از کد ملی تا مسیر سفر؛ کارت مترو چه چیزهایی از شهروند می‌داند؟
شورای شهر می‌گوید اتصال کد ملی به کارت مترو را اجباری نکرده اما همچنان خرید کارت جدید متروی تهران بدون ثبت کد ملی و شماره تلفن همراه ممکن نیست
از ابتدای مهر خرید کارت جدید متروی تهران بدون ثبت کد ملی و شماره تلفن همراه ممکن نیست. شماره تلفن با کد تأیید احراز می‌شود و بعد کارت به کد ملی صاحب آن متصل خواهد شد. شرکت بهره‌برداری می‌گوید هنگام شخصی‌سازی اطلاعات هویتی دیگری از مسافر دریافت نمی‌کند، اما اطلاعات منتشر شده درباره این طرح از سوی مترو نشان می‌دهد سابقه تردد و ریز تراکنش کارت‌ها از قبل در دسترس مترو بوده و در زیرساخت جدید هم استفاده از اطلاعات سفر برای خدمات هوشمند پیش‌بینی شده است.
تا پیش از این سابقه سفر به شماره سریال یک کارت وصل بود؛ با شخصی‌شدن کارت، همان شماره سریال صاحب مشخص پیدا می‌کند. مترو هنوز نگفته این اطلاعات تا چه مدت نگهداری می‌شود، چه کسانی به آن دسترسی دارند و آیا سابقه سفر یک مسافر می‌تواند در اختیار نهاد دیگری قرار بگیرد یا نه.
شورا: مردم باید کارت بی‌نام هم داشته باشند
جعفر تشکری‌هاشمی رئیس کمیسیون عمران و حمل‌ونقل شورای شهر تهران می‌گوید مصوبه شورا شخصی‌سازی را اجباری نکرده و قرار بوده هر دو نوع کارت در دسترس مردم باشد.
او ادامه می دهد: «در مصوبه شورای شهر هم بلیت‌های شخصی‌سازی‌شده پیش‌بینی شده و هم بلیت‌های غیرشخصی. هیچ کجا الزام نکرده‌ایم که مردم حتما کارت شخصی‌سازی‌شده بگیرند یا شماره ملی و تلفن خود را ثبت کنند. این انتخاب برای خود شهروندان است.»
به گفته تشکری‌هاشمی اگر خرید کارت در عمل به ثبت هویت مشروط شده باشد، شهرداری برای این الزام مصوبه شورا را ندارد: «اگر برای ما محرز شود که چنین الزامی ایجاد شده است حتما شورا پیگیری می‌کند. اگر شهرداری طرح دیگری دارد باید آن را به شورا بیاورد و استدلالش را بگوید. مردم باید بتوانند انتخاب کنند کارت شخصی می‌خواهند یا کارت بی‌نام. این حق مردم است.»
شورا می‌گوید کارت بی‌نام باید یکی از انتخاب‌های مسافر باشد، اما خرید کارت جدید در مترو با ثبت کد ملی و شماره تلفن انجام می‌شود.
کارت گم شود، موجودی برمی‌گردد
شرکت بهره‌برداری مترو برای شخصی‌سازی یک دلیل ساده مطرح می‌کند. کارت بی‌نام اگر گم یا خراب شود، مالک آن قابل شناسایی نیست و موجودی باقی‌مانده هم قابل انتقال نخواهد بود. اگر کارت به نام فرد ثبت شده باشد می‌توان آن را مسدود کرد و اعتبارش را به کارت جدید منتقل کرد.
تشکری‌هاشمی هم این امکان را از مزیت‌های کارت شخصی می‌داند. شرکت بهره‌برداری مترو هم اعلام کرده اتصال کارت به کد ملی می‌تواند برای تخفیف‌های قانونی و هدفمندکردن خدمات رایگان حمل‌ونقل هم استفاده شود. حتی دهک‌بندی افراد به عنوان یکی از معیارهای احتمالی دریافت تخفیف مطرح شده است.
مترو می‌گوید هنوز اتصال به هیچ پایگاه اطلاعاتی مشخصی قطعی نشده و اگر قرار باشد طرح حمایتی اجرا شود، نحوه شناسایی مشمولان و پایگاه اطلاعاتی مورد استفاده باید در همان طرح تعیین شود.
مترو چه چیزی از سفرها ثبت می‌کند؟
شرکت بهره‌برداری در پاسخ به آتیه آنلاین گفته است: «شخصی‌سازی کارت به معنای ایجاد ارتباط میان کارت و هویت دارنده آن است.» در همین پاسخ آمده که در طراحی زیرساخت «امکان ثبت و استفاده از اطلاعات سفر برای ارائه خدمات هوشمند حمل‌ونقل» نیز پیش‌بینی شده است.
مترو می‌گوید ثبت سابقه تردد موضوع تازه‌ای نیست. از زمان راه‌اندازی سامانه جمع‌آوری خودکار کرایه ریز تراکنش کارت‌های فعال در شبکه قابل استخراج بوده است. پیش از شخصی‌سازی نیز از روی شماره سریال کارت می‌شد سابقه تردد و میزان کرایه کسرشده را بررسی کرد. این اطلاعات در مواردی مانند اعتراض مسافر به میزان کرایه یا کسر پول از حساب بانکی و شارژ نشدن کارت استفاده می‌شد.
بنابراین تغییر اصلی در ثبت تراکنش نیست. تراکنش قبلا هم ثبت می‌شد. تفاوت این است که حالا کارت به کد ملی صاحب آن وصل می‌شود و سابقه‌ای که پیش‌تر به یک شماره سریال تعلق داشت، صاحب مشخص دارد.
وحید فرید متخصص حوزه فناوری اطلاعات و امنیت شبکه می‌گوید همین اتصال می‌تواند حساسیت داده‌ها را بیشتر کند: «اگر اطلاعات مربوط به این‌که یک فرد چه زمانی و از چه مسیری تردد کرده در یک نقطه تجمیع شود با یک پایگاه داده حساس روبه‌رو هستیم.»
او تأکید می‌کند پیش از جمع‌آوری هر نوع داده باید هدف آن معلوم باشد: «تجمیع اطلاعات شهروندان بدون هدف مشخص خطرناک است. باید معلوم باشد اطلاعات با چه هدفی جمع‌آوری می‌شود و قرار است چه استفاده‌ای از آن شود.»
سازو کار حفاظت از اطلاعات تردد شهروندان مشخص نیست
«شهرزاد» یکی از مسیرهای فعلی شخصی‌سازی کارت‌های بلیت است. مترو تأیید کرده مالک کارت می‌تواند از طریق این سامانه تراکنش‌های کارت خود را هم ببیند. فرید می‌گوید هرچه اطلاعات بیشتری از یک فرد در سامانه‌های مختلف به هم متصل شود، حفاظت از آن هم اهمیت بیشتری پیدا می‌کند. او به سابقه حملات سایبری به سامانه‌های عمومی و شهرداری تهران اشاره می‌کند و معتقد است باید معلوم باشد چه سازوکاری برای حفاظت از اطلاعات تردد شهروندان در نظر گرفته شده است.
در شهرهای دیگر، کارت بی‌نام هنوز هست
کارت شخصی در شبکه‌های حمل‌ونقل دنیا چیز تازه‌ای نیست، اما در بسیاری از شهرها تنها گزینه مسافر هم نیست. در پاریس «Navigo Easy» بدون ثبت نام و نشانی و عکس فروخته می‌شود و صاحب کارت در پرونده مشتریان ثبت نمی‌شود. در کنار آن کارت‌های شخصی با امکانات بیشتر هم وجود دارد. نهاد حفاظت از داده فرانسه یا CNIL نیز بر باقی ماندن امکان سفر ناشناس تأکید کرده و میان بلیت شخصی و بلیت بدون ثبت هویت تفاوت گذاشته است. در توکیو نیز PASMO هم کارت بی‌نام دارد و هم کارت شخصی. کارت شخصی در صورت گم‌شدن قابل بازیابی است، اما برای خرید کارت بی‌نام نیازی به ثبت هویت نیست. سیدنی هم میان کارت ثبت‌شده و ثبت‌نشده Opal تفاوت می‌گذارد. مسافر بزرگسال می‌تواند کارت فیزیکی ثبت‌نشده بخرد. شماره کارت و سفرهای انجام‌شده همچنان در سامانه باقی می‌ماند، اما کارت از ابتدا به نام فرد مشخصی ثبت نشده است. در نیویورک نیز ساخت حساب کاربری OMNY اختیاری است. نداشتن حساب بعضی خدمات جانبی را محدود می‌کند، اما برای استفاده از اصل سامانه اجباری نیست.
در این مدل‌ها اطلاعات بیشتر در برابر خدمات بیشتر گرفته می‌شود؛ مثلا بازیابی کارت، تخفیف یا خدمات اختصاصی. اصل سفر اما لزوما به ثبت هویت وابسته نیست.
کارت بی‌نام هم همیشه ناشناس نمی‌ماند
نبودن نام روی کارت به این معنا نیست که داده سفر بی‌خطر است. الگوی رفت‌وآمد افراد می‌تواند آن‌قدر تکرارشونده باشد که خود به یک شناسه تبدیل شود. در پژوهشی که سال ۲۰۲۳ با داده‌های متروی چنگدو انجام شد، فقط سه نقطه از مسیر یک مسافر با زمان‌بندی دقیق یک‌دقیقه‌ای برای تشخیص بیش از ۹۰ درصد کاربران کافی بود. حتی وقتی زمان سفر با دقت یک‌ساعته ثبت شد، سه نقطه هنوز می‌توانست بخش بزرگی از کاربران را از یکدیگر جدا کند.
بنابراین حذف نام به تنهایی اطلاعات سفر را ناشناس نمی‌کند. اگر سفرهای یک فرد با یک شماره ثابت ذخیره شود و زمان و ایستگاه‌های ورود و خروج هم مشخص باشد، می‌توان الگوی رفت‌وآمد او را تشخیص داد. اتصال همان شماره به کد ملی این رابطه را مستقیم می‌کند.
چه کسانی می‌توانند سابقه سفر را ببینند؟
فرید می‌گوید بعد از مشخص‌شدن نوع داده‌ها باید حدود دسترسی به آنها روشن شود. به گفته او استفاده پلیس از داده‌های حمل‌ونقل در چارچوب قانون در کشورهای مختلف وجود دارد، اما باید مشخص باشد چه نهادی و در چه شرایطی اجازه دسترسی دارد.
او می‌گوید: «اگر پلیس براساس قانون برای یک پرونده مشخص به داده‌ای دسترسی داشته باشد یک بحث است. اما شهرداری نهاد انتظامی یا امنیتی نیست. اگر قرار است اطلاعات تردد شهروندان برای اهداف دیگری جمع‌آوری یا نگهداری شود باید مبنای قانونی و نهاد مسئول آن معلوم باشد.»
مترو در پاسخ‌های خود نگفته سابقه سفر تا چه مدت نگهداری می‌شود. درباره سطح دسترسی کارکنان نیز توضیحی نداده است. مشخص نیست اگر نهاد دیگری سابقه سفر فردی را بخواهد چه ضابطه‌ای وجود دارد و آیا شهروند می‌تواند درخواست حذف یا ناشناس‌سازی اطلاعاتش را بدهد یا نه.
چرا حالا؟
شخصی‌سازی کارت‌ها در دوره‌ای آغاز شده که مترو و اتوبوس‌های تندرو فعلا رایگان هستند. همین هم این احتمال را مطرح کرده که زیرساخت جدید مقدمه‌ای برای تغییر دوباره نظام دریافت کرایه باشد. مترو این ارتباط را رد می‌کند و می‌گوید هدف، ایجاد زیرساخت هوشمند بلیت و اتصال کارت به مالک آن است. این زیرساخت بعدا می‌تواند برای تخفیف‌های هدفمند و خدمات حمایتی هم استفاده شود. شرکت بهره‌برداری درباره زمان اجرای طرح هم گفته تعداد کارت‌های موجود و حجم مسافران بالاست و اگر شخصی‌سازی هم‌زمان با دریافت کرایه انجام شود احتمال تشکیل صف و اختلال وجود دارد. به همین دلیل از دوره فعلی برای شخصی‌سازی تدریجی استفاده شده است. زمان بازگشت دریافت کرایه هم به تصمیم مراجع ذی‌صلاح بستگی دارد.
حالا مشخص است که مترو کد ملی و شماره تلفن را ثبت می‌کند، کارت را به هویت صاحبش وصل می‌کند و ریز تراکنش و سابقه تردد کارت نیز در سامانه وجود دارد. گفته شده استفاده از اطلاعات سفر برای خدمات هوشمند پیش‌بینی شده و کارت می‌تواند از طریق شهرزاد هم شخصی‌سازی شود. آنچه هنوز پاسخی ندارد مدت نگهداری این اطلاعات، حدود دسترسی به آنها و سرنوشت کارت بی‌نام است؛ کارتی که رئیس کمیسیون حمل‌ونقل شورا می‌گوید باید همچنان در دسترس مردم باشد، اما در باجه فروش کارت جدید، از مسافر کد ملی می‌خواهند.