ڈیٹا شیئرنگ جدید تجارت کی جان ہے۔ چاہے آپ کسی نئے کلاؤڈ فراہم کنندہ کو شامل کر رہے ہوں، کسی مارکیٹنگ ایجنسی کے ساتھ تعاون کر رہے ہوں، یا فریق ثالث HR سسٹم کو مربوط کر رہے ہوں، ذاتی ڈیٹا تنظیموں کے درمیان مسلسل آتا رہتا ہے۔ لیکن یہاں ایک غیر آرام دہ حقیقت ہے: زیادہ تر کاروبار اس قانونی مائن فیلڈ کو کم سمجھتے ہیں جس کی نمائندگی جنرل ڈیٹا پروٹیکشن ریگولیشن (GDPR) کے تحت ہوتی ہے۔
داؤ اصلی ہیں۔ جرمانے €20 ملین یا عالمی سالانہ ٹرن اوور کے 4% تک پہنچ سکتے ہیں — جو بھی زیادہ ہو۔ مالی جرمانے کے علاوہ، آپ کو ساکھ کو پہنچنے والے نقصان، ریگولیٹری جانچ پڑتال، اور متاثرہ افراد سے شہری ذمہ داری کے دعووں کا خطرہ ہے۔ ڈچ ڈیٹا پروٹیکشن اتھارٹی (Autoriteit Personsgegevens، یا AP) نے واضح کیا ہے: لاعلمی کوئی دفاع نہیں ہے۔
یہ مضمون آپ کو سات اہم GDPR خطرات کے بارے میں بتاتا ہے جو ذاتی ڈیٹا کا اشتراک کرتے وقت پیدا ہوتے ہیں۔ ہر خطرے کی بنیاد مخصوص GDPR دفعات پر ہے، حقیقی دنیا کے نتائج کے ساتھ عکاسی کی گئی ہے، اور آپ کو تعمیل میں رہنے میں مدد کے لیے عملی رہنمائی کے ساتھ جوڑا بنایا گیا ہے۔ چاہے آپ کاروبار کے مالک ہوں، تعمیل افسر ہوں، یا نیدرلینڈز میں کام کرنے والے قانونی پیشہ ور ہوں، ان نقصانات کو سمجھنا ضروری ہے۔
1. درست قانونی بنیاد کے بغیر ڈیٹا کا اشتراک کرنا (آرٹیکل 6 جی ڈی پی آر)
خطرہ: آپ ذاتی ڈیٹا کو صرف اس لیے شیئر نہیں کر سکتے کہ یہ آسان یا فائدہ مند ہے۔ ڈیٹا شیئرنگ کی ہر مثال کے لیے آرٹیکل 6 GDPR کے تحت ایک درست قانونی بنیاد کی ضرورت ہوتی ہے۔
کمپنیاں اسے غلط کیوں کرتی ہیں: بہت سی تنظیمیں فرض کرتی ہیں کہ ڈیٹا شیئر کرنے کے لیے تجارتی وجہ کافی ہے۔ یہ نہیں ہے۔ GDPR پروسیسنگ کے لیے چھ قانونی بنیادیں فراہم کرتا ہے: رضامندی، معاہدہ کی ضرورت، قانونی ذمہ داری، اہم مفادات، عوامی کام، اور جائز مفادات۔ ہر ایک کی مخصوص ضروریات اور حدود ہیں۔
مثال کے طور پر، شراکت داروں یا سروس فراہم کنندگان کے ساتھ ڈیٹا شیئرنگ کا جواز پیش کرنے کے لیے اکثر "جائز مفادات" کا مطالبہ کیا جاتا ہے۔ لیکن اس بنیاد کے لیے محتاط توازن کی جانچ کی ضرورت ہے: آپ کے مفادات کو ان افراد کے حقوق اور آزادیوں کو زیر نہیں کرنا چاہیے جن کے ڈیٹا پر آپ کارروائی کر رہے ہیں۔ اور آپ کو اس تشخیص کو دستاویز کرنا ہوگا۔
قانونی بنیاد: آرٹیکل 6 GDPR قانونی بنیادوں کی مکمل فہرست مرتب کرتا ہے۔ آرٹیکل 5(1)(a) GDPR لازمی قرار دیتا ہے کہ تمام پروسیسنگ قانونی، منصفانہ اور شفاف ہو۔
حقیقی دنیا کا نتیجہ: اے پی نے ان تنظیموں کو جرمانے جاری کیے ہیں جنہوں نے کسی مناسب قانونی بنیاد کے بغیر مارکیٹنگ کے مقاصد کے لیے صارفین کا ڈیٹا تیسرے فریق کے ساتھ شیئر کیا۔ یہاں تک کہ اگر ڈیٹا کو گمنام یا جمع کیا گیا تھا، اگر دوبارہ شناخت ممکن ہو، تو یہ ذاتی ڈیٹا ہی رہتا ہے اور اسے قانونی بنیاد کی ضرورت ہوتی ہے۔
پریکٹیکل ٹیک وے: کوئی بھی ذاتی ڈیٹا شیئر کرنے سے پہلے، شناخت کریں اور دستاویز کریں کہ کون سی قانونی بنیاد لاگو ہوتی ہے۔ اگر جائز مفادات پر انحصار کرتے ہیں تو، جائز مفادات کی تشخیص (LIA) کروائیں اور ریکارڈ کریں۔ اگر رضامندی استعمال کر رہے ہیں، تو یقینی بنائیں کہ یہ آزادانہ طور پر دی گئی، مخصوص، باخبر، اور غیر مبہم ہے۔
2. رولز پر کنفیوژن: کنٹرولر بمقابلہ پروسیسر (آرٹیکل 4(7)–(8) جی ڈی پی آر)
خطرہ: جی ڈی پی آر کنٹرولرز (جو پروسیسنگ کے مقاصد اور ذرائع کا تعین کرتے ہیں) اور پروسیسرز (جو کنٹرولر کی جانب سے ڈیٹا پر کارروائی کرتے ہیں) کے درمیان فرق کرتا ہے۔ آپ کے کردار — یا آپ کے ساتھی کے — کی غلط شناخت کرنا تعمیل میں سنگین خلا پیدا کرتا ہے۔
کمپنیاں اسے غلط کیوں کرتی ہیں: عملی طور پر، کردار مبہم ہوسکتے ہیں۔ اگر آپ SaaS فراہم کنندہ کے ساتھ ڈیٹا کا اشتراک کرتے ہیں، تو کیا وہ کنٹرولر یا پروسیسر ہیں؟ کیا ہوگا اگر وہ اپنے الگورتھم کو بہتر بنانے کے لیے آپ کا ڈیٹا استعمال کریں؟ بہت سے کاروبار تعلقات کا صحیح تجزیہ کیے بغیر ہر وینڈر کو "پروسیسر" کہنے کے لیے پہلے سے طے شدہ ہیں۔
غلط درجہ بندی کی اہمیت ہے کیونکہ کنٹرولرز اور پروسیسرز کی مختلف ذمہ داریاں ہیں۔ کنٹرولرز کو یقینی بنانا چاہیے کہ پروسیسرز تعمیل کی کافی ضمانتیں فراہم کرتے ہیں (آرٹیکل 28 جی ڈی پی آر)۔ مشترکہ کنٹرولرز کو اپنی متعلقہ ذمہ داریوں پر متفق ہونا چاہیے (آرٹیکل 26 جی ڈی پی آر)۔ اسے غلط سمجھیں، اور آپ کو ان خلاف ورزیوں کا ذمہ دار ٹھہرایا جا سکتا ہے جن کے بارے میں آپ کو معلوم بھی نہیں تھا کہ ہو رہا ہے۔
قانونی بنیاد: آرٹیکل 4(7) اور (8) جی ڈی پی آر "کنٹرولر" اور "پروسیسر" کی وضاحت کرتا ہے۔ آرٹیکل 24 GDPR کنٹرولر کی جوابدہی کی ذمہ داریوں کا خاکہ پیش کرتا ہے۔
حقیقی دنیا کا نتیجہ: یورپی عدالت انصاف نے فیشن ID (C-40/17) میں فیصلہ دیا کہ مقاصد کا جزوی تعین بھی آپ کو مشترکہ کنٹرولر بنا سکتا ہے۔ اس کا مطلب ہے کہ آپ کو GDPR کی خلاف ورزیوں کے لیے مشترکہ طور پر ذمہ دار ٹھہرایا جا سکتا ہے، چاہے کوئی اور فریق ان کی وجہ سے ہو۔
پریکٹیکل ٹیک وے: ڈیٹا کے بہاؤ کا نقشہ بنائیں اور اس بات کا تعین کریں کہ کون فیصلہ کرتا ہے کہ ڈیٹا پر کیوں اور کیسے کارروائی کی جاتی ہے۔ اسے تحریری طور پر دستاویز کریں اور یقینی بنائیں کہ ہر فریق اپنے کردار اور ذمہ داریوں کو سمجھتا ہے۔
3. غائب یا ناکافی ڈیٹا پروسیسنگ معاہدہ (آرٹیکل 28 جی ڈی پی آر)
خطرہ: اگر آپ اپنی طرف سے ذاتی ڈیٹا کو ہینڈل کرنے کے لیے کسی پروسیسر کو شامل کرتے ہیں، تو آپ کے لیے قانونی طور پر ایک تحریری ڈیٹا پروسیسنگ معاہدہ (DPA) ہونا ضروری ہے۔ کوئی استثنیٰ نہیں۔
کمپنیاں اسے غلط کیوں کرتی ہیں: کاغذی کارروائی کو چھوڑنے کے لیے یہ پرکشش ہے، خاص طور پر قابل اعتماد یا دیرینہ شراکت داروں کے ساتھ۔ لیکن بغیر کسی تعمیل والے DPA کے، آپ پہلے دن سے آرٹیکل 28 GDPR کی خلاف ورزی کر رہے ہیں— چاہے کوئی حقیقی نقصان نہ ہو۔
ایک مناسب DPA میں مخصوص لازمی شقیں شامل ہونی چاہئیں: موضوع اور پروسیسنگ کا دورانیہ، پروسیسنگ کی نوعیت اور مقصد، ذاتی ڈیٹا کی قسم، ڈیٹا کے مضامین کے زمرے، اور کنٹرولر کی ذمہ داریاں اور حقوق۔ اسے ذیلی پروسیسنگ، ڈیٹا سیکیورٹی، اور خلاف ورزی کی اطلاع پر بھی توجہ دینا ہوگی۔
قانونی بنیاد: آرٹیکل 28(3) جی ڈی پی آر ڈی پی اے کے لازمی مواد کی فہرست دیتا ہے۔ آرٹیکل 28(4) جی ڈی پی آر کو ذیلی پروسیسرز کے لیے واضح اجازت درکار ہے۔
حقیقی دنیا کا نتیجہ: AP نے مناسب DPAs کے بغیر پروسیسرز کو مشغول کرنے کے لیے تنظیموں کو منظوری دی ہے۔ یہاں تک کہ اگر پروسیسر خود ہی تعمیل کرتا ہے، تب بھی کنٹرولر کو مناسب معاہدہ کرنے میں ناکامی پر جرمانہ کیا جا سکتا ہے۔
پریکٹیکل ٹیک وے: ایک معیاری ڈی پی اے ٹیمپلیٹ استعمال کریں جو آرٹیکل 28(3) کے تمام تقاضوں کا احاطہ کرے۔ موجودہ معاہدوں کا جائزہ لیں تاکہ یہ یقینی بنایا جا سکے کہ وہ GDPR کے مطابق ہیں۔ دستخط شدہ DPA کے بغیر کسی بھی نئے پروسیسر کو آن بورڈ نہ کریں۔
4. EEA سے باہر تیسرے ممالک میں غیر قانونی منتقلی (مضامین 44–49 GDPR اور Schrems II)
خطرہ: یورپی اکنامک ایریا (EEA) سے باہر ذاتی ڈیٹا کی منتقلی پر بہت زیادہ پابندی ہے۔ آپ ایسا صرف اس صورت میں کر سکتے ہیں جب منزل کا ملک مناسب سطح پر تحفظ فراہم کرتا ہو — یا اگر آپ مناسب حفاظتی اقدامات نافذ کرتے ہیں۔
کمپنیاں اسے غلط کیوں کرتی ہیں: بہت سے کاروبار امریکہ یا ایشیا میں میزبان کلاؤڈ سروسز، پیمنٹ پروسیسرز، یا تجزیاتی ٹولز کا استعمال کرتے ہیں، یہ سمجھے بغیر کہ وہ بین الاقوامی منتقلی کے قوانین کو متحرک کر رہے ہیں۔ یہاں تک کہ اگر آپ کا معاہدہ EU کے کسی ادارے کے ساتھ ہے، اگر ڈیٹا EEA سے باہر اسٹور یا اس تک رسائی حاصل کی جاتی ہے، تو منتقلی کے قوانین لاگو ہوتے ہیں۔
Schrems II کے فیصلے (کیس C-311/18) نے EU-US پرائیویسی شیلڈ کو باطل کر دیا اور اس بات کو تقویت دی کہ صرف معیاری معاہدے کی شقیں (SCCs) کافی نہیں ہیں۔ آپ کو یہ جانچنے کے لیے ٹرانسفر امپیکٹ اسسمنٹ (TIA) کا بھی انعقاد کرنا چاہیے کہ آیا منزل کے ملک کے قوانین SCCs کی طرف سے ضمانت کردہ تحفظ کو کمزور کرتے ہیں۔
قانونی بنیادیں: آرٹیکل 44-49 GDPR بین الاقوامی منتقلی کو کنٹرول کرتے ہیں۔ باب V جی ڈی پی آر کے لیے مناسب فیصلے (آرٹیکل 45) یا مناسب حفاظتی اقدامات (آرٹیکل 46) کی ضرورت ہے، جیسے کہ ایس سی سی۔
حقیقی دنیا کا نتیجہ: AP آپ کو تیسرے ممالک میں ڈیٹا کی منتقلی کو معطل یا پابندی لگانے کا حکم دے سکتا ہے اگر مناسب حفاظتی انتظامات نہ ہوں۔ کمپنیوں کو TIA پوسٹ Schrems II منعقد کیے بغیر امریکہ کو ڈیٹا منتقل کرنے کے لیے نفاذ کی کارروائی اور شہرت کو نقصان کا سامنا کرنا پڑا ہے ۔
پریکٹیکل ٹیک وے: اپنے ڈیٹا کے بہاؤ میں تمام تیسرے ملک کی منتقلی کی شناخت کریں۔ چیک کریں کہ آیا مناسب فیصلہ موجود ہے۔ اگر نہیں، تو SCCs کو لاگو کریں اور TIA کروائیں۔ اگر ضرورت ہو تو دستاویزی ضمنی اقدامات (مثلاً، خفیہ کاری، تخلص)۔
5. ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ کرنے میں ناکامی (آرٹیکل 35 جی ڈی پی آر)
خطرہ: ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ (DPIA) اس وقت لازمی ہوتا ہے جب ڈیٹا شیئرنگ کے نتیجے میں افراد کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہو۔ اس میں ڈیٹا کے خصوصی زمروں کی بڑے پیمانے پر پروسیسنگ، منظم نگرانی، یا نئی ٹیکنالوجیز کا استعمال شامل ہے۔
کمپنیاں غلط کیوں ہوتی ہیں: بہت سی تنظیمیں DPIAs کو اختیاری یا صرف "بڑے" منصوبوں کے لیے متعلقہ سمجھتی ہیں۔ درحقیقت، تیسرے فریق کے تجزیاتی پلیٹ فارم کے ساتھ صحت کے ڈیٹا کا اشتراک، AI سے چلنے والے پروفائلنگ ٹولز کو تعینات کرنا، یا متعدد ذرائع سے ڈیٹا سیٹس کو یکجا کرنا یہ سب DPIA کی ضرورت کو متحرک کر سکتے ہیں۔
DPIA صرف باکس ٹک کرنے کی مشق نہیں ہے۔ یہ خطرات کی نشاندہی کرنے، ان کی شدت کا اندازہ لگانے اور ان کو کم کرنے کے لیے اقدامات کا تعین کرنے کا ایک منظم عمل ہے۔ اگر بقایا خطرات زیادہ رہتے ہیں، تو آپ کو آگے بڑھنے سے پہلے اے پی سے مشورہ کرنا چاہیے۔
قانونی بنیاد: آرٹیکل 35 GDPR DPIAs کو ہائی رسک پروسیسنگ کا حکم دیتا ہے۔ اے پی نے اس بارے میں رہنما خطوط شائع کیے ہیں جب DPIA کی ضرورت ہوتی ہے۔
حقیقی دنیا کا نتیجہ: ضرورت پڑنے پر DPIA کرنے میں ناکامی خود GDPR کی خلاف ورزی ہے۔ AP نے DPIA کو مکمل کیے بغیر ہائی رسک ڈیٹا شیئرنگ کے ساتھ آگے بڑھنے کے لیے تنظیموں پر جرمانہ عائد کیا ہے، یہاں تک کہ جب کوئی حقیقی ڈیٹا کی خلاف ورزی نہیں ہوئی ہے۔
پریکٹیکل ٹیک وے: ڈی پی آئی اے ٹرگرز کے لیے ڈیٹا شیئرنگ کی تمام سرگرمیوں کو اسکرین کریں۔ جب شک ہو تو، ایک کرو. اپنے ڈیٹا پروٹیکشن آفیسر (DPO) کو شامل کریں اور تشخیص کے عمل کو اچھی طرح سے دستاویز کریں۔
6. ڈیٹا کے مضامین کے لیے ناکافی معلومات (مضامین 13 اور 14 GDPR)
خطرہ: شفافیت جی ڈی پی آر کا سنگ بنیاد ہے۔ جب بھی آپ ذاتی ڈیٹا اکٹھا کرتے یا شیئر کرتے ہیں، آپ کو ڈیٹا کے مضامین کو مطلع کرنا چاہیے کہ کون ان کا ڈیٹا، کس مقصد کے لیے، اور کس قانونی بنیاد پر وصول کرے گا۔
کمپنیاں اسے غلط کیوں کرتی ہیں: رازداری کے نوٹس اکثر مبہم یا پرانے ہوتے ہیں۔ "ہم آپ کے ڈیٹا کو بھروسہ مند شراکت داروں کے ساتھ بانٹ سکتے ہیں" جیسے جملے اس میں کمی نہیں کرتے۔ آپ کو وصول کنندگان کے زمروں کی وضاحت کرنی چاہیے (مثلاً، "کلاؤڈ ہوسٹنگ فراہم کرنے والے،" "مارکیٹنگ ایجنسیاں") اور جہاں متعلقہ ہو، ان کا نام دیں۔
جب ڈیٹا بالواسطہ طور پر حاصل کیا جاتا ہے—مثال کے طور پر، ڈیٹا بروکر یا کسی دوسرے کنٹرولر سے—آرٹیکل 14 GDPR اضافی معلومات کی ذمہ داریاں عائد کرتا ہے، بشمول ڈیٹا کا ماخذ۔
قانونی بنیاد: آرٹیکل 13 اور 14 GDPR ان معلومات کی فہرست دیتے ہیں جو ڈیٹا کے مضامین کو فراہم کی جانی چاہیے۔ آرٹیکل 5(1)(a) GDPR تمام پروسیسنگ سرگرمیوں میں شفافیت کی ضرورت ہے۔
حقیقی دنیا کا نتیجہ: اے پی نے کمپنیوں کو لوگوں کو یہ بتانے میں ناکام رہنے کی وجہ سے منظوری دی ہے کہ ان کا ڈیٹا تیسرے فریق کے ساتھ شیئر کیا جا رہا ہے۔ یہاں تک کہ اگر شیئرنگ خود ہی قانونی تھی، ناکافی شفافیت اسٹینڈ تنہا خلاف ورزی ہے۔
پریکٹیکل ٹیک وے: ڈیٹا شیئرنگ کے طریقوں کو واضح طور پر بیان کرنے کے لیے اپنے پرائیویسی نوٹسز کا جائزہ لیں اور اپ ڈیٹ کریں۔ یقینی بنائیں کہ نوٹس آسانی سے قابل رسائی ہیں اور سادہ زبان میں لکھے گئے ہیں۔ نئے شراکت داروں کے ساتھ ڈیٹا کا اشتراک کرتے وقت، اشتراک شروع ہونے سے پہلے اپنے نوٹس کو اپ ڈیٹ کریں۔
7. حفاظت کے جھوٹے احساس کے طور پر تخلص
خطرہ: حفاظتی اقدام کے طور پر جی ڈی پی آر کے تحت تخلص — براہ راست شناخت کنندگان کو کوڈز یا ٹوکنز سے بدلنے کی حوصلہ افزائی کی جاتی ہے۔ لیکن یہ ڈیٹا کو گمنام نہیں کرتا ہے۔ اگر ڈیٹا کو اب بھی کسی فرد سے منسلک کیا جا سکتا ہے، تو یہ ذاتی ڈیٹا رہتا ہے اور جی ڈی پی آر کے مکمل دائرہ کار سے مشروط ہے۔
کمپنیاں اسے غلط کیوں کرتی ہیں: کاروبار اکثر فرض کرتے ہیں کہ تخلصی ڈیٹا بغیر کسی پابندی کے شیئر کرنا "محفوظ" ہے۔ عملی طور پر، تخلص صرف خطرے کو کم کرتا ہے۔ یہ اسے ختم نہیں کرتا. اگر آپ کسی ایسے پارٹنر کے ساتھ تخلصی ڈیٹا کا اشتراک کرتے ہیں جس کی کلید یا دوسرے ڈیٹا سیٹس تک رسائی ہے جو دوبارہ شناخت کو قابل بناتے ہیں، تو آپ اب بھی ذاتی ڈیٹا پر کارروائی کر رہے ہیں۔
قانونی بنیاد: آرٹیکل 4(5) جی ڈی پی آر تخلص کی تعریف کرتا ہے۔ Recital 26 GDPR واضح کرتا ہے کہ تخلصی ڈیٹا ذاتی ڈیٹا رہتا ہے جب تک کہ اسے صحیح معنوں میں گمنام نہ کیا جائے (یعنی کسی معقول طریقے سے دوبارہ شناخت ممکن نہیں ہے)۔
حقیقی دنیا کا نتیجہ: اے پی نے رہنمائی میں واضح کیا ہے کہ تخلص "جیل سے باہر نکلنا" کارڈ نہیں ہے۔ اگر دوبارہ شناخت ممکن ہے تو، تمام GDPR ذمہ داریاں لاگو ہوتی ہیں، بشمول قانونی بنیاد، DPIAs کا انعقاد، اور مناسب سیکورٹی کو یقینی بنانا۔
پریکٹیکل ٹیک وے: تخلص والے ڈیٹا کو ذاتی ڈیٹا کے طور پر سمجھیں جب تک کہ آپ نے ماہرین کی طرف سے تصدیق شدہ گمنامی کے سخت عمل سے گزر نہ لیا ہو۔ دوبارہ شناخت کو روکنے کے لیے تکنیکی اور تنظیمی اقدامات کی دستاویز کریں۔
اکثر پوچھے گئے سوالات
جی ڈی پی آر کے تحت ڈیٹا شیئرنگ کی اجازت کب ہے؟
ڈیٹا شیئرنگ صرف اس صورت میں جائز ہے جب آرٹیکل 6 GDPR کے تحت آپ کے پاس قانونی بنیاد ہو۔ چھ قانونی بنیادیں ہیں: رضامندی، معاہدہ کی ضرورت، قانونی ذمہ داری، اہم مفادات، عوامی کام، اور جائز مفادات۔ آپ کو قانون سازی، انصاف، شفافیت، مقصد کی حد، ڈیٹا کو کم کرنے، درستگی، ذخیرہ کرنے کی حد، سالمیت اور رازداری کے اصولوں کی بھی تعمیل کرنی چاہیے (آرٹیکل 5 GDPR)۔ عملی طور پر، اس کا مطلب واضح طور پر دستاویز کرنا ہے کہ آپ ڈیٹا کیوں شیئر کر رہے ہیں، اس بات کو یقینی بنانا کہ مقصد آپ نے اصل میں اسے کیوں اکٹھا کیا، اور ڈیٹا کے مضامین کو شیئر کرنے کے بارے میں آگاہ کرنا۔
کنٹرولر اور پروسیسر میں کیا فرق ہے؟
ایک کنٹرولر ذاتی ڈیٹا پر کارروائی کرنے کے مقاصد اور ذرائع کا تعین کرتا ہے۔ ایک پروسیسر کنٹرولر کی جانب سے مخصوص ہدایات کے تحت ڈیٹا پر کارروائی کرتا ہے۔ یہ فرق اہمیت رکھتا ہے کیونکہ کنٹرولرز بنیادی طور پر GDPR کی تعمیل کے ذمہ دار ہوتے ہیں، جبکہ پروسیسرز کی زیادہ محدود ذمہ داریاں ہوتی ہیں (بنیادی طور پر سیکیورٹی اور رازداری کو یقینی بنانا)۔ اگر آپ کسی ایسے سپلائر کے ساتھ ڈیٹا کا اشتراک کر رہے ہیں جو آپ کی ہدایات پر اس پر کارروائی کرتا ہے — مثال کے طور پر، ایک پے رول فراہم کنندہ یا کلاؤڈ اسٹوریج سروس — وہ عام طور پر ایک پروسیسر ہوتے ہیں۔ اگر وہ یہ بھی فیصلہ کرتے ہیں کہ ڈیٹا کو اپنے مقاصد کے لیے کیسے استعمال کیا جائے، تو وہ ایک (مشترکہ) کنٹرولر ہو سکتے ہیں۔ کرداروں کی غلط شناخت احتساب میں خلاء اور خلاف ورزیوں کی مشترکہ ذمہ داری کا باعث بن سکتی ہے۔
ڈیٹا پروسیسنگ معاہدہ (DPA) کب لازمی ہے؟
جب بھی آپ اپنی طرف سے ذاتی ڈیٹا کو ہینڈل کرنے کے لیے کسی پروسیسر کو شامل کرتے ہیں تو DPA لازمی ہوتا ہے (آرٹیکل 28 GDPR)۔ یہ آپ کی تنظیم کے سائز یا اس میں شامل ڈیٹا کے حجم سے قطع نظر لاگو ہوتا ہے۔ DPA تحریری طور پر ہونا چاہیے اور اس میں مخصوص لازمی شقیں شامل ہیں، جیسے کہ موضوع اور کارروائی کی مدت، نوعیت اور مقصد، ڈیٹا کی اقسام اور ڈیٹا کے مضامین کے زمرے، اور سیکیورٹی، خلاف ورزی کی اطلاع، اور ذیلی پروسیسنگ کے حوالے سے فریقین کی ذمہ داریاں۔ تعمیل شدہ DPA کے بغیر، آپ اس وقت سے خلاف ورزی کر رہے ہیں جب پروسیسر کارروائی شروع کرتا ہے، چاہے کوئی نقصان نہ ہو۔
کیا میں EU سے باہر کسی پارٹی کے ساتھ کسٹمر کا ڈیٹا شیئر کر سکتا ہوں؟
ہاں، لیکن صرف اس صورت میں جب سخت شرائط پوری ہوں۔ آرٹیکلز 44-49 GDPR کے تحت، آپ ڈیٹا کو کسی تیسرے ملک کو منتقل کر سکتے ہیں اگر: (a) یورپی کمیشن نے اس ملک کے لیے مناسب فیصلہ جاری کیا ہے، یا (b) آپ نے مناسب حفاظتی اقدامات کیے ہیں، جیسے کہ معیاری معاہدہ کی شقیں (SCCs)۔ Schrems II کے فیصلے کے بعد ، آپ کو یہ جانچنے کے لیے ٹرانسفر امپیکٹ اسسمنٹ (TIA) کا بھی انعقاد کرنا چاہیے کہ آیا منزل کے ملک کے قوانین (مثلاً، حکومت کی نگرانی) SCCs کی طرف سے ضمانت کردہ تحفظ کو نقصان پہنچاتے ہیں۔ اگر خطرات باقی ہیں، تو آپ کو اضافی اقدامات پر عمل درآمد کرنا چاہیے، جیسے کہ خفیہ کاری یا ڈیٹا کو کم کرنا۔ مناسب حفاظتی اقدامات کے بغیر منتقلی کے نتیجے میں AP کی طرف سے نفاذ کی کارروائی ہو سکتی ہے، بشمول منتقلی کی معطلی۔
ڈیٹا شیئرنگ کے لیے DPIA کب ضروری ہے؟
آرٹیکل 35 GDPR کے تحت ایک DPIA لازمی ہے جب پروسیسنگ کے نتیجے میں افراد کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہو سکتا ہے۔ اس میں شامل ہیں: ڈیٹا کے خصوصی زمروں کی بڑے پیمانے پر پروسیسنگ (مثال کے طور پر، صحت، بائیو میٹرک، جینیاتی ڈیٹا)، عوامی طور پر قابل رسائی علاقوں کی منظم نگرانی، قانونی یا اسی طرح کے اہم اثرات کے ساتھ خودکار فیصلہ سازی، اور نئی ٹیکنالوجیز کا استعمال۔ ڈیٹا کا اشتراک کرتے وقت، DPIA کی اکثر ضرورت ہوتی ہے اگر آپ ڈیٹا سیٹس کو یکجا کر رہے ہیں، حساس معلومات کا اشتراک کر رہے ہیں، یا ڈیٹا کو پروفائلنگ یا AI سے چلنے والے تجزیات کے لیے استعمال کر رہے ہیں۔ AP نے پروسیسنگ آپریشنز کی ایک فہرست شائع کی ہے جن کے لیے DPIA کی ضرورت ہوتی ہے۔ اگر شک ہو تو، ایک کو انجام دیں - افسوس سے محفوظ رہنا بہتر ہے۔
جی ڈی پی آر کی خلاف ورزی پر کمپنیوں کو کن جرمانے کا سامنا کرنا پڑ سکتا ہے؟
جی ڈی پی آر جرمانے کے دو درجے فراہم کرتا ہے۔ نچلے درجے تک - €10 ملین تک یا عالمی سالانہ کاروبار کا 2% - خلاف ورزیوں پر لاگو ہوتا ہے جیسے مناسب حفاظتی اقدامات کو نافذ کرنے میں ناکام ہونا یا ضرورت پڑنے پر DPIA کا انعقاد نہ کرنا۔ اعلی درجے کا—20 ملین یورو تک یا عالمی سالانہ ٹرن اوور کا 4%— زیادہ سنگین خلاف ورزیوں پر لاگو ہوتا ہے، بشمول پروسیسنگ کے لیے قانونی بنیاد کا فقدان، غیر قانونی بین الاقوامی منتقلی، یا ڈیٹا کے مضامین کے حقوق کی خلاف ورزی۔ AP جرمانے کی رقم کا تعین ان عوامل کی بنیاد پر کرتا ہے جن میں خلاف ورزی کی نوعیت اور شدت شامل ہے، چاہے یہ جان بوجھ کر کیا گیا ہو یا لاپرواہی، متاثرہ افراد کی تعداد، اور کوئی تخفیف کرنے والے اقدامات۔ حالیہ نفاذ سے پتہ چلتا ہے کہ AP کافی جرمانے عائد کرنے کے لیے تیار ہے، خاص طور پر نظامی یا جان بوجھ کر خلاف ورزیوں کے لیے۔
کیا تخلصی ڈیٹا کا اشتراک کرنا ہمیشہ محفوظ ہے؟
نہیں، تخلص خطرے کو کم کرتا ہے لیکن اسے ختم نہیں کرتا۔ آرٹیکل 4(5) GDPR کے تحت، تخلص کا مطلب ہے براہ راست شناخت کنندگان (جیسے نام) کو کوڈز یا تخلص کے ساتھ تبدیل کرنا۔ تاہم، اگر ڈیٹا کو اب بھی کسی فرد سے منسلک کیا جا سکتا ہے—مثال کے طور پر، آپ یا وصول کنندہ کے پاس موجود اضافی معلومات کا استعمال کرتے ہوئے — یہ ذاتی ڈیٹا رہتا ہے اور مکمل طور پر GDPR کے تابع ہوتا ہے۔ اس کا مطلب ہے کہ آپ کو اب بھی قانونی بنیاد کی ضرورت ہے، ڈیٹا کے مضامین کو مطلع کرنا چاہیے، اور مناسب سیکیورٹی کو یقینی بنانا چاہیے۔ صرف حقیقی گمنامی — جہاں کسی بھی معقول طریقے سے دوبارہ شناخت ممکن نہیں ہے — ڈیٹا کو GDPR کے دائرہ کار سے ہٹاتا ہے۔ عملی طور پر، حقیقی گمنامی کا حصول مشکل ہے اور اس کے لیے ماہر کی توثیق کی ضرورت ہے۔
اگر میرے کاروبار میں غیر قانونی ڈیٹا شیئرنگ کی وجہ سے ڈیٹا کی خلاف ورزی ہوتی ہے تو مجھے کیا کرنا چاہیے؟
اگر آپ کو ذاتی ڈیٹا کی خلاف ورزی کا پتہ چلتا ہے — جس میں ایک غیر قانونی ڈیٹا شیئرنگ کی وجہ سے بھی شامل ہے — آپ کے پاس آرٹیکل 33 GDPR کے تحت اے پی کو مطلع کرنے کے لیے 72 گھنٹے ہیں (جب تک کہ اس خلاف ورزی کے نتیجے میں افراد کے حقوق اور آزادیوں کو خطرہ نہ ہو)۔ آپ کو متاثرہ افراد کو بغیر کسی تاخیر کے مطلع کرنا چاہیے اگر خلاف ورزی کے نتیجے میں ان کے لیے زیادہ خطرہ ہو سکتا ہے (آرٹیکل 34 جی ڈی پی آر)۔ فوری اقدامات میں شامل ہیں: خلاف ورزی پر مشتمل ہونا، اس کے دائرہ کار اور اثرات کا اندازہ لگانا، کیا ہوا اور آپ اس کے بارے میں کیا کر رہے ہیں اس کی دستاویز کرنا، اور AP کو ان کے آن لائن پورٹل کے ذریعے مطلع کرنا۔ مطلع کرنے میں ناکامی کے نتیجے میں علیحدہ جرمانہ ہو سکتا ہے۔ AP اس بات کا جائزہ لے گا کہ آیا خلاف ورزی کی شدت اور آپ کے جواب کی بنیاد پر نفاذ کی کارروائی کی ضمانت دی گئی ہے۔
اپنے کاروبار کی حفاظت کریں—ماہر کی قانونی رہنمائی حاصل کریں۔
ڈیٹا کا اشتراک ناگزیر ہے، لیکن GDPR کی خلاف ورزیوں کی ضرورت نہیں ہے۔ اوپر بیان کیے گئے سات خطرات نظریاتی نہیں ہیں — وہ حقیقی نفاذ کے مقدمات، عدالتی فیصلوں اور ریگولیٹری رہنمائی سے حاصل کیے گئے ہیں۔ ان میں سے ہر ایک کے نتیجے میں جرمانے، ذمہ داری کے دعوے، اور شہرت کو نقصان پہنچ سکتا ہے۔
اچھی خبر؟ صحیح قانونی فریم ورک، واضح دستاویزات، اور فعال تعمیل کے اقدامات کے ساتھ، آپ اعتماد اور قانونی طور پر ڈیٹا کا اشتراک کر سکتے ہیں۔ لیکن اسے درست کرنے کے لیے عام مشورے سے زیادہ کی ضرورت ہوتی ہے — اس کے لیے موزوں قانونی مدد کی ضرورت ہوتی ہے جو آپ کے کاروبار، آپ کے ڈیٹا کے بہاؤ، اور آپ کو درپیش مخصوص خطرات کو سمجھے۔
اے پی کے دستک دینے کا انتظار نہ کریں۔ اگر آپ کو یقین نہیں ہے کہ آیا آپ کے ڈیٹا شیئرنگ کے طریقے GDPR کے مطابق ہیں، یا اگر آپ کو DPAs کا مسودہ تیار کرنے، DPIAs کرنے، یا بین الاقوامی منتقلیوں کا انتظام کرنے میں مدد درکار ہے، تو رازداری کے ماہر وکیل سے رابطہ کریں۔ آپ کا کاروبار — اور آپ کے گاہک — کسی بھی چیز سے کم کے مستحق نہیں ہیں۔
