◄ کارت مترو تهران؛ از هویت‌ دار شدن تا نگرانی‌ های حریم خصوصی

 از ابتدای مهر خرید کارت جدید متروی تهران بدون ثبت کد ملی و شماره تلفن همراه ممکن نیست. در این فرآیند، شماره تلفن با کد تأیید احراز می شود و بعد کارت به کد ملی صاحب آن متصل خواهد شد. شرکت بهره برداری مترو تأکید می کند که هنگام شخصی سازی، اطلاعات هویتی دیگری از مسافر دریافت نمی کند.

به گزارش سرویس شهری تین نیوز، شرکت بهره برداری مترو می گوید هنگام شخصی سازی، اطلاعات هویتی دیگری از مسافر دریافت نمی کند؛ اما اطلاعات منتشرشده نشان می دهد سابقه تردد و ریز تراکنش کارت ها از قبل در دسترس مترو بوده و در زیرساخت جدید نیز استفاده از اطلاعات سفر برای خدمات هوشمند پیش بینی شده است. شورای شهر تهران می گوید مصوبه ای برای اجباری کردن شخصی سازی وجود ندارد و کارت بی نام باید همچنان در دسترس مردم باشد. نگرانی اصلی، مدت نگهداری داده ها، سطح دسترسی، مبنای قانونی و امکان در اختیار گذاشتن سابقه سفر با نهادهای دیگر است. طرح شخصی سازی کارت بلیت مترو

بر پایه اطلاعات تکمیلی، فرآیند شخصی سازی از ۱۲ مهر ۱۴۰۵ در ۲۶ ایستگاه منتخب تهران آغاز شده است. دارندگان کارت های قدیمی نیز می توانند کارت موجود خود را به صورت رایگان از طریق اپلیکیشن «شهرزاد» یا باجه های منتخب به کد ملی و شماره همراه خود متصل کنند.

 مترو چه چیزی ثبت می کند؟

شرکت بهره برداری مترو: «شخصی سازی کارت به معنای ایجاد ارتباط میان کارت و هویت دارنده آن است.» در همین پاسخ آمده که در طراحی زیرساخت، «امکان ثبت و استفاده از اطلاعات سفر برای ارائه خدمات هوشمند حمل ونقل» نیز پیش بینی شده است.

مترو می گوید ثبت سابقه تردد موضوع تازه ای نیست. از زمان راه اندازی سامانه جمع آوری خودکار کرایه، ریز تراکنش کارت های فعال در شبکه قابل استخراج بوده است. پیش از شخصی سازی نیز از روی شماره سریال کارت می شد سابقه تردد و میزان کرایه کسر شده را بررسی کرد. این اطلاعات در مواردی مانند اعتراض مسافر به میزان کرایه یا کسر پول از حساب بانکی و شارژ نشدن کارت استفاده می شد.

بنابراین تغییر اصلی در ثبت تراکنش نیست؛ تراکنش قبلاً هم ثبت می شد. تفاوت این است که حالا کارت به کد ملی صاحب آن وصل می شود و سابقه ای که پیش تر به یک شماره سریال تعلق داشت، صاحب مشخص پیدا می کند. مترو هنوز نگفته این اطلاعات تا چه مدت نگهداری می شود، چه کسانی به آن دسترسی دارند و آیا سابقه سفر یک مسافر می تواند در اختیار نهاد دیگری قرار بگیرد یا نه.

 استدلال مترو: حفظ موجودی و تخفیف هدفمند

شرکت بهره برداری مترو برای شخصی سازی یک دلیل ساده مطرح می کند: کارت بی نام اگر گم یا خراب شود، مالک آن قابل شناسایی نیست و موجودی باقی مانده هم قابل انتقال نخواهد بود. اگر کارت به نام فرد ثبت شده باشد، می توان آن را مسدود کرد و اعتبارش را به کارت جدید منتقل کرد.

جعفر تشکری هاشمی، رئیس کمیسیون عمران و حمل ونقل شورای شهر تهران، هم این امکان را از مزیت های کارت شخصی می داند. شرکت بهره برداری مترو نیز اعلام کرده اتصال کارت به کد ملی می تواند برای تخفیف های قانونی و هدفمندکردن خدمات رایگان حمل ونقل استفاده شود. حتی دهک بندی افراد به عنوان یکی از معیارهای احتمالی دریافت تخفیف مطرح شده است. با این حال، مترو می گوید هنوز اتصال به هیچ پایگاه اطلاعاتی مشخصی قطعی نشده و اگر قرار باشد طرح حمایتی اجرا شود، نحوه شناسایی مشمولان و پایگاه اطلاعاتی مورد استفاده باید در همان طرح تعیین شود.

موضع شورای شهر: انتخاب باید با شهروند باشد

شورای شهر تهران می گوید مردم باید کارت بی نام هم داشته باشند. جعفر تشکری هاشمی در این باره می گوید مصوبه شورا شخصی سازی را اجباری نکرده و قرار بوده هر دو نوع کارت در دسترس مردم باشد.

او ادامه می دهد: «در مصوبه شورای شهر هم بلیت های شخصی سازی شده پیش بینی شده و هم بلیت های غیرشخصی. هیچ کجا الزام نکرده ایم که مردم حتماً کارت شخصی سازی شده بگیرند یا شماره ملی و تلفن خود را ثبت کنند. این انتخاب برای خود شهروندان است.»

به گفته تشکری هاشمی، اگر خرید کارت در عمل به ثبت هویت مشروط شده باشد، شهرداری برای این الزام مصوبه شورا را ندارد: «اگر برای ما محرز شود که چنین الزامی ایجاد شده است حتماً شورا پیگیری می کند. اگر شهرداری طرح دیگری دارد باید آن را به شورا بیاورد و استدلالش را بگوید. مردم باید بتوانند انتخاب کنند کارت شخصی می خواهند یا کارت بی نام. این حق مردم است.»

شورا می گوید کارت بی نام باید یکی از انتخاب های مسافر باشد، اما در باجه فروش کارت جدید در مترو، از مسافر کد ملی و شماره تلفن خواسته می شود.

 نگرانی های کارشناسان درباره حریم خصوصی و امنیت داده

وحید فرید، متخصص حوزه فناوری اطلاعات و امنیت شبکه، می گوید همین اتصال می تواند حساسیت داده ها را بیشتر کند: «اگر اطلاعات مربوط به این که یک فرد چه زمانی و از چه مسیری تردد کرده در یک نقطه تجمیع شود با یک پایگاه داده حساس روبه رو هستیم.»

او تأکید می کند پیش از جمع آوری هر نوع داده باید هدف آن معلوم باشد: «تجمیع اطلاعات شهروندان بدون هدف مشخص خطرناک است. باید معلوم باشد اطلاعات با چه هدفی جمع آوری می شود و قرار است چه استفاده ای از آن شود.»

فرید می گوید بعد از مشخص شدن نوع داده ها باید حدود دسترسی به آن ها روشن شود. به گفته او استفاده پلیس از داده های حمل ونقل در چارچوب قانون در کشورهای مختلف وجود دارد، اما باید مشخص باشد چه نهادی و در چه شرایطی اجازه دسترسی دارد: «اگر پلیس براساس قانون برای یک پرونده مشخص به داده ای دسترسی داشته باشد یک بحث است. اما شهرداری نهاد انتظامی یا امنیتی نیست. اگر قرار است اطلاعات تردد شهروندان برای اهداف دیگری جمع آوری یا نگهداری شود باید مبنای قانونی و نهاد مسئول آن معلوم باشد.»

مترو در پاسخ های خود نگفته سابقه سفر تا چه مدت نگهداری می شود. درباره سطح دسترسی کارکنان نیز توضیحی نداده است. مشخص نیست اگر نهاد دیگری سابقه سفر فردی را بخواهد چه ضابطه ای وجود دارد و آیا شهروند می تواند درخواست حذف یا ناشناس سازی اطلاعاتش را بدهد یا نه. همچنین نگرانی درباره امنیت این داده ها با توجه به سابقه حملات سایبری به سامانه های عمومی و شهرداری تهران و خلأ یک قانون جامع حمایت از داده های شخصی، جدی تر می شود.

تجربه جهانی: کارت بی نام همچنان یک گزینه است

کارت شخصی در شبکه های حمل ونقل دنیا چیز تازه ای نیست، اما در بسیاری از شهرها تنها گزینه مسافر هم نیست. در پاریس «Navigo Easy» بدون ثبت نام و نشانی و عکس فروخته می شود و صاحب کارت در پرونده مشتریان ثبت نمی شود. در کنار آن کارت های شخصی با امکانات بیشتر هم وجود دارد. نهاد حفاظت از داده فرانسه یا CNIL نیز بر باقی ماندن امکان سفر ناشناس تأکید کرده و میان بلیت شخصی و بلیت بدون ثبت هویت تفاوت گذاشته است.

در توکیو نیز PASMO هم کارت بی نام دارد و هم کارت شخصی. کارت شخصی در صورت گم شدن قابل بازیابی است، اما برای خرید کارت بی نام نیازی به ثبت هویت نیست. سیدنی هم میان کارت ثبت شده و ثبت نشده Opal تفاوت می گذارد. مسافر بزرگسال می تواند کارت فیزیکی ثبت نشده بخرد. شماره کارت و سفرهای انجام شده همچنان در سامانه باقی می ماند، اما کارت از ابتدا به نام فرد مشخصی ثبت نشده است. در نیویورک نیز ساخت حساب کاربری OMNY اختیاری است. نداشتن حساب بعضی خدمات جانبی را محدود می کند، اما برای استفاده از اصل سامانه اجباری نیست.

در این مدل ها اطلاعات بیشتر در برابر خدمات بیشتر گرفته می شود؛ مثلاً بازیابی کارت، تخفیف یا خدمات اختصاصی. اصل سفر اما لزوماً به ثبت هویت وابسته نیست.

چالش فنی: کارت بی نام هم همیشه ناشناس نمی ماند

نبودن نام روی کارت به این معنا نیست که داده سفر بی خطر است. الگوی رفت وآمد افراد می تواند آن قدر تکرارشونده باشد که خود به یک شناسه تبدیل شود. در پژوهشی که سال ۲۰۲۳ با داده های متروی چنگدو انجام شد، فقط سه نقطه از مسیر یک مسافر با زمان بندی دقیق یک دقیقه ای برای تشخیص بیش از ۹۰ درصد کاربران کافی بود. حتی وقتی زمان سفر با دقت یک ساعته ثبت شد، سه نقطه هنوز می توانست بخش بزرگی از کاربران را از یکدیگر جدا کند.

بنابراین حذف نام به تنهایی اطلاعات سفر را ناشناس نمی کند. اگر سفرهای یک فرد با یک شماره ثابت ذخیره شود و زمان و ایستگاه های ورود و خروج هم مشخص باشد، می توان الگوی رفت وآمد او را تشخیص داد. اتصال همان شماره به کد ملی این رابطه را مستقیم می کند.

 دیدگاه شهروندی: آیا زیرساخت های موجود کافی نیست؟

در بخشی از این بحث، یک شهروند تجربه خود را چنین روایت می کند: «هر شخصی که کد ملی دارد، از طریق تلفن همراه یا فناوری تشخیص چهره، امکان بررسی ترددش در شهر وجود دارد. بنابراین، اینکه کسی تصور کند اطلاعات تردد او از طریق کارت مترو کنترل می شود، موضوع چندان جدی ای نیست.»

او ادامه می دهد: «چند روز پیش در اسلامشهر با یک موتورسیکلت فاقد پلاک برخورد داشتم که راکب آن پسری ۱۷ ساله بود. همان لحظه پلیس در آن خیابان در حال گشت زنی بود. راکب موتورسیکلت کارت شناسایی همراه نداشت. پلیس در همان لحظه از چهره او عکس گرفت و اطلاعات هویتی اش را پیدا کرد. موتورسیکلت هم استعلام شد و مشخص شد که سرقتی است. حتی تست مواد مخدر هم از او گرفتند و مشخص شد قرص مصرف کرده است.»

این شهروند نتیجه می گیرد: «از لحاظ امنیتی، فناوری های کافی در اختیار داریم و فکر نمی کنم نیازی به کارت مترو هویت دار باشد. اگر هم چنین کارتی

وجود داشته باشد، نباید از نظر اطلاعاتی حساسیتی برای شهروندان ایجاد کند. اتفاقاً می شود از شهروندانی که به طور مستمر از حمل ونقل عمومی استفاده می کنند، قدردانی کرد.»

این روایت را باید در کنار نگرانی های کارشناسان دید؛ زیرا وجود فناوری های دیگر برای شناسایی هویت، به معنای بی خطر بودن تجمیع داده های سفر در یک سامانه مشخص نیست. مسئله اصلی، هدف جمع آوری، مدت نگهداری، سطح دسترسی و مبنای قانونی استفاده از این داده هاست.

آنچه مشخص است و آنچه بی پاسخ مانده

اکنون مشخص است که مترو کد ملی و شماره تلفن را ثبت می کند، کارت را به هویت صاحبش وصل می کند و ریز تراکنش و سابقه تردد کارت نیز در سامانه وجود دارد. گفته شده استفاده از اطلاعات سفر برای خدمات هوشمند پیش بینی شده و کارت می تواند از طریق «شهرزاد» هم شخصی سازی شود.

اما آنچه هنوز پاسخی ندارد، مدت نگهداری این اطلاعات، حدود دسترسی به آن ها و سرنوشت کارت بی نام است؛ کارتی که رئیس کمیسیون حمل ونقل شورا می گوید باید همچنان در دسترس مردم باشد، اما در باجه فروش کارت جدید، از مسافر کد ملی می خواهند.

شخصی سازی کارت ها در دوره ای آغاز شده که مترو و اتوبوس های تندرو فعلاً رایگان هستند. همین هم این احتمال را مطرح کرده که زیرساخت جدید مقدمه ای برای تغییر دوباره نظام دریافت کرایه باشد. مترو این ارتباط را رد می کند و می گوید هدف، ایجاد زیرساخت هوشمند بلیت و اتصال کارت به مالک آن است. این زیرساخت بعداً می تواند برای تخفیف های هدفمند و خدمات حمایتی هم استفاده شود. شرکت بهره برداری درباره زمان اجرای طرح هم گفته تعداد کارت های موجود و حجم مسافران بالاست و اگر شخصی سازی هم زمان با دریافت کرایه انجام شود احتمال تشکیل صف و اختلال وجود دارد. به همین دلیل از دوره فعلی برای شخصی سازی تدریجی استفاده شده است. زمان بازگشت دریافت کرایه هم به تصمیم مراجع ذی صلاح بستگی دارد.

طرح شخصی سازی کارت مترو تهران، مزایایی مانند بازیابی موجودی در صورت گم شدن کارت و امکان هدفمندکردن تخفیف ها را مطرح می کند. اما در کنار آن، پرسش های جدی درباره حریم خصوصی، امنیت داده ها، مدت نگهداری اطلاعات، سطح دسترسی و حق انتخاب شهروندان برای استفاده از کارت بی نام ایجاد شده است. تجربه شهرهای دیگر نشان می دهد می توان هم کارت شخصی و هم کارت بی نام را در کنار هم داشت. همچنین تجربه فنی نشان می دهد حتی کارت بی نام نیز اگر داده های سفرش به صورت مستمر ذخیره شود، می تواند به ردیابی الگوی رفت وآمد منجر شود. بنابراین، مسئله اصلی فقط وجود یا نبود نام روی کارت نیست؛ بلکه شفافیت در هدف، چارچوب قانونی حفاظت از داده ها، تعیین نهاد مسئول و تضمین حق انتخاب شهروندان است.