تیسرے فریق کے ساتھ ذاتی ڈیٹا کا اشتراک کرتے وقت 7 جی ڈی پی آر کے خطرات

GDPR کے تحت ذاتی ڈیٹا کا اشتراک صرف اس صورت میں جائز ہے جہاں ڈیٹا کو ظاہر کرنے والی تنظیم آرٹیکل 6 کے تحت قانونی بنیاد کی طرف اشارہ کر سکتی ہے، اس نے تحریری طور پر طے کیا ہے کہ آیا وصول کنندہ ایک پروسیسر ہے یا کنٹرولر، اور متعلقہ افراد کو بتایا ہے کہ اشتراک ہوتا ہے۔ یہ تین شرائط زیادہ تر غلط ہونے کا احاطہ کرتی ہیں۔ ڈچ سپروائزری اتھارٹی، Autoriteit Personsgegevens (AP)، GDPR کو ڈچ نافذ کرنے والے ایکٹ، Uitvoeringswet AVG (UAVG) کے ساتھ نافذ کرتی ہے، اور آرٹیکل 83 GDPR ایک مقررہ حد سے زیادہ یا دنیا بھر میں سالانہ ٹرن اوور کے فیصد سے زیادہ پر زیادہ سے زیادہ جرمانے مقرر کرتا ہے۔

ذاتی ڈیٹا مسلسل تنظیمی حدود کو پار کرتا ہے: کلاؤڈ فراہم کرنے والے، ایک پے رول بیورو، ایک مارکیٹنگ ایجنسی، ایک قرض جمع کرنے والا، بیرون ملک ایک گروپ کمپنی کو۔ ان میں سے ہر بہاؤ ایک الگ پروسیسنگ آپریشن ہے جسے اس کی اپنی شرائط پر جائز قرار دیا جانا چاہیے۔ یہ مضمون سات خطرات کو متعین کرتا ہے جو عملی طور پر دوبارہ پیدا ہوتے ہیں، ان کی دفعات کو کیا جاتا ہے، اور AP یا دعویدار کے سوال اٹھانے سے پہلے نیدرلینڈز میں کاروبار ہر ایک کے بارے میں کیا کر سکتا ہے۔

کسی درست قانونی بنیاد کے بغیر شیئر کرنا

ذاتی ڈیٹا کے ہر انکشاف کے لیے آرٹیکل 6(1) GDPR کے تحت قانونی بنیاد کی ضرورت ہوتی ہے، اور تجارتی وجہ ان میں سے ایک نہیں ہے۔ چھ بنیادیں مکمل ہیں: رضامندی، معاہدے کی کارکردگی، قانونی ذمہ داری، اہم مفادات، عوامی کام، اور جائز مفادات۔ آرٹیکل 5(1)(a) میں مزید کہا گیا ہے کہ کارروائی کسی بھی صورت میں قانونی، منصفانہ اور شفاف ہونی چاہیے، اس لیے ایک ایسی بنیاد جو کاغذ پر موجود ہے لیکن کبھی کسی کو اس کی وضاحت نہیں کی گئی تھی، پھر بھی خلا چھوڑ دیتا ہے۔

شراکت داروں اور سپلائرز کے ساتھ اشتراک کے لیے اکثر جائز مفادات کی بنیاد رکھی جاتی ہے، اور یہ وہی ہے جسے اکثر غلط طریقے سے استعمال کیا جاتا ہے۔ اس کے لیے تین مراحل کی تشخیص کی ضرورت ہے: سود کا جائز ہونا ضروری ہے، اسے پورا کرنے کے لیے پروسیسنگ ضروری ہونا چاہیے، اور دلچسپی کو متعلقہ افراد کے حقوق اور آزادیوں سے تجاوز نہیں کرنا چاہیے۔ اس توازن کی مشق کو اشتراک شروع ہونے اور ریکارڈ کرنے سے پہلے انجام دیا جانا چاہیے، کیونکہ آرٹیکل 5(2) کنٹرولر پر تعمیل کا مظاہرہ کرنے کا بوجھ ڈالتا ہے۔ شکایت آنے کے بعد لکھے گئے جائز مفادات کی تشخیص کی قیمت بہت کم ہے۔

مزید دو پھندے نام لینے کے قابل ہیں۔ ملازمت کے تعلق میں حاصل کردہ رضامندی شاذ و نادر ہی درست ہوتی ہے، کیونکہ طاقت کے عدم توازن کا مطلب ہے کہ اسے آزادانہ طور پر نہیں دیا جاتا ہے، اور ایک آجر جو ڈیٹا شیئرنگ کے لیے اس پر انحصار کرتا ہے، عام طور پر کسی چیز پر انحصار نہیں کرتا ہے۔ اور آرٹیکل 5(1)(b) کے تحت مقصد کی حد کا اطلاق شیئرنگ پر اتنا ہی ہوتا ہے جتنا کہ اصل مجموعہ پر ہوتا ہے: سروس فراہم کرنے کے لیے اکٹھا کیا گیا ڈیٹا محض مارکیٹنگ کے لیے پارٹنر کو نہیں دیا جا سکتا کیونکہ تجارتی منطق پرکشش ہے۔ جہاں نیا مقصد اصل سے مطابقت نہیں رکھتا، وہاں ایک نئی بنیاد کی ضرورت ہوتی ہے۔

اس سے پہلے کہ کوئی ذاتی ڈیٹا تنظیم سے نکل جائے، بنیاد کی شناخت کریں، اسے لکھیں، اور چیک کریں کہ پرائیویسی نوٹس پہلے سے ہی شیئرنگ کی وضاحت کرتا ہے۔ اگر بنیاد جائز مفادات ہیں، تو تشخیص فائل میں ہے۔ اگر یہ رضامندی ہے تو رضامندی آزادانہ طور پر دی جانی چاہیے، مخصوص، باخبر اور غیر مبہم، اور اسے واپس لینا اتنا ہی آسان ہونا چاہیے جتنا کہ دینا تھا۔

کنٹرولر اور پروسیسر کے کردار کو غلط بنانا

ایک کنٹرولر پروسیسنگ کے مقاصد اور ذرائع کا تعین کرتا ہے۔ ایک پروسیسر صرف کنٹرولر کی دستاویزی ہدایات پر کام کرتا ہے (آرٹیکل 4(7) اور (8) جی ڈی پی آر)۔ کردار اس بات کا نہیں کہ معاہدہ فریقین کو کیا کہتا ہے بلکہ اس بات کا ہے کہ اصل میں کون فیصلہ کرتا ہے، اور غلط درجہ بندی ایسی ذمہ داریاں پیدا کرتی ہے جو کوئی بھی انجام نہیں دیتا۔

عام غلطی ہر سپلائر کو پروسیسر کا لیبل لگانا ہے۔ ایک SaaS فراہم کنندہ جو اپنے پروڈکٹ کو بہتر بنانے کے لیے کسٹمر ڈیٹا کا استعمال کرتا ہے، پیشہ ورانہ اصولوں کا پابند اکاؤنٹنٹ، ادائیگی کرنے والا بینک، ایک اشتہاری پلیٹ فارم جو اپنے سامعین کے پروفائلز بناتا ہے: ان میں سے کوئی بھی مکمل طور پر ہدایات پر عمل نہیں کرتا، اور ہر ایک پروسیسنگ کے کم از کم حصے کے لیے اپنے طور پر کنٹرولر ہے۔ جہاں دو تنظیمیں مشترکہ طور پر مقاصد اور ذرائع کا تعین کرتی ہیں، وہ آرٹیکل 26 GDPR کے تحت مشترکہ کنٹرولرز ہیں اور انہیں اپنی متعلقہ ذمہ داریوں کو ایک ایسے انتظام میں طے کرنا چاہیے جس کا خلاصہ ڈیٹا کے مضامین کے لیے دستیاب ہو۔

کورٹ آف جسٹس نے وسیع پیمانے پر لکیر کھینچی ہے۔ فیشن آئی ڈی (C-40/17) میں اس کا خیال تھا کہ ایک ویب سائٹ آپریٹر جو تھرڈ پارٹی سوشل پلگ ان کو ایمبیڈ کرتا ہے، زائرین کے ڈیٹا کو اکٹھا کرنے اور اس کی منتقلی کے لیے مشترکہ کنٹرولر تھا، حالانکہ اس کے بعد ڈیٹا تک اس کی رسائی نہیں تھی اور اس نے فیصلہ نہیں کیا تھا کہ آگے کیا ہوا۔ مقاصد پر جزوی اثر کافی ہے۔ عملی نتیجہ مشترکہ ذمہ داری ہے: ایک تنظیم اس خلاف ورزی کا جواب دے سکتی ہے جس کی وجہ سے اس نے نہیں دیکھا اور نہ دیکھا۔

پہلے ڈیٹا کے بہاؤ کا نقشہ بنائیں اور پوچھیں، ہر ایک سے، جو فیصلہ کرتا ہے کہ ڈیٹا پر کیوں اور کیسے کارروائی کی جاتی ہے۔ نتیجہ ریکارڈ کریں، پھر اسے صحیح طریقے سے لکھیں: پروسیسرز کے لیے آرٹیکل 28 کے تحت ایک پروسیسنگ معاہدہ، آرٹیکل 26 کے تحت ایک مشترکہ کنٹرولر انتظام جہاں دونوں فریق فیصلہ کرتے ہیں، اور عام معاہدے کی شرائط کے علاوہ ہر فریق کی اپنی تعمیل سے زیادہ کچھ نہیں جہاں دو آزاد کنٹرولرز ڈیٹا کا تبادلہ کرتے ہیں۔

ایک گمشدہ یا خراب ڈیٹا پروسیسنگ معاہدہ

جہاں ایک پروسیسر آپ کی طرف سے ذاتی ڈیٹا کو ہینڈل کرتا ہے، آرٹیکل 28(3) GDPR کے لیے تحریری معاہدے کی ضرورت ہوتی ہے، اور خلاف ورزی اس لمحے سے مکمل ہو جاتی ہے جب اس کے بغیر کارروائی شروع ہوتی ہے۔ کسی نقصان کی ضرورت نہیں ہے اور کوئی ڈیٹا لیک ہونے کی ضرورت نہیں ہے۔ معاہدے کی عدم موجودگی بذات خود خلاف ورزی ہے، اور نگران اتھارٹی کے لیے یہ سب سے آسان کام ہے۔

مواد فریقین کو چھوڑنے کے بجائے تجویز کیا جاتا ہے۔ مطابقت پذیر ڈیٹا پروسیسنگ کے معاہدے میں پروسیسنگ کا موضوع اور دورانیہ، اس کی نوعیت اور مقصد، ذاتی ڈیٹا کی اقسام اور ڈیٹا کے مضامین کے زمرے، اور کنٹرولر کی ذمہ داریوں اور حقوق کو بیان کرنا چاہیے۔ اسے پروسیسر کو پابند کرنا چاہیے کہ وہ صرف دستاویزی ہدایات پر کارروائی کرے، اپنے عملے پر رازداری نافذ کرے، آرٹیکل 32 کے لیے درکار حفاظتی اقدامات کرے، ڈیٹا کے موضوع کے حقوق اور خلاف ورزی کی اطلاع میں مدد کرے، اور منگنی کے اختتام پر ڈیٹا کو حذف یا واپس کرے۔ اسے کنٹرولر کو تعمیل کا مظاہرہ کرنے اور آڈٹ کی اجازت دینے کے لیے درکار معلومات بھی دینی چاہیے۔

ذیلی پروسیسنگ وہ جگہ ہے جہاں معیاری ٹیمپلیٹس اکثر ناکام ہو جاتے ہیں۔ آرٹیکل 28(2) اور (4) کسی بھی ذیلی پروسیسر کے لیے کنٹرولر کی پیشگی مخصوص یا عمومی تحریری اجازت کا تقاضہ کرتا ہے، اور جہاں عام اجازت دی جاتی ہے پروسیسر کو مطلوبہ تبدیلیوں کے بارے میں کنٹرولر کو مطلع کرنا چاہیے اور اسے اعتراض کرنے کا موقع دینا چاہیے۔ ایک شق جو پروسیسر کو اپنی پسند کے کسی بھی فرد کو شامل کرنے کی اجازت دیتی ہے وہ اس معیار پر پورا نہیں اترتی، اور یہ قطعی طور پر وہ شق ہے جو اس وقت اہمیت رکھتی ہے جب سپلائرز کا سلسلہ کسی ایسے ملک تک پہنچ جاتا ہے جس کا کسی نے اندازہ نہیں کیا تھا۔

ایک ٹیمپلیٹ سے کام کریں جو شق کے ذریعہ آرٹیکل 28(3) کی شق کو ٹریک کرتا ہے، اور پہلے سے موجود معاہدوں کا جائزہ لینے کے بجائے یہ ماننے کے کہ سپلائر کی اپنی شرائط کریں گی۔ دیرینہ تعلقات کے غیر دستاویزی ہونے کا سب سے زیادہ امکان ہوتا ہے، کیونکہ جب رشتہ جوان تھا تو کاغذی کارروائی کبھی بھی ترجیح نہیں تھی۔

حفاظتی اقدامات کے بغیر ڈیٹا کو EEA سے باہر منتقل کرنا

باب V GDPR یورپی اقتصادی علاقے سے باہر کے ممالک میں ذاتی ڈیٹا کی منتقلی کو محدود کرتا ہے۔ منتقلی کی اجازت دی جاتی ہے جہاں یورپی کمیشن نے منزل کے لیے مناسب فیصلہ اختیار کیا ہو (آرٹیکل 45)، یا جہاں مناسب حفاظتی اقدامات موجود ہوں (آرٹیکل 46)، عام طور پر کمیشن کی معیاری معاہدے کی شقیں یا پابند کارپوریٹ قواعد۔ آرٹیکل 49 میں تحقیرات، جیسے کہ واضح رضامندی یا کسی معاہدے کی ضرورت، کبھی کبھار حالات کے لیے ہیں اور ان میں ساختی ڈیٹا کا بہاؤ نہیں ہو سکتا۔

کاروبار عام طور پر اس بات کو نظر انداز کرتے ہیں کہ جب بھی ڈیٹا EEA کے باہر سے قابل رسائی ہو جائے تو منتقلی ہوتی ہے، نہ صرف اس وقت جب اسے وہاں کاپی کیا جاتا ہے۔ اگر کسی دوسرے براعظم میں معاون عملہ ڈیٹا بیس کو کھول سکتا ہے تو EU ادارے کے ساتھ معاہدہ مدد نہیں کرتا، اور بیرون ملک کسی پیرنٹ کمپنی کی طرف سے ریموٹ ایڈمنسٹریشن اس وقت بھی منتقلی ہے جب سرورز فرینکفرٹ میں رہتے ہیں۔

Schrems II کے فیصلے (C-311/18) نے EU-US پرائیویسی شیلڈ کو باطل کر دیا اور کہا کہ معیاری معاہدے کی شقیں اپنے طور پر کافی نہیں ہیں: برآمد کنندہ کو اس بات کا جائزہ لینا چاہیے کہ آیا منزل والے ملک کا قانون شقوں کے وعدے کے تحفظ کو نقصان پہنچاتا ہے، اور جہاں یہ کرتا ہے وہاں ضمنی اقدامات کا اضافہ کرنا چاہیے۔ آرٹیکل 46 پر مبنی ہر ٹرانسفر کے لیے یہ ٹرانسفر اثر کا تعین لازمی ہے۔ ریاست ہائے متحدہ امریکہ کے لیے اس کے بعد سے ایک لحاظ سے پوزیشن بدل گئی ہے: کمیشن نے جولائی 2023 میں EU-US ڈیٹا پرائیویسی فریم ورک کے لیے ایک مناسب فیصلہ اپنایا، اور جنرل کورٹ نے ستمبر 2025 میں اس کی منسوخی کے لیے ایک کارروائی کو مسترد کر دیا، حقیقت میں یہ ادارہ 2025 میں یو ایس کو ٹرانسفر کر رہا ہے۔ اس کے سرٹیفیکیشن میں شامل ڈیٹا کے زمرے، اس لیے کافی پر بھروسہ کر سکتے ہیں۔ کسی دوسرے امریکی وصول کنندہ کو منتقلی نہیں ہوسکتی ہے، اور سرٹیفیکیشن کو فرض کرنے کے بجائے چیک کرنا ہوگا۔

سپلائی چین میں پوشیدہ تھرڈ کنٹری ٹرانسفرز کی انوینٹری، بشمول سب پروسیسرز اور سپورٹ انتظامات۔ ہر ایک کے لیے، یہ طے کریں کہ آیا مناسبیت لاگو ہوتی ہے؛ اگر نہیں۔ AP ایک منتقلی کو معطل کرنے کا حکم دے سکتا ہے، جو جرمانے سے زیادہ خلل ڈالنے والا نتیجہ ہے۔

ڈیٹا پروٹیکشن اثر کی تشخیص کو چھوڑنا

آرٹیکل 35 GDPR ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ (DPIA) کو لازمی قرار دیتا ہے جہاں پراسیسنگ آپریشن کے نتیجے میں افراد کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہو سکتا ہے۔ آرٹیکل 35(3) واضح طور پر تین معاملات کا نام دیتا ہے: ذاتی پہلوؤں کی منظم اور وسیع خودکار تشخیص جن پر قانونی یا اسی طرح کے اہم اثرات کے ساتھ فیصلے مبنی ہوتے ہیں، ڈیٹا کے خصوصی زمروں یا مجرمانہ سزا کے ڈیٹا کی بڑے پیمانے پر پروسیسنگ، اور بڑے پیمانے پر عوامی طور پر قابل رسائی علاقے کی منظم نگرانی۔ AP پروسیسنگ آپریشنز کی ایک فہرست شائع کرتا ہے جس کے لیے وہ DPIA کو لازمی سمجھتا ہے، اور یہ فہرست ڈیٹا شیئرنگ کے نئے پروجیکٹ کے شروع ہونے سے پہلے دیکھنے کے لیے پہلی جگہ ہے۔

ضرورت کو معمول کے مطابق کم سمجھا جاتا ہے کیونکہ تنظیمیں DPIAs کو بڑے منصوبوں کے ساتھ منسلک کرتی ہیں۔ عملی طور پر، مختلف ذرائع سے ڈیٹا سیٹس کو یکجا کرنا، تجزیاتی فراہم کنندہ کے ساتھ صحت یا بایومیٹرک ڈیٹا کا اشتراک کرنا، پروفائلنگ یا خودکار فیصلہ سازی کو متعین کرنا، یا ایک ایسا ٹول متعارف کرانا جس سے ملازمین کا مشاہدہ ہوتا ہے کہ اکثر خود ہی اس حد کو عبور کر لیتے ہیں۔

ڈی پی آئی اے ایک ساختی مشق ہے، شکل نہیں۔ اسے پروسیسنگ اور اس کے مقاصد کو بیان کرنا چاہیے، ضرورت اور تناسب کا اندازہ لگانا چاہیے، ڈیٹا کے مضامین کو درپیش خطرات کی نشاندہی کرنا چاہیے اور حفاظتی اقدامات اور حفاظتی اقدامات سمیت ان سے نمٹنے کے لیے اقدامات کا تعین کرنا چاہیے۔ جہاں تشخیص ایک اعلی بقایا خطرے کو ظاہر کرتا ہے جسے کنٹرولر کم نہیں کر سکتا، آرٹیکل 36 پروسیسنگ شروع ہونے سے پہلے AP کی پیشگی مشاورت کی ضرورت ہے۔ مطلوبہ DPIA کو انجام دینے میں ناکامی اپنے آپ میں ایک خلاف ورزی ہے، پروسیسنگ کا نتیجہ جو بھی ہوتا۔

آرٹیکل 35(3) کے معیار اور اے پی لسٹ کے خلاف ڈیٹا شیئرنگ کے ہر نئے انتظامات کی اسکریننگ کریں، ڈیٹا پروٹیکشن آفیسر کو شامل کریں جہاں کسی کو تعینات کیا گیا ہو، اور اسیسمنٹ کو ایک زندہ دستاویز کے طور پر رکھیں جس پر کارروائی میں تبدیلی کے وقت نظر ثانی کی جاتی ہے۔ جہاں جواب حقیقی طور پر غیر واضح ہے، وہاں ڈی پی آئی اے کو انجام دینا نہ کرنے کے فیصلے کا دفاع کرنے سے سستا ہے۔

ڈیٹا کے مضامین کو شیئر کرنے کے بارے میں بہت کم بتانا

شفافیت ایک اسٹینڈ لون ذمہ داری ہے، اور اس کی خلاف ورزی اس وقت بھی زندہ رہتی ہے جہاں اشتراک خود مکمل طور پر قانونی تھا۔ آرٹیکل 13 GDPR فرد سے جمع کیے گئے ڈیٹا اور آرٹیکل 14 دوسرے ماخذ سے حاصل کیے گئے ڈیٹا کو کنٹرول کرتا ہے، اور دونوں کو کنٹرولر سے پروسیسنگ کے مقاصد اور قانونی بنیاد اور ذاتی ڈیٹا کے وصول کنندگان یا وصول کنندگان کے زمرے بتانے کی ضرورت ہوتی ہے۔

رازداری کے نوٹس اس مقام پر پیشین گوئی کے مطابق ناکام ہو جاتے ہیں۔ ایک جملہ جس میں کہا گیا ہے کہ ڈیٹا قابل اعتماد شراکت داروں کے ساتھ شیئر کیا جا سکتا ہے کچھ بھی نہیں پہچانتا ہے۔ نوٹس میں وصول کنندگان کے زمرہ جات کو ٹھوس طور پر نام دینا ہوتا ہے، جیسے ہوسٹنگ فراہم کرنے والے، پے رول ایڈمنسٹریٹرز یا کریڈٹ ریفرنس ایجنسیاں، اور جہاں شیئرنگ کسی مخصوص نامی تنظیم کے ساتھ ہو عام طور پر اس کا نام دینا واضح ہوتا ہے۔ جہاں ڈیٹا کو EEA سے باہر منتقل کیا جاتا ہے، آرٹیکل 13(1)(f) اور 14(1)(f) کے لیے نوٹس کی ضرورت ہوتی ہے کہ وہ ایسا کہے اور اس کی شناخت کرے جس پر انحصار کیا گیا ہے اور اس کی کاپی کیسے حاصل کی جا سکتی ہے۔

آرٹیکل 14 مزید آگے بڑھتا ہے جہاں فرد سے ڈیٹا حاصل نہیں کیا گیا تھا: نوٹس میں متعلقہ ذاتی ڈیٹا کے زمرے اور وہ ذریعہ بھی بتانا چاہیے جس سے وہ آیا ہے، اور اسے ایک مناسب مدت کے اندر اور کسی بھی صورت میں ایک ماہ کے اندر فراہم کیا جانا چاہیے، یا تازہ ترین وقت میں فرد کے ساتھ پہلی بات چیت میں اگر یہ جلد آتا ہے۔ مارکیٹنگ کی فہرست خریدنا اور اس پر موجود لوگوں کو بتائے بغیر اسے استعمال کرنا سب سے واضح خلاف ورزیوں میں سے ایک ہے۔ نیدرلینڈز میں رازداری کی پالیسی بنانے کے بارے میں ہماری رہنمائی یہ بتاتی ہے کہ نوٹس میں مکمل کیا ہونا چاہیے۔

جب بھی کوئی نیا وصول کنندہ شامل کیا جائے نوٹس کا جائزہ لیں، اور اگلے سالانہ جائزے کے بجائے اشتراک شروع ہونے سے پہلے اسے اپ ڈیٹ کریں۔ نوٹسز کو آرٹیکل 12(1) کے تحت مختصر، قابل فہم اور واضح اور سادہ زبان میں بھی ہونا چاہیے، جو ہر قابل فہم وصول کنندہ کو کسی دستاویز میں درج کرکے مسئلہ کو حل کرنے سے انکار کرتا ہے جسے کوئی نہیں پڑھ سکتا۔

تخلصی ڈیٹا کو گمنام کے طور پر علاج کرنا

تخلصی ڈیٹا ذاتی ڈیٹا ہے۔ آرٹیکل 4(5) جی ڈی پی آر تخلص کو ذاتی ڈیٹا پر کارروائی کرنے کے طور پر بیان کرتا ہے تاکہ اسے مزید معلومات کے بغیر کسی مخصوص شخص سے منسوب نہیں کیا جا سکتا، جسے الگ سے رکھا جاتا ہے اور تحفظات کے تابع ہوتے ہیں۔ تعریف یہ مانتی ہے کہ انتساب ممکن رہتا ہے۔ یہی وہ چیز ہے جو اسے گمنامی سے ممتاز کرتی ہے، اور تلاوت نمبر 26 اس بات کی تصدیق کرتا ہے کہ اضافی معلومات کے استعمال سے کسی فرد سے منسوب ڈیٹا ریگولیشن کے دائرہ کار میں رہتا ہے۔

خطرہ اس وقت پیدا ہوتا ہے جب تخلص کو آزادانہ اشتراک کرنے کے لائسنس کے طور پر سمجھا جاتا ہے۔ گاہک کے نمبروں کے ساتھ ناموں کو تبدیل کرنے سے قانونی بنیاد، پروسیسنگ معاہدے، منتقلی کی حفاظت یا رازداری کے نوٹس کی ضرورت ختم نہیں ہوتی۔ یہ بہت اہمیت رکھتا ہے کہ کلید کس کے پاس ہے اور وصول کنندہ کے پاس کون سے دوسرے ڈیٹا سیٹس ہیں: ایک پوسٹ کوڈ، تاریخ پیدائش اور لین دین کی تاریخ کے ساتھ مل کر تخلص والے ریکارڈز کا ایک سیٹ اکثر دوبارہ قابل شناخت ہوتا ہے، اور تشخیص کو ان ذرائع کا خیال رکھنا چاہیے جو وصول کنندہ کے ذریعہ استعمال کیے جاسکتے ہیں، نہ صرف آپ کے ذریعہ۔

حقیقی گمنامی، جہاں دوبارہ شناخت کسی بھی طریقے سے ممکن نہیں ہے جس کے استعمال کا معقول امکان ہے، ڈیٹا کو GDPR سے باہر لے جاتا ہے۔ یہ حاصل کرنا بھی حقیقی طور پر مشکل اور دعویٰ کرنا آسان ہے۔ چھوٹے گروہوں کا مجموعہ، صفات کے منفرد امتزاج اور بھرپور طرز عمل کے اعداد و شمار سب اسے شکست دیتے ہیں۔ ڈیٹا کو تخلص کے طور پر، اور اس لیے ذاتی ڈیٹا کے طور پر، جب تک کہ دستاویزی اور تکنیکی طور پر صحیح گمنامی کا عمل دوسری صورت میں نہ کہے، اور تکنیکی اور تنظیمی اقدامات کو ریکارڈ کریں جو کلید کو الگ رکھتے ہیں۔

الٹا حقیقت ہے: آرٹیکل 32 تخلص کو ایک مناسب حفاظتی اقدام کے طور پر درج کرتا ہے، اور جب خلاف ورزی کا اندازہ لگایا جاتا ہے تو یہ تنظیم کے حق میں شمار ہوتا ہے۔ یہ رساو کے نتائج کو کم کرتا ہے۔ یہ تعمیل کی ذمہ داریوں کو کم نہیں کرتا ہے جو لیک ہونے سے پہلے لاگو ہوتے ہیں۔

نیدرلینڈز میں نفاذ کیسا لگتا ہے۔

AP GDPR اور UAVG کی تعمیل کی نگرانی کرتا ہے اور اپنے طور پر یا شکایت کے بعد تحقیقات کر سکتا ہے۔ آرٹیکل 58 GDPR کے تحت اس کے اختیارات پروسیسنگ کو تعمیل میں لانے کے حکم کے ذریعے انتباہ اور سرزنش سے چلتے ہیں، پروسیسنگ پر عارضی یا قطعی پابندی اور تیسرے ملک میں وصول کنندہ کو ڈیٹا کو معطل کرنے کا حکم۔ انتظامی جرمانہ آلات میں سے صرف ایک ہے، اور کسی خاص ڈیٹا کے بہاؤ پر منحصر کاروبار کے لیے یہ شاذ و نادر ہی سب سے زیادہ نقصان دہ ہوتا ہے۔

آرٹیکل 83 زیادہ سے زیادہ جرمانے کے دو درجات متعین کرتا ہے: نچلے درجے کا اطلاق ذمہ داریوں کی خلاف ورزیوں پر ہوتا ہے جیسے کہ آرٹیکل 25 سے 39 میں، بشمول پروسیسنگ معاہدے یا ڈی پی آئی اے کی عدم موجودگی، اور بنیادی اصولوں، قانونی بنیادوں، ڈیٹا کے موضوع کے حقوق اور بین الاقوامی منتقلی کے قوانین کی خلاف ورزیوں کے لیے اعلی درجے کا۔ ہر درجے کو ایک مقررہ حد کے طور پر ظاہر کیا جاتا ہے یا پچھلے مالی سال میں کل دنیا بھر میں ہونے والے سالانہ کاروبار کے فیصد کے طور پر، جو بھی زیادہ ہو، اس لیے کمپنیوں کے گروپ کے لیے زیادہ سے زیادہ حد کے بجائے فیصد عام طور پر آپریٹو فگر ہوتا ہے۔ آرٹیکل 83(2) ان عوامل کی فہرست دیتا ہے جو رقم کا تعین کرتے ہیں، بشمول خلاف ورزی کی نوعیت اور مدت، چاہے یہ جان بوجھ کر تھا یا لاپرواہی، نقصان کو کم کرنے کے لیے اٹھائے گئے اقدامات اور اتھارٹی کے ساتھ تعاون کی ڈگری۔

ریگولیٹری کارروائی صرف نمائش نہیں ہے۔ آرٹیکل 82 GDPR کسی بھی ایسے شخص کو جس کو مادی یا غیر مادی نقصان پہنچا ہے اسے کنٹرولر یا پروسیسر سے معاوضے کا حق دیتا ہے، اور نیدرلینڈز میں اس طرح کے دعوے بڑے گروپوں کے لیے کام کرنے والی فاؤنڈیشنز کے ذریعے اجتماعی طور پر Wet afwikkeling massachade in collective actie (WAMCA) کے تحت لائے جاتے ہیں۔ اے پی کا فیصلہ، ایک بار شائع ہونے کے بعد، اس طرح کے دعوے کے لیے ایک آسان نقطہ آغاز ہے۔

غیر قانونی شیئرنگ کی وجہ سے ذاتی ڈیٹا کی خلاف ورزی اپنا ٹائم ٹیبل لاتی ہے۔ آرٹیکل 33 بغیر کسی تاخیر کے اے پی کو اطلاع کی ضرورت ہے اور، جہاں ممکن ہو، خلاف ورزی کے بارے میں آگاہ ہونے کے 72 گھنٹوں کے اندر، جب تک کہ اس کے نتیجے میں افراد کے لیے خطرہ ہونے کا امکان نہ ہو۔ آرٹیکل 34 متاثرہ افراد کو بغیر کسی تاخیر کے مطلع کرنے کا تقاضا کرتا ہے جہاں خلاف ورزی کے نتیجے میں ان کے لیے زیادہ خطرہ ہو سکتا ہے۔ تمام خلاف ورزیوں کا اندرونی طور پر دستاویز ہونا ضروری ہے، بشمول وہ جو کہ مطلع نہیں کیا گیا ہے، اور مطلع نہ کرنے کی دلیل اس ریکارڈ کا حصہ ہے۔

ڈیٹا شیئرنگ کے انتظام کو ترتیب میں لانا

مندرجہ بالا سات خطرات ایک ہی وجہ کا اشتراک کرتے ہیں: اشتراک کا انتظام عملی طور پر، اس ٹیم کے ذریعے کیا جاتا ہے جس کو ڈیٹا منتقل کرنے کی ضرورت ہوتی ہے، اور اس کے بعد دستاویز کی جاتی ہے یا بالکل نہیں۔ علاج بھی اتنا ہی عملی ہے۔ آرٹیکل 30 کے تحت کارروائی کی سرگرمیوں کے موجودہ ریکارڈ سے شروع کریں، جو پہلے سے موجود ہے اور جو ہر وصول کنندہ کو نام بتانے پر مجبور کرتا ہے۔ ہر وصول کنندہ کے لیے، کردار، قانونی بنیاد، معاہدہ کا آلہ، منتقلی کی پوزیشن اور رازداری کے نوٹس میں کیا کہا گیا ہے قائم کریں۔ زیادہ تر تنظیموں کو دو یا تین بہاؤ ملتے ہیں جن کا حساب کوئی نہیں دے سکتا۔

تشخیص کو پروکیورمنٹ کے عمل میں تیار کریں تاکہ کسی سپلائر کو پروسیسنگ کے معاہدے، منتقلی کے تجزیے اور DPIA اسکریننگ کے بغیر جہاز میں شامل نہ کیا جا سکے، اور کسی کو یہ اختیار دیں کہ وہ آن بورڈنگ کو روکنے کا اختیار دے جو ناکام ہو جائے۔ ترتیب میں تبدیلی کے وقت پوزیشن کا جائزہ لیں: ایک نیا ذیلی پروسیسر، ایک نیا مقصد، ایک نیا ملک، یا ایک حصول جو کسی اور کے ڈیٹا کو گروپ میں لاتا ہے۔ آرٹیکل 5(2) کے تحت ذمہ داری تعمیل کا مظاہرہ کرنے کے قابل ہونا ہے، اور یہ ریکارڈ کے بارے میں اتنا ہی فرض ہے جتنا کہ طرز عمل کے بارے میں۔ خاص طور پر IT سپلائرز کے ساتھ معاہدوں کے لیے، ہماری IT قانون کی مشق یہ بتاتی ہے کہ ڈیٹا کے تحفظ کی شرائط تجارتی شرائط کے ساتھ کس طرح تعامل کرتی ہیں۔

اکثر پوچھے گئے سوالات

ڈیٹا شیئرنگ اور جی ڈی پی آر سے متعلق قانونی مشورہ

Law & More ڈیٹا شیئرنگ کے قانونی پہلو پر نیدرلینڈز میں کاروباروں کو مشورہ دیتا ہے: کنٹرولر اور پروسیسر کے کرداروں کا تعین، پروسیسنگ کے معاہدوں اور مشترکہ کنٹرولر انتظامات کا مسودہ تیار کرنا اور گفت و شنید کرنا، EEA سے باہر منتقلی کا اندازہ لگانا، ڈیٹا کے تحفظ کے اثرات کا جائزہ لینا اور رازداری کے نوٹس کو اپ ڈیٹ کرنا۔ ہم ان تنظیموں کی بھی مدد کرتے ہیں جو AP تحقیقات کا موضوع ہیں یا جنہیں چل رہی آخری تاریخ کے تحت ذاتی ڈیٹا کی خلاف ورزی کو مطلع کرنا پڑتا ہے۔

اگر آپ کو یقین نہیں ہے کہ آیا کسی خاص ڈیٹا کے بہاؤ کو جائز قرار دیا جا سکتا ہے، یا آپ کسی ایسے انتظام میں داخل ہو رہے ہیں جس میں ذاتی ڈیٹا کو تنظیموں کے درمیان منتقل کیا جائے گا، تو آپ کا خیرمقدم ہے کہ شیئرنگ شروع ہونے سے پہلے پوزیشن پر بات کرنے کے لیے ہم سے رابطہ کریں۔