حکم دادگاه عالی بریتانیا: کشورهای خارجی را می‌توان به دلیل حملات جاسوسی از راه دور تحت تعقیب قرار داد

ماهیت بدون مرز نظارت سایبری مدت‌هاست که با قوانین سختگیرانه و سرزمینی دیپلماسی بین‌المللی در تضاد بوده است. اگر یک مأمور اطلاعاتی دولتی در خاورمیانه روی دکمه‌ای کلیک کند تا لپ‌تاپی را که روی میزی در لندن قرار دارد آلوده کند، این حمله واقعاً کجا رخ داده است؟ سال‌ها، دولت‌ها با این فرض عمل می‌کردند که چون کلید فیزیکی در داخل مرزهای خودشان فشرده شده است، از نظر قانونی در کشور قربانی غیرقابل دسترس هستند.

دادگاه عالی بریتانیا اکنون پاسخی قاطع ارائه کرده است که این فرض را بر هم می‌زند. در یک تصمیم تاریخی با رأی ۳ به ۲ که در اواخر جولای ۲۰۲۶ صادر شد، دادگاه حکم داد که این عمل در محلی رخ می‌دهد که دستگاه در آنجا به خطر افتاده است. این امر عملاً مصونیت دولتی کشورهای خارجی را برای حملات سایبری از راه دور که در خاک بریتانیا آسیب ایجاد می‌کنند، سلب کرده و مرز جدیدی برای پاسخگویی دیجیتال ایجاد می‌کند.[1][5][8]

پرونده‌ای که منجر به این حسابرسی حقوقی شد، «پادشاهی بحرین علیه شهابی» (Kingdom of Bahrain v Shehabi) نام دارد و حول محور دو مخالف برجسته بحرینی متمرکز است که در بریتانیا در تبعید زندگی می‌کنند: دکتر سعید شهابی و موسی محمد. هر دو مرد ادعا می‌کنند که رایانه‌های شخصی‌شان به طور مخفیانه توسط مأموران وابسته به دولت بحرین به بدافزار جاسوسی تجاری آلوده شده است.[2][4]

نرم‌افزار مورد بحث، FinSpy است؛ یک مجموعه نظارتی پیچیده که توسط شرکت آلمانی اکنون منحل شده FinFisher توسعه یافته است. برخلاف بدافزارهای استاندارد که برای سرقت رمز عبور یا نمایش تبلیغات طراحی شده‌اند، FinSpy منحصراً به عنوان ابزاری برای کنترل کامل محیطی، به سازمان‌های مجری قانون و اطلاعاتی فروخته می‌شود.[3][8]

پس از استقرار، این بدافزار صرفاً فایل‌های ثابت را استخراج نمی‌کند. بلکه هر ضربه کلید را ثبت می‌کند، ارتباطات رمزگذاری شده را رهگیری می‌کند، موقعیت فیزیکی دستگاه را ردیابی می‌کند و می‌تواند به طور مخفیانه میکروفون و دوربین رایانه را فعال کند تا محیط فیزیکی کاربر را در زمان واقعی نظارت کند.[4][8]

شهابی و محمد ادعا می‌کنند که دستگاه‌هایشان حدود سپتامبر ۲۰۱۱، در اوج اعتراضات بهار عربی، آلوده شده‌اند و این امر به اطلاعات بحرین اجازه داده است تا ارتباطات آن‌ها را با زندانیان سیاسی و سایر فعالان برای سال‌ها زیر نظر بگیرد. آن‌ها تنها در سال ۲۰۱۴ پس از افشای داده‌ها توسط ویکی‌لیکس و گروه نظارتی بحرین واچ، از این نفوذ مطلع شدند.[2][3][7]

در سال ۲۰۲۰، این دو نفر یک دعوای مدنی علیه پادشاهی بحرین در دادگاه عالی بریتانیا مطرح کردند. از آنجا که قانون انگلیس برای دور زدن برخی موانع قانونی، به نوع خاصی از آسیب نیاز دارد، آن‌ها به دلیل آسیب شدید روانی ناشی از آزار و اذیت طولانی مدت و نقض عمیق حریم خصوصی‌شان، شکایت کردند.[7][8]

بحرین قاطعانه اتهامات هک را رد کرد. با این حال، به جای بحث در مورد واقعیت‌های نفوذ در این مرحله، دفاع حقوقی این پادشاهی بر یک سپر بسیار قدیمی‌تر تکیه کرد: «قانون مصونیت دولتی ۱۹۷۸» (State Immunity Act 1978). آن‌ها استدلال کردند که بحرین به عنوان یک کشور مستقل، از صلاحیت قضایی دادگاه‌های بریتانیا مصون است.[6][8]

هسته اصلی استدلال بحرین بر جغرافیا استوار بود. وکلای آن‌ها ادعا کردند که حتی اگر هک دقیقاً همانطور که ادعا شده رخ داده باشد، مأمورانی که عملیات سایبری را آغاز کرده‌اند در بحرین بوده‌اند، نه بریتانیا. بنابراین، سیستم حقوقی بریتانیا هیچ اختیاری برای دخالت در اقدامات یک دولت خارجی که از خاک خود عمل می‌کند، ندارد.[5][8]

این امر دادگاه عالی را مجبور کرد تا بخش ۵ قانون مصونیت دولتی را که به عنوان «استثنای تقصیر سرزمینی» (territorial tort exception) شناخته می‌شود، تفسیر کند. این بند بیان می‌کند که یک کشور خارجی از شکایت‌های مربوط به آسیب شخصی یا خسارت مالی «ناشی از یک عمل یا کوتاهی در بریتانیا» مصون نیست.[1][5]

نظر اکثریت، که توسط لرد لوید-جونز، لرد همبلن و لیدی سیملر ارائه شد، به این نتیجه رسید که دستکاری از راه دور یک رایانه واقع در بریتانیا، یک عمل در داخل بریتانیا محسوب می‌شود. آن‌ها این فرض را رد کردند که مأموران دولت خارجی باید برای اعمال این استثنا، حضور فیزیکی در بریتانیا داشته باشند.[8]

برای نشان دادن پوچی تفسیر بحرین، قضات اکثریت مجموعه‌ای از سناریوهای فرضی مدرن را ارائه دادند. آن‌ها اشاره کردند که اگر حضور فیزیکی به شدت مورد نیاز باشد، یک دولت خارجی می‌تواند از راه دور یک پهپاد را در لندن منفجر کند، یا رایانه‌های سرویس بهداشت ملی (NHS) را هک کند و باعث مرگ بیماران شود، و همچنان ادعای مصونیت حقوقی مطلق کند.[8]

این تصمیم یکپارچه نبود. قضات مخالف، لرد لگات و لرد باروز، هشدار دادند که تفسیر اکثریت می‌تواند بریتانیا را در نقض قوانین عرفی بین‌المللی قرار دهد. آن‌ها استدلال کردند که کنوانسیون‌های بین‌المللی از لحاظ تاریخی مستلزم آن بوده‌اند که «عامل آسیب» هنگام وقوع عمل زیان‌آور، حضور فیزیکی در کشور محل دادرسی داشته باشد.[1][8]

با وجود مخالفت، این حکم یک شکاف حیاتی بین قوانین قرن بیستم و جنگ سایبری قرن بیست و یکم را پر می‌کند. با به رسمیت شناختن قانونی این که یک نفوذ دیجیتال یک رویداد فیزیکی در قلمرو بریتانیا است، قوه قضائیه دامنه قانون تقصیر داخلی را گسترش داده تا واقعیت‌های سرکوب فراملی مدرن را پوشش دهد.[1][5]

برای رژیم‌های خودکامه‌ای که به طور فزاینده‌ای برای ردیابی مخالفان، روزنامه‌نگاران و مدافعان حقوق بشر در سراسر مرزها به بدافزارهای جاسوسی تجاری متکی هستند، چشم‌انداز حقوقی اساساً تغییر کرده است. بریتانیا دیگر پناهگاه امنی نیست که سرویس‌های اطلاعاتی خارجی بتوانند بدون ترس از مسئولیت مدنی، به صورت دیجیتالی در آن فعالیت کنند.[2][4]

پیامدهای این حکم فراتر از این یک دعوای قضایی است. تحلیلگران حقوقی خاطرنشان می‌کنند که قانون مصونیت دولتی ۱۹۷۸ به عنوان الگویی برای قوانین مشابه در سراسر جهان کامن‌لا، از جمله در استرالیا و سنگاپور، عمل کرده است. دادگاه‌های این حوزه‌های قضایی اکنون ممکن است هنگام رسیدگی به پرونده‌های هک تحت حمایت دولت خود، به استدلال دادگاه عالی بریتانیا توجه کنند.[5]

با برداشته شدن سپر صلاحیت قضایی، پرونده «پادشاهی بحرین علیه شهابی» اکنون برای محاکمه کامل در مورد ماهیت دعوا به دادگاه عالی باز خواهد گشت. برای اولین بار، یک دولت خارجی مجبور خواهد شد در یک دادگاه بریتانیایی به عملیات اطلاعاتی دیجیتال ادعایی خود پاسخ دهد و بحث را از مصونیت نظری به پزشکی قانونی دیجیتال عینی تغییر دهد.[2][7]