معیارهایی هستند که مراجع نظارتی بر اساسشان جریمه صادر می‌کنند.

GDPR چیست و چه چیزهایی را عوض کرد؟

GDPR یا «مقررات عمومی حفاظت از داده‌ها» (Regulation (EU) 2016/679) از جامع‌ترین و پرارجاع‌ترین قوانین حفاظت از داده‌های شخصی در دنیاست. این مقررات در آوریل ۲۰۱۶ مصوب شد و از ۲۵ مه ۲۰۱۸ لازم‌الاجرا گشت؛ تاریخی که بسیاری از شرکت‌ها را واداشت فرایندها و معماری داده خود را بازطراحی کنند.

از نظر ساختار، GDPR سه ستون اصلی دارد:

1. حقوق صاحب داده: حق دسترسی به داده‌های خود، اصلاح، حذف (معروف به «حق فراموش شدن»)، محدودسازی پردازش، قابلیت انتقال داده و حق مخالفت؛ به‌علاوه الزامات سخت‌گیرانه درباره اخذ رضایت.
2. تعهدات سازمانی: شفافیت درباره مقاصد پردازش، امنیت داده و افشای رخنه‌های امنیتی به مرجع نظارتی حداکثر ظرف ۷۲ ساعت (ماده ۳۳).
3. ضمانت اجرای مالی: جریمه‌ها در دو سطح تعریف شده‌اند — سطح پایین تا ۱۰ میلیون یورو یا ۲٪ گردش مالی سالانه جهانی و سطح بالا تا ۲۰ میلیون یورو یا ۴٪ گردش مالی سالانه جهانی؛ در هر دو سطح، هر کدام بیشتر باشد ملاک محاسبه است.

نکته مهم برای غیراروپایی‌ها بند ۲ ماده ۳ است: GDPR صرفاً به شرکت‌های مستقر در اتحادیه اروپا محدود نیست و در صورت عرضه کالا یا خدمات به افراد داخل اروپا یا پایش رفتار آنان، شرکت‌های خارج از اروپا را نیز در بر می‌گیرد — نکته‌ای که در بخش ایران به آن برمی‌گردیم.

نقشه قوانین حریم خصوصی در دنیا

GDPR اولین قانون این حوزه نبود، اما نقطه عطفی بود که استاندارد حفاظت از داده‌های شخصی را در سطح جهان بازتعریف کرد. در آمریکا کالیفرنیا با CCPA پیشتاز شد و به‌تدریج بیش از ۲۰ ایالت قوانین جامع حریم خصوصی مصرف‌کننده وضع کرده‌اند. در آسیا، چین با PIPL، هند با DPDP و تایلند با PDPA (لازم‌الاجرا از ژوئن ۲۰۲۲) پای به این میدان گذاشتند، سنگاپور از سال ۲۰۱۲ با قانون PDPA در همین مسیر حرکت می‌کند و کره جنوبی هم از سپتامبر ۲۰۲۶ برای تخلفات عمدیِ تکراری سقف جریمه‌های PIPA را تا ۱۰٪ کل درآمد بالا برده است. جدول زیر مقایسه فشرده پنج رژیم اصلی قوانین داده است:

این جدول یک واقعیت را نشان می‌دهد: هرچه سازمانی جهانی‌تر عمل کند، باید با شبکه‌ای متراکم‌تر از قوانین حریم خصوصی کنار بیاید، نه یک قانون واحد.

تفاوت GDPR و CCPA چیست؟

پرسش پرتکرار «تفاوت GDPR و CCPA چیست؟» در واقع پرسش از دو فلسفه قانون‌گذاری است:

• GDPR مقرراتی جامع است که یک‌جا برای کل اتحادیه اروپا نوشته شده و تقریباً همه پردازش‌های داده شخصی را در بر می‌گیرد؛ محور آن رضایت آگاهانه و مجموعه‌ای کامل از حقوق کاربر است.
• CCPA در فضای فدرالِ پراکنده آمریکا متولد شد؛ در سطح فدرال قوانین بخشی (sectoral) حاکم‌اند و قانون‌گذاری جامع به ایالت‌ها واگذار شده است. CCPA (۲۰۱۸) نخستین قانون جامع حریم خصوصی در سطح ایالت‌های آمریکا بود و با CPRA (مصوب نوامبر ۲۰۲۰، اجرایی از ژانویه ۲۰۲۳) اصلاح و تقویت شد. رویکرد آن بیشتر «حق انصراف از فروش اطلاعات شخصی» است تا رضایت پیشینی.

جریمه‌ها هم فلسفه متفاوتی دارند: CCPA برای هر تخلف ۲٬۵۰۰ دلار و برای تخلف عمدی ۷٬۵۰۰ دلار تعیین می‌کند — نه درصدی از گردش مالی. نخستین اجرای عمومی آن هم گویاست: توافق ۱٫۲ میلیون دلاری با برند سپرا در ۲۴ اوت ۲۰۲۲، به‌خاطر عدم افشای فروش اطلاعات شخصی و بی‌توجهی به حق انصراف مشتریان.

جریمه‌های GDPR در عمل؛ از متا تا گوگل

اعداد، جدی‌بودن این رژیم را بهتر از هر توضیحی نشان می‌دهند:

• متا — ۱٫۲ میلیارد یورو (مه ۲۰۲۳): بزرگ‌ترین جریمه تاریخ GDPR به دست کمیسیون حفاظت از داده ایرلند، به‌خاطر نحوه انتقال داده‌های کاربران اروپایی به ایالات متحده.
• تیک‌تاک — ۵۳۰ میلیون یورو (مه ۲۰۲۵): همان مرجع ایرلندی، به‌خاطر انتقال غیرقانونی داده‌ها به چین.
• گوگل — ۴۰۳ میلیون یورو (سپتامبر ۲۰۲۶): باز هم کمیسیون حفاظت از داده ایرلند، این‌بار به‌خاطر پردازش داده‌های مکانی کاربران؛ تازه‌ترین جریمه بزرگ GDPR.
• اوبر — حدود ۸۲۵ میلیون یورو (۲۰۲۶): از سوی مرجع هلند، به‌خاطر تصمیم‌گیری خودکار و شفافیت ناکافی در پروفایل‌سازی رانندگان.
• روند تجمعی: تا اوایل ۲۰۲۶ مجموع جریمه‌های GDPR از ۷٫۱ میلیارد یورو فراتر رفته و تا میانه ۲۰۲۵ بیش از ۲٬۸۰۰ جریمه صادر شده است. طبق نظرسنجی ژانویه ۲۰۲۶ دی‌ال‌ای پایپر، در سال منتهی به ژانویه ۲۰۲۵ حدود ۱٫۲ میلیارد یورو جریمه صادر شده — حدود هفت برابر دوره مشابه قبل.
• نکته تفکیکی: جریمه ۲۰۰ میلیون یورویی متا در آوریل ۲۰۲۵ درباره مدل «رضایت یا پرداخت» ذیل قانون بازارهای دیجیتال (DMA) صادر شد، نه GDPR.

الگوی مشترک پرونده‌های بزرگ — از متا تا تیک‌تاک — انتقال بین‌المللی داده است؛ موضوعی که خود تاریخچه‌ای پرنزاع دارد.

انتقال بین‌المللی داده؛ میدان مینِ شرمس

قانون‌گذار اروپایی اجازه نمی‌دهد داده شخصی اروپایی به کشوری برود که سطح حفاظتش را کافی نداند. همین منطق، پرونده‌های حقوقی تاریخی ساخت:

• اشرمس یک (C-362/14، اکتبر ۲۰۱۵): دیوان دادگستری اتحادیه اروپا چارچوب Safe Harbor میان اروپا و آمریکا را باطل کرد.
• اشرمس دو (C-311/18، ژوئیه ۲۰۲۰): دیوان Privacy Shield را نیز باطل کرد، اما بندهای قراردادی استاندارد (SCC) را معتبر دانست، به شرط آنکه ارزیابی اثر انتقال انجام شود.
• چارچوب حریم خصوصی داده‌های اروپا–آمریکا (DPF): کمیسیون اروپا در ۱۰ ژوئیه ۲۰۲۳ تصمیم کفایت این چارچوب را پذیرفت؛ دیوان عمومی اتحادیه در ۳ سپتامبر ۲۰۲۵ شکایت لاتومب علیه آن را رد کرد. بازبینی نهایی در دیوان دادگستری در جریان است، اما تا اواخر ۲۰۲۶ این چارچوب همچنان لازم‌الاجرا است.

در عمل، سازمان‌ها برای انتقال قانونی داده از چند مسیر استفاده می‌کنند: تصمیم کفایت (کمیسیون اروپا برای کشوری مانند ژاپن، کره جنوبی، سوئیس، بریتانیا (تجدید دسامبر ۲۰۲۵) و برزیل (توافق متقابل ۲۰۲۶) سطح حفاظت را «معادل» تشخیص داده است)، بندهای قراردادی استاندارد (نسخه ۲۰۲۱، پرکاربردترین ابزار بازار) و قواعد شرکتی الزام‌آور (BCR). داده شخصی اروپایی فقط با یکی از این سازوکارها — یا استثناهای محدود ماده ۴۹ برای انتقال‌های موردی — می‌تواند از مرزهای اتحادیه خارج شود.

در سوی مقابل، موج موازی «بومی‌سازی داده» (Data Localization) در حال رشد است: روسیه از ۲۰۱۵ نگهداری داده شهروندان را در داخل کشور الزامی کرده، چین خروج داده را گره‌زده به ارزیابی یا قرارداد استاندارد داخلی کرده و هند برای داده‌های پرداخت، ذخیره‌سازی در داخل را مقرر کرده است؛ در نقطه مقابل، توافق‌هایی مانند CPTPP و USMCA بومی‌سازی اجباری میان اعضا را ممنوع کرده‌اند.

قانون حریم خصوصی داده در ایران کجاست؟

در گزارشی از دی ۱۴۰۳ (ژانویه ۲۰۲۵) وضعیت ایران چنین توصیف شده بود: حفاظت از داده‌ها همچنان «در خلأ قانونی» است. ایران قانون جامع و مستقیمی برای حفاظت از داده‌های شخصی ندارد، اما چند قطعه از پازل موجود است:

• لایحه حفاظت از داده‌های شخصی: هیئت دولت حدود ۲۰ تیر ۱۴۰۳ این لایحه را تصویب و به مسیر مجلس فرستاد.
• طرح حفاظت از داده‌های شخصی مجلس: ۱۵ مهر ۱۴۰۳ اعلام وصول شد (شماره ثبت ۹۶، دوره دوازدهم مجلس)؛ مسیری موازی که نشان می‌دهد موضوع به اولویت قانون‌گذاران رسیده است.
• دستورالعمل حفاظت از داده‌ها (۱۴۰۲): کارگروه تعیین مصادیق محتوای مجرمانه دستورالعملی صادر کرده که تعهدات حفاظت از داده را بر پلتفرم‌ها و سرویس‌های ایرانی اعمال می‌کند؛ الزام‌آور در مقام اجرا، اما جایگزین قانون جامع نیست.
• قانون مدیریت داده‌ها و اطلاعات ملی (۱۴۰۱): به‌جای حقوق افراد، حاکمیت بر داده‌های ملی و عمومی را قاعده‌مند می‌کند؛ قانونی مرتبط، اما نه جایگزینِ قانون حفاظت از داده‌های شخصی.
• قوانین پراکنده قدیمی: قانون تجارت الکترونیکی (۱۳۸۲) و قانون جرایم رایانه‌ای (۱۳۸۷–۱۳۸۸) برخی رفتارها مانند دسترسی و افشای غیرمجاز داده را جرم‌انگاری کرده‌اند، اما تصویر جامعی از حقوق صاحب داده ارائه نمی‌دهند.

آیا GDPR شرکت‌های ایرانی را می‌گیرد؟

بله، در شرایط مشخص. طبق بند ۲ ماده ۳، GDPR به هر نهادی که مقر اروپایی ندارد اما به افراد داخل اتحادیه اروپا کالا یا خدمات عرضه می‌کند یا رفتارشان را پایش می‌کند، اعمال می‌شود؛ چنین نهادی باید طبق ماده ۲۷ در اتحادیه هم نماینده معرفی کند. یک SaaS ایرانی با کاربر اروپایی یا فروشگاهی که سفارش مشتری اروپایی را پردازش می‌کند، عملاً در دامنه این قانون است — صرف‌نظر از محل ثبت شرکت.

نکته عملی برای انتقال داده: ایران در فهرست تصمیم‌های کفایت اروپا نیست و در عمل، سرویس‌های ابری و پرداخت غربی یا ایران را در فهرست ممنوعین دارند (مانند استرایپ) یا برای کاربران ایرانی در دسترس نیستند؛ بنابراین جابه‌جایی داده بین اروپا و ایران علاوه بر قواعد GDPR با موانع تحریمی جدی نیز روبه‌روست. با تصویب نهایی قوانین داخلی هم به‌تدریج الزامات مشابهی برای سازمان‌های ایرانی تعریف خواهد شد؛ سازمانی که از امروز روی فرایندهای داده‌ای خود کار کند، برای هر دو سناریو آماده است.

privacy policy چیست و چه باید داشته باشد؟

privacy policy یا «سیاست حفظ حریم خصوصی» سندی است که سازمان در آن به زبان روشن اعلام می‌کند داده‌های شخصی کاربران را چگونه مدیریت می‌کند. این سند در بسیاری از قوانین داده نه انتخاب، بلکه تعهد است.

یک privacy policy سازگار با استانداردهای رایج باید حداقل این موارد را پوشش دهد:

1. چه داده‌هایی جمع‌آوری می‌شود — از اطلاعات تماس و شناسه‌ها تا داده رفتاری و کوکی‌ها؛ در قوانین آمریکا (CCPA) این «اطلاعیه هنگام جمع‌آوری» باید دسته‌ها و مقاصد را فهرست کند.
2. هدف و مبنای پردازش — برای هر دسته داده، چه هدفی وجود دارد و مبنای آن چیست: رضایت، اجرای قرارداد، تعهد قانونی و مانند آن.
3. مدت نگهداری — داده‌ها تا کی نزد شما می‌مانند و پس از آن چه سرنوشتی دارند.
4. گیرندگان داده — داده با چه کسانی به اشتراک گذاشته می‌شود: پردازشگرها، پلتفرم‌های تبلیغاتی، مراجع قانونی.
5. حقوق کاربر و مسیر اعمال آن — از دسترسی و اصلاح تا حذف، مخالفت، شکایت به مرجع ناظر و حق طرح شکایت؛ و اگر تصمیم‌گیری خودکاری در کار باشد، منطق آن به زبان قابل‌فهم توضیح داده شود.
6. انتقال بین‌المللی داده — آیا داده از مرزها عبور می‌کند و تحت کدام سازوکار.
7. تدابیر امنیتی و کانال تماس — چه لایه‌هایی از حفاظت فعال است و کاربر سؤال یا شکایت خود را کجا مطرح می‌کند.

سندی که این موارد را داشته باشد، هم ابزار حقوقی دفاع است و هم نشانه بلوغ سازمان در مدیریت داده.

جبهه منتقدان: حفاظت از داده‌ها به قیمت چه؟

تصویر بالا یک‌سویه می‌شود اگر صدای جبهه منتقدان شنیده نشود. داده‌های اقتصادی قابل‌تأملی در این بحث مطرح است:

• برآورد مشترک IAPP و EY (۲۰۱۸) نشان می‌داد شرکت‌های فهرست فرچون گلوبال ۵۰۰ باید حدود ۷٫۸ میلیارد دلار برای انطباق با GDPR هزینه کنند.
• مؤسسه ITIF در دسامبر ۲۰۲۵ گزارش داد سرمایه‌گذاری سرمایه مخاطره‌ای اروپا در بخش فناوری نسبت به آمریکا از زمان GDPR حدود ۲۶٪ افت کرده است.
• پژوهش جیا، جین و واگمن کاهش حدود ۳۶٪ سرمایه‌گذاری استارتاپ‌های اروپایی را نسبت به همتایان آمریکایی و جهانی پس از اجرای GDPR گزارش کرده است.
• مطالعات اقتصادی بنگاه‌های در معرض GDPR، کاهش حدود ۸٪ سود، کاهش حدود ۲٪ فروش و کاهش حدود ۲۶٪ ذخیره‌سازی داده را نشان داده‌اند.
• پژوهش NBER (گلدبرگ، جانسون و شرایور) می‌گوید قوانین رضایت اختیاری، تعداد مصرف‌کنندگانِ قابل‌مشاهده در صنعت داده را ۱۲٫۵٪ کاهش داده و درآمد این صنعت را حدود یک‌سوم کم کرده است.

نقد دیگری به «اجرای ضمانت‌ها» مربوط است: در مطالعه CHI 2020 روی ۱۰ هزار وب‌سایت بریتانیایی، تنها ۱۱٫۸٪ ابزارهای مدیریت رضایت حداقل‌های شفافیت و انتخاب واقعی را رعایت می‌کردند و طراحی بسیاری از بنرهای رضایت با الگوهای فریبنده (dark patterns) کاربر را به پذیرش کامل سوق می‌دهد؛ نتیجه، «خستگی از رضایت» است — دقیقاً برعکس هدف قانون. هیئت اروپایی حفاظت داده هم در نظریه ۰۸/۲۰۲۴ اعلام کرد برای پلتفرم‌های بزرگ، گزینه دوقطبی «رضایت یا اشتراک پولی» در اغلب موارد رضایت معتبر نمی‌سازد.

به باور منتقدان، برای غول‌های فناوری حتی جریمه‌های میلیاردی به بخشی از هزینه عادی کسب‌وکار بدل شده است.

در مقابل، موافقان استدلال می‌کنند GDPR استاندارد جهانی حفاظت از داده‌های شخصی را بالا برده، به قوانین متعدد کشورها سرایت کرده و حقوقی واقعی برای صاحبان داده ایجاد کرده است. ارزیابی منصفانه هر دو را در کنار هم می‌بیند: هزینه‌های انطباق واقعی‌اند و دستاوردها هم.

چه باید کرد؟ چک‌لیست عملی برای کسب‌وکار ایرانی

منتظر ابلاغ قانون ماندن، راهبرد مناسبی نیست. حتی صرف‌نظر از الزام حقوقی، انگیزه اقتصادی کافی است: گزارش ۲۰۲۶ شرکت IBM میانگین جهانی هزینه هر رخنه داده را ۴٫۹۹ میلیون دلار نشان می‌دهد — ۱۲٪ بیشتر از سال قبل — و متوسط عمر هر رخنه از نفوذ تا مهار ۲۴۷ روز است؛ پرتکرارترین داده‌های لو رفته هم اطلاعات شخصی مشتریان‌اند. چک‌لیست پیشنهادی:

1. فهرست‌برداری داده: همه جریان‌های داده شخصی سازمان را مستند کنید: چه داده‌ای، از کجا، کجا ذخیره می‌شود و چه کسی به آن دسترسی دارد.
2. بازبینی مبناهای پردازش: برای هر دسته داده مشخص کنید مبنای جمع‌آوری‌اش رضایت، قرارداد یا تعهد قانونی است و فرایند اخذ و ثبت رضایت را استاندارد کنید.
3. سیاست نگهداری و حذف: برای هر نوع داده «زمان مرگ» تعریف کنید؛ داده‌ای که دلیل نگهداری ندارد باید حذف یا ناشناس شود.
4. آمادگی افشای رخنه: سناریوی پاسخ به رخنه را از پیش بنویسید و تمرین کنید تا گزارش به مرجع و اطلاع‌رسانی به کاربران در مهلت‌هایی مانند ۷۲ ساعت GDPR قابل اجرا باشد.
5. تدوین یا بازنویسی privacy policy: بر اساس فهرست بخش قبل؛ سندی که با واقعیت سیستم‌های شما هم‌خوان باشد، نه متن قالبی کپی‌شده.
6. ارزیابی فروشندگان و انتقال داده: قراردادهای پردازشگری با سرویس‌های ابری را بازبینی کنید و بدانید داده مشتریان از مرزها با چه سازوکاری عبور می‌کند؛ طبق گزارش DBIR ورایزون (۲۰۲۶) در ۴۸٪ رخنه‌ها طرف ثالث نقش داشته است.
7. رمزنگاری، نام‌گذاری مستعار و کنترل دسترسی: رمزنگاری داده در حال انتقال و ذخیره، نام‌گذاری مستعار (pseudonymisation) و تفکیک نقش‌ها را که ماده ۳۲ GDPR بر آن‌ها تأکید دارد فراهم کنید.
8. مسئول مشخص و آموزش: یک نفر را مالک این حوزه کنید و آگاهی تیم‌های فروش و پشتیبانی را درباره قواعد داده بالا ببرید.

تکین داده هوشمند (TDH) به‌عنوان شرکت داده و هوش مصنوعی برای سازمان‌های ایرانی، همین اصول — از فهرست‌برداری داده و کنترل دسترسی تا شفافیت پردازش — را در معماری پلتفرم داده و CRM خود لحاظ کرده است.

جمع‌بندی

قوانین حریم خصوصی داده‌ها دیگر پدیده‌ای صرفاً اروپایی یا آمریکایی نیستند: برزیل، چین، هند و تایلند به این حوزه پیوسته‌اند، بیش از ۲۰ ایالت آمریکا قانون جداگانه دارند، کره جنوبی سقف جریمه‌هایش را چند برابر کرده و ایران هم با لایحه و طرح حفاظت از داده‌های شخصی در مسیر قانون‌گذاری قرار گرفته است. هم‌زمان، داده‌های اقتصادی درباره هزینه‌های انطباق و نقدهای مربوط به خستگی از رضایت نشان می‌دهند این حوزه بی‌منازعه نیست.

برای سازمان‌های ایرانی، مسیر منطقی آماده‌سازی تدریجی است: فهرست‌برداری داده، شفافیت در پردازش، آمادگی برای رخنه و بازبینی انتقال بین‌المللی داده. هرچه دیرتر شروع شود، هم هزینه انطباق بالاتر می‌رود و هم فاصله از استانداردهایی که مشتریان و شرکای بین‌المللی انتظار دارند بیشتر می‌شود. در تکین داده هوشمند، پایش همین تحولات حقوقی و فنی بخشی از فرایند طراحی محصولات داده‌ای است.