مقرراتی که غول‌ها را چاق‌تر و استارتاپ‌ها را لاغرتر کرد: تراژدی ناخواسته‌ی GDPR
علیرضا محمودی فرد – پسادکترای حرفه‌ای آینده‌پژوهی، پژوهشگر و مدرس دانشگاه‌ها
تصور کنید شهرداری قانونی وضع کند که تمام ساختمان‌ها باید در برابر زلزله مقاوم باشند؛ قانونی با نیت خیر حفاظت از جان شهروندان. اما اجرای این قانون، چنان پرهزینه و پیچیده باشد که سازندگان کوچک ورشکست شوند، درحالی‌که غول‌های ساختمان‌سازی، با تیم‌های حقوقی و مهندسی عظیمشان، نه‌تنها جان سالم به در برند، که از حذف رقبا استقبال هم بکنند.
این، دقیقاً داستان «مقررات عمومی حفاظت از داده‌های اتحادیه‌ی اروپا» یا همان GDPR است؛ قانونی که به نام «حقوق شهروندان» آمد، اما به کام «غول‌های فناوری» تمام شد.
GDPR چیست و چرا وضع شد؟
در ماه می ۲۰۱۸، اتحادیه‌ی اروپا یکی از بلندپروازانه‌ترین قوانین حریم خصوصی در تاریخ را به اجرا گذاشت. GDPR به شهروندان اروپایی این حق را داد که بدانند چه داده‌هایی از آن‌ها جمع‌آوری می‌شود، بتوانند داده‌هایشان را پاک کنند و پیش از هرگونه جمع‌آوری داده، «رضایت آگاهانه» بدهند. جریمه‌ی تخلف نیز نفس‌گیر بود: تا ۴ درصد از درآمد سالانه‌ی جهانی شرکت.
نیت قانون‌گذار، ستودنی بود. در عصر استخراج بی‌محابای داده‌های شخصی توسط فیسبوک، گوگل و آمازون، شهروندان نیاز به سپر دفاعی داشتند. اما پرسشی که کمتر پرسیده شد این بود: «هزینه‌ی این سپر را چه کسی می‌پردازد؟» پاسخ، حالا پس از چند سال اجرا، کمکم روشن می‌شود: هزینه را استارتاپ‌های کوچک می‌پردازند و منفعت را غول‌های فناوری می‌برند.
اقتصاد مقیاس در حقوق: چرا استارتاپ‌ها زیر بار له می‌شوند؟
برای فهم این تراژدی، باید مفهوم «هزینه‌ی تمکین» (Compliance Cost) را درک کنیم. GDPR الزامات فنی، حقوقی و سازمانی گسترده‌ای تحمیل می‌کند: استخدام یک افسر حفاظت از داده، انجام ارزیابی‌های اثر بر حریم خصوصی، ممیزی‌های منظم، ثبت دقیق تمام پردازش‌های داده و طراحی سیستم‌هایی که «حریم خصوصی از همان ابتدا» در آن‌ها تعبیه شده باشد.
برای یک غول فناوری مانند گوگل یا فیسبوک، این هزینه‌ها «هزینه‌ی ثابت» هستند. استخدام ده وکیل و مهندس اضافی، وقتی درآمد سالانه‌ات صدها میلیارد دلار است، قطره‌ای در دریا محسوب می‌شود. در واقع، این شرکت‌ها پیش از GDPR هم زیرساخت‌های عظیم حقوقی و فنی داشتند. برای آن‌ها، GDPR یک تعدیل جزئی بود، نه یک زلزله.
اما برای یک استارتاپ ده‌نفره که تازه می‌خواهد اپلیکیشنی نوآورانه عرضه کند، ماجرا فرق می‌کند. همین الزامات، «هزینه‌ی ورود» را به‌شدت افزایش می‌دهد. پژوهشی از مؤسسه‌ی NBER نشان داد که پس از اجرای GDPR، تعداد اپلیکیشن‌های جدید در فروشگاه گوگل‌پلی حدود یک‌سوم کاهش یافت. مطالعه‌ای دیگر در اروپا دریافت که سرمایه‌گذاری خطرپذیر در استارتاپ‌های حوزه‌ی داده-محور، به‌طور معناداری افت کرد. سرمایه‌گذاران ترجیح دادند پولشان را به شرکت‌های بزرگ‌تر و جاافتاده‌تری بدهند که می‌دانستند از پسِ جریمه‌ها و پیچیدگی‌های حقوقی برمی‌آیند.
چرا غول‌ها عاشق GDPR شدند؟
شاید طعنه‌آمیزترین پیامد GDPR این باشد: قانونی که برای مهار غول‌های فناوری طراحی شده بود، به «خندقی» (Moat) دور قلعه‌های آن‌ها تبدیل شد. خندق، در ادبیات استراتژی کسب‌وکار، مانعی است که رقبا را از ورود به بازار بازمی‌دارد. GDPR، ناخواسته، چنین مانعی ساخت.
نخست، هزینه‌ی تمکین، برای رقبای بالقوه‌ی غول‌ها، حکم «مالیات ورود» را دارد. استارتاپی که می‌خواهد با فیسبوک رقابت کند، پیش از جذب اولین کاربر، باید هزاران دلار صرف وکلا و مهندسان حریم خصوصی کند. دوم، GDPR کاربران را به «رضایت‌دادن» عادت داد. کاربران، با بی‌حوصلگی، پنجره‌های طولانیِ رضایت را تأیید می‌کنند و این عادت، به نفع برندهای آشناست؛ کاربر به گوگل اعتماد می‌کند، اما به استارتاپ ناشناس، نه. سوم، جریمه‌های ۴ درصدی برای یک غول، قابل مدیریت است، اما برای یک استارتاپ، حکم اعدام قطعی.
آیا حریم خصوصی، دشمن نوآوری است؟
پرسش دشوارتر این است: آیا این بهای ناگزیر حفاظت از حریم خصوصی است؟ آیا باید میان «نوآوری» و «حقوق شهروندان» یکی را برگزینیم؟
پاسخ اقتصاددانان، «خیر» است. مسأله، اصلِ مقررات نیست؛ «طراحی» مقررات است. GDPR یک قانون «یکسان برای همه» (One-Size-Fits-All) بود. تصور کنید استانداردهای ایمنی ساختمان برای یک آسمان‌خراش و یک کلبه‌ی روستایی یکسان باشد. کلبه‌ساز ورشکست می‌شود، چون نمی‌تواند هزینه‌ی مهندسان سازه و آزمایشگاه‌های بتن را بپردازد. مقررات هوشمند، باید «مقیاس‌پذیر» و «متناسب با اندازه» باشند.
راه‌حل، نه حذف GDPR، که «تنظیم‌گری افتراقی» است. برای استارتاپ‌های کوچک (زیر آستانه‌ای مشخص از درآمد یا تعداد کاربر)، الزامات باید ساده‌تر و کم‌هزینه‌تر باشد و با رشد آن‌ها، به‌تدریج افزایش یابد. این دقیقاً همان منطقی است که در بسیاری از قوانین مالیاتی یا استانداردهای حسابداری اعمال می‌شود: بار مقررات، متناسب با شانه‌هایی باشد که آن را حمل می‌کنند.
درس‌هایی برای ایران
برای ایران، که هنوز قانون جامع حفاظت از داده‌های شخصی در حد لایحه و طرح باقی مانده، داستان GDPR یک هشدار جدی است. میل به «الگوبرداری» از قوانین پیشرفته بدون توجه به ساختار اقتصاد، می‌تواند فاجعه بیافریند. اقتصاد ایران، اقتصاد استارتاپ‌های کوچک و نوپاست، نه غول‌های فناوری. اگر قانونی مشابه GDPR، بدون توجه به اصل تناسب، تصویب شود، احتمالاً نوآوری نوپای داخلی را در گهواره خفه خواهد کرد، بی‌آنکه منفعت چشمگیری برای حریم خصوصی شهروندان داشته باشد.
پرسش آخر را با هم مرور کنیم: آیا می‌توانیم مقرراتی بنویسیم که از داده‌های شهروندان محافظت کند، بی‌آنکه میدان رقابت را برای همیشه به نفع غول‌ها سنگ‌چین کرده باشیم؟ پاسخ مثبت است، اما به یک شرط: فروتنی در برابر پیچیدگی و دوری از وسوسه‌ی «نسخه‌برداری» از قوانینی که در بستر اقتصادی متفاوتی زاده شده‌اند.
تنظیم‌گری هوشمند، هنر تشخیص تفاوت‌هاست؛ تفاوت میان یک غول و یک استارتاپ، و تفاوت میان محافظت و خفه‌کردن. اگر این تفاوت‌ها را نبینیم، ممکن است روزی تاریخ، GDPR را نه به‌عنوان «منشور حقوق دیجیتال شهروندان»، که به‌عنوان «بزرگ‌ترین سدِ ناخواسته در برابر نوآوری» به یاد آورد.
