نیدرلینڈز میں بائیو میٹرک ڈیٹا جی ڈی پی آر کی تعمیل کے لیے ایک گائیڈ

بائیو میٹرک ڈیٹا اور جی ڈی پی آر کی تعمیل کے ساتھ گرفت حاصل کرنے کے لیے، ہمیں سب سے پہلے ایک بنیادی سوال کا جواب دینا ہوگا: بائیو میٹرک ڈیٹا دراصل کیا ہے ؟ یہ صرف کوئی ذاتی معلومات نہیں ہے۔ ہم منفرد جسمانی یا رویے کے خصائص سے حاصل کردہ ڈیٹا کے بارے میں بات کر رہے ہیں—جیسے فنگر پرنٹ، ایک ایرس پیٹرن، یا یہاں تک کہ کسی کی آواز — جو کسی مخصوص شخص کی غیر واضح طور پر شناخت کر سکتا ہے ۔

اسے ایک حیاتیاتی کلید کے طور پر سوچیں، جو ایک فرد کے لیے منفرد ہے اور اسے تبدیل کرنا عملی طور پر ناممکن ہے۔

جی ڈی پی آر کے تحت بائیو میٹرک ڈیٹا کی وضاحت

جنرل ڈیٹا پروٹیکشن ریگولیشن (GDPR) کے تحت، جو چیز "بائیو میٹرک ڈیٹا" بناتی ہے وہ ڈیٹا کی قسم (جیسے تصویر) نہیں ہے، بلکہ وہ مقصد ہے جس کے لیے آپ اس پر کارروائی کر رہے ہیں۔ کسی ملازم کی ان کے ID بیج پر ایک سادہ تصویر کو خود بخود بائیو میٹرک ڈیٹا نہیں سمجھا جاتا ہے۔

تاہم، جس لمحے وہی تصویر کسی عمارت تک رسائی فراہم کرنے کے لیے چہرے کی شناخت کے نظام میں ڈالی جاتی ہے، یہ بائیو میٹرک ڈیٹا بن جاتا ہے۔ قانونی ڈھانچہ مکمل طور پر بدل جاتا ہے۔

اہم عنصر منفرد شناخت کے مقصد کے لیے استعمال ہونے والی "مخصوص تکنیکی پروسیسنگ" ہے۔ اس امتیاز کو صحیح طریقے سے حاصل کرنا آپ کی تعمیل کی ذمہ داریوں کو سمجھنے کا سنگ بنیاد ہے۔ آپ بائیو میٹرک ڈیٹا کی پروسیسنگ کے بارے میں ہماری گائیڈ میں بیان کردہ باریکیوں کو مزید گہرائی میں لے سکتے ہیں ۔

جی ڈی پی آر بایومیٹرک ڈیٹا کو مختلف طریقے سے کیوں دیکھتا ہے۔

جی ڈی پی آر کے آرٹیکل 9 کے تحت بائیو میٹرک ڈیٹا کو 'ذاتی ڈیٹا کے خصوصی زمرے' کے طور پر درجہ بندی کیا گیا ہے۔ یہ درجہ بندی اسے اسی ہائی رسک گروپ میں رکھتی ہے جس کے بارے میں معلومات:

• نسلی یا نسلی اصل
• سیاسی آراء
• مذہبی یا فلسفیانہ عقائد
• صحت یا جنسی زندگی

یہ بلند درجہ ایک اچھی وجہ سے ہے: بائیو میٹرک ڈیٹا کی خلاف ورزی کے ناقابل واپسی نتائج ہوتے ہیں۔ پاس ورڈ کے برعکس، آپ صرف اپنے فنگر پرنٹ یا اپنے ایرس کو تبدیل نہیں کر سکتے۔ اگر اس ڈیٹا سے سمجھوتہ کیا جاتا ہے، تو یہ اس شخص کے لیے شناخت کی چوری اور دھوکہ دہی کا مستقل خطرہ پیدا کرتا ہے۔

ایک واضح تصویر فراہم کرنے کے لیے، یہاں عام بائیو میٹرک ڈیٹا کی اقسام اور جی ڈی پی آر کے تحت ان کی حیثیت کا تجزیہ ہے۔

جیسا کہ جدول ظاہر کرتا ہے، مستقل تھیم منفرد شناخت کے لیے اس ڈیٹا کا استعمال ہے ، جو آرٹیکل 9 کے تحت خصوصی زمرہ کے تحفظات کو خود بخود متحرک کرتا ہے۔

ڈچ ریگولیٹری نقطہ نظر

یہاں نیدرلینڈز میں، ڈچ ڈیٹا پروٹیکشن اتھارٹی (Autoriteit Personsgegevens or AP) ان قوانین کی خاص طور پر سخت تشریح کو نافذ کرتی ہے۔ مثال کے طور پر چہرے کی شناخت کی ٹیکنالوجی پر ان کی رہنمائی یہ واضح کرتی ہے کہ اس کا استعمال زیادہ تر حالات میں ممنوع ہے۔

کلیدی امتحان ہمیشہ یہ ہوتا ہے کہ آیا پروسیسنگ کا مقصد کسی فطری شخص کی غیر واضح طور پر شناخت کرنا ہے۔ یہ سخت موقف اس بات کی نشاندہی کرتا ہے کہ اس طرح کے نظام کو نافذ کرنے پر غور کرنے سے پہلے آپ کے قانونی جواز کو کتنا مجبور کرنے کی ضرورت ہے۔

بائیو میٹرک ڈیٹا پر کارروائی کے لیے اپنی قانونی بنیاد تلاش کرنا

جب آپ بائیو میٹرک ڈیٹا کے ساتھ کام کر رہے ہوتے ہیں، تو GDPR بنیادی طور پر آپ کو دو الگ الگ قانونی رکاوٹوں کو صاف کرتا ہے۔ یہ ڈیٹا پر کارروائی کرنے کی صرف ایک اچھی وجہ تلاش کرنے کا معاملہ نہیں ہے۔ آپ کو جنرل پروسیسنگ کے لیے آرٹیکل 6 کے تحت قانونی بنیاد کی ضرورت ہے ، اور پھر آرٹیکل 9 سے ایک دوسری، بہت سخت شرط کی ضرورت ہے کیونکہ آپ 'خصوصی زمرہ' کے ڈیٹا کو ہینڈل کر رہے ہیں۔ یہ دو حصوں کی ضرورت بالکل غیر گفت و شنید ہے۔

اسے دو مختلف تالے والے بینک والٹ کی طرح سوچیں۔ آرٹیکل 6 پہلی کلید ہے، جس کی آپ کو کسی بھی قسم کے ذاتی ڈیٹا پروسیسنگ کے لیے ضرورت ہے۔ لیکن چونکہ بایومیٹرکس بہت حساس ہیں، اس سے پہلے کہ آپ دروازہ کھولنے کے بارے میں سوچ سکیں آرٹیکل 9 کو ایک سیکنڈ، زیادہ خصوصی کلید کی ضرورت ہے۔

GDPR تعمیل کا دو کلیدی نظام

سب سے پہلے، آپ کو آرٹیکل 6 کے چھ قانونی اڈوں میں سے کسی ایک میں اپنی پروسیسنگ کو گراؤنڈ کرنے کی ضرورت ہے ۔ یہ عام مشتبہ افراد ہیں: رضامندی، معاہدہ کی ضرورت، ایک قانونی ذمہ داری جسے آپ کو پورا کرنا ہے، اہم مفادات، عوامی کام انجام دینا، یا آپ کے اپنے جائز مفادات۔

ایک بار جب آپ اپنے آرٹیکل 6 کی بنیاد کو ختم کر لیتے ہیں ، اصل چیلنج شروع ہو جاتا ہے۔ آپ کو آرٹیکل 9(2) میں درج مخصوص شرائط میں سے ایک کو بھی پورا کرنا ہوگا ، جو خصوصی زمرہ کے ڈیٹا پر کارروائی کرنے کے واحد گیٹ وے ہیں۔ بایومیٹرکس کے لیے، سب سے مشہور — اور اکثر غلط فہمی — شرط واضح رضامندی ہے ۔

واضح رضامندی کو ختم کرنا

'واضح رضامندی' کو معیاری رضامندی کے ساتھ الجھائیں جو آپ مارکیٹنگ نیوز لیٹر کے لیے استعمال کر سکتے ہیں۔ یہ ایک بہت اونچی بار ہے۔ اسے آپ کے شرائط و ضوابط میں بند نہیں کیا جا سکتا یا کسی کے اعمال سے مضمر نہیں ہو سکتا۔ یہ ایک کرسٹل واضح، مثبت عمل ہونا چاہیے جو کہ:

• مخصوص: آپ صرف "سیکیورٹی مقاصد" کے لیے مبہم رضامندی نہیں مانگ سکتے۔ آپ کو واضح طور پر ہجے کرنے کی ضرورت ہے کہ آپ کو بائیو میٹرک ڈیٹا کی ضرورت کیوں ہے۔
• مطلع: لوگوں کو یہ جاننا چاہیے کہ آپ کون سا ڈیٹا اکٹھا کر رہے ہیں، آپ اس کے ساتھ کیا کریں گے، اسے کون دیکھے گا، اور آپ اسے کب تک رکھیں گے۔
• آزادانہ طور پر دیا گیا: یہ وہ جگہ ہے جہاں یہ مشکل ہو جاتا ہے، خاص طور پر کام کی جگہ پر۔ ایک ملازم بائیو میٹرک سسٹم سے اتفاق کرنے کے لیے دباؤ محسوس کر سکتا ہے، اگر وہ انکار کرتا ہے تو منفی نتائج کے خوف سے۔ طاقت کے عدم توازن کا مطلب ہے کہ ان کی رضامندی صحیح معنوں میں 'آزادانہ طور پر دی گئی' نہیں ہے اور اس لیے قانونی طور پر غلط ہے۔

Dutch AP (Autoriteit Persoonsgegevens) ملازمین کے بائیو میٹرک ڈیٹا پر کارروائی کرنے کے لیے رضامندی کو بنیاد کے طور پر استعمال کرنے کے بارے میں انتہائی شکی ہے۔ اتھارٹی کا نقطہ آغاز یہ ہے کہ اس طرح کی رضامندی تقریباً کبھی بھی آزادانہ طور پر نہیں دی جاتی ہے اور اس کے نتیجے میں، GDPR کے سخت تقاضوں کو پورا کرنے میں ناکام رہتی ہے۔

یہ نیدرلینڈز میں کاروبار کے لیے ایک اہم نقطہ ہے۔ بایومیٹرک ٹائم کلاک یا دفتر تک رسائی کے نظام کے لیے ملازم کی رضامندی پر انحصار کرنا تقریباً ہمیشہ تعمیل کا خاتمہ ہوتا ہے۔ آپ کو مضبوط، زیادہ مناسب قانونی بنیادیں تلاش کرنے کی ضرورت ہے۔

رضامندی سے آگے: آرٹیکل 9 کے دیگر استثنیٰ کی تلاش

اگرچہ واضح رضامندی تمام سرخیوں پر قبضہ کرتی ہے، آرٹیکل 9 چند دیگر، بہت تنگ، مستثنیات پیش کرتا ہے جو بائیو میٹرک ڈیٹا کے استعمال کا جواز پیش کر سکتے ہیں۔ یہ یقینی بنانا بہت ضروری ہے کہ آپ کی مخصوص صورتحال ان میں سے کسی ایک میں بالکل فٹ بیٹھتی ہے، کیونکہ اسے غلط سمجھنا سنگین پریشانی کا باعث بن سکتا ہے۔ ہر کاروبار کو اپنے کردار اور ذمہ داریوں کا بغور جائزہ لینے کی ضرورت ہوگی، جس کے بارے میں آپ GDPR کے تحت کنٹرولر اور پروسیسر کی ہماری تفصیلی وضاحت میں پڑھ سکتے ہیں ۔

اس کو واضح کرنے کے لیے، آئیے سب سے زیادہ متعلقہ شرائط اور ان کے سخت تقاضوں کا موازنہ کریں۔

بایومیٹرک ڈیٹا پروسیسنگ کے لیے قانونی بنیاد کا موازنہ

ذیل کا جدول آرٹیکل 9 کی عام شرائط کو توڑتا ہے جن پر آپ غور کر سکتے ہیں، اس بات پر روشنی ڈالتے ہوئے کہ وہ کہاں کام کرتے ہیں اور کہاں وہ اکثر غلط ہو جاتے ہیں۔

آخر میں، صحیح قانونی بنیاد کا انتخاب آسان ترین آپشن کو منتخب کرنے کے بارے میں نہیں ہے۔ یہ آپ کے مخصوص حالات کے مکمل، دستاویزی تجزیہ کا مطالبہ کرتا ہے۔ بس جو سب سے زیادہ آسان لگتا ہے اسے پکڑنا عدم تعمیل کا تیز رفتار راستہ ہے اور ڈچ اے پی کی طرف سے دروازے پر ممکنہ دستک ہے۔

ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ کا انعقاد کیسے کریں۔

اگر آپ کی تنظیم کسی حقیقی پیمانے پر بائیو میٹرک ڈیٹا پر کارروائی کرنے پر بھی غور کر رہی ہے، تو ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ (DPIA) صرف ایک اچھا خیال نہیں ہے — یہ GDPR کے تحت قانونی طور پر ضروری ہے۔

DPIA کو پرائیویسی کے خطرے کی باضابطہ تشخیص کے طور پر سوچیں۔ یہ ایک منظم عمل ہے جو آپ کو اس بات کا نقشہ بنانے پر مجبور کرتا ہے کہ آپ کیا کرنے کا ارادہ رکھتے ہیں، افراد کے لیے ممکنہ خطرات کا پتہ لگائیں، اور یہ معلوم کریں کہ آپ کسی ایک فنگر پرنٹ یا چہرے کو اسکین کرنے سے پہلے ان خطرات کا انتظام کیسے کریں۔

یہ ایک سادہ باکس ٹک کرنے کی مشق سے کہیں زیادہ ہے۔ یہ آپ کے سسٹم کے بالکل ڈیزائن میں جوابدہی اور بیکنگ ڈیٹا پروٹیکشن کا مظاہرہ کرنے کا ایک بنیادی حصہ ہے۔ بایومیٹرکس جیسی کسی بھی اعلی خطرے والی سرگرمی کے لیے، ڈچ ڈیٹا پروٹیکشن اتھارٹی (AP) مکمل طور پر ایک جامع اور معقول DPIA کو دیکھنے کی توقع کرے گی اگر وہ کبھی سوال پوچھتے ہیں۔

اس سے پہلے کہ آپ بایومیٹرکس کے لیے DPIA شروع کر سکیں، آپ کو پہلے دو بنیادی قانونی رکاوٹوں کو دور کرنا ہو گا، جیسا کہ نیچے دیا گیا خاکہ دکھاتا ہے۔

آپ کو پہلے آرٹیکل 6 کے تحت قانونی بنیاد تلاش کرنا ہوگی اور پھر آرٹیکل 9 کے تحت سخت، مخصوص شرائط میں سے ایک کو پورا کرنا ہوگا۔ تب ہی آپ اپنی تشخیص کے ساتھ آگے بڑھ سکتے ہیں۔

DPIA کے بنیادی اجزاء

ایک ٹھوس DPIA کو پروسیسنگ کو منظم طریقے سے بیان کرنے، اس بات کا اندازہ لگانے کی ضرورت ہے کہ یہ کیوں ضروری اور متناسب ہے، اور لوگوں کے حقوق اور آزادیوں کو لاحق خطرات کا انتظام کرنا ہے۔ آئیے ایک بہت ہی عام منظر نامے کا استعمال کرتے ہوئے اہم مراحل پر چلتے ہیں: دفتر تک رسائی کے کنٹرول کے لیے فنگر پرنٹ سکینر انسٹال کرنا۔

1. پروسیسنگ کی وضاحت کریں: مخصوص حاصل کریں۔ آپ کو شروع سے ختم ہونے تک ڈیٹا کے پورے سفر کی تفصیل کی ضرورت ہے۔

   • آپ بالکل کیا جمع کر رہے ہیں؟ (مثال کے طور پر، فنگر پرنٹ ٹیمپلیٹس، مکمل تصاویر نہیں)۔
   • یہ ڈیٹا کیسے جمع کیا جائے گا، اسے کہاں محفوظ کیا جاتا ہے، اسے کیسے استعمال کیا جاتا ہے، اور اسے کب حذف کیا جائے گا؟
   • کون اس ڈیٹا تک رسائی حاصل کر سکتا ہے، اور کیوں؟
   • کیا کوئی فریق ثالث فروش اس میں شامل ہیں، جیسا کہ اسکینر سسٹم فراہم کرنے والی کمپنی؟

2. ضرورت اور تناسب کا اندازہ کریں: یہ وہ جگہ ہے جہاں آپ اپنے فیصلے کا جواز پیش کرتے ہیں۔ اس کے لیے آپ کو اپنے مفروضوں کو چیلنج کرنے اور یہ ثابت کرنے کی ضرورت ہے کہ بائیو میٹرکس کا استعمال سب سے زیادہ سمجھدار انتخاب ہے۔

   • آپ کون سا درست مسئلہ حل کرنے کی کوشش کر رہے ہیں؟ (مثال کے طور پر، سرور رومز تک غیر مجاز رسائی کو روکنا)۔
   • کیوں کم دخل اندازی کرنے والے طریقے ہیں، جیسے محفوظ کلیدی کارڈز یا پن کوڈ، اس مخصوص صورتحال کے لیے کافی اچھے نہیں ہیں؟
   • کیا آپ جو ڈیٹا اکٹھا کر رہے ہیں کیا وہ آپ کے مقصد کو حاصل کرنے کے لیے درکار کم از کم ہے؟

3. خطرات کی شناخت اور اندازہ لگائیں: اپنے آپ کو ملازم کے جوتے میں ڈالیں۔ ان کے لیے کیا غلط ہو سکتا ہے؟

   • ڈیٹا کی خلاف ورزی: اگر فنگر پرنٹ ٹیمپلیٹس کا ڈیٹا بیس چوری ہو جائے تو حقیقی دنیا پر کیا اثر پڑے گا؟
   • فنکشن کریپ: کیا یہ خطرہ ہے کہ اس ڈیٹا کو لائن کے نیچے کی دوسری چیزوں کے لیے استعمال کیا جا سکتا ہے، جیسے ملازمین کے آنے اور جانے کے وقت کی نگرانی کرنا، انہیں بتائے بغیر؟
   • خارج: اگر کوئی ملازم جلد کی حالت یا فنگر پرنٹس کی وجہ سے سسٹم کو استعمال نہیں کرسکتا ہے تو کیا ہوگا؟ کیا ان کے لیے کوئی متبادل ہے؟
   • غلطی: اگر فائر الارم کے دوران سسٹم کسی بااختیار شخص کو باہر نکال دیتا ہے اور اسے لاک کر دیتا ہے تو کیا ہوگا؟

4. خطرات کو کم کرنے کے اقدامات کی نشاندہی کریں: اب، ہر خطرے کے لیے جو آپ نے ابھی درج کیا ہے، آپ کو ایک ٹھوس حل تجویز کرنے کی ضرورت ہے۔ یہ عمل کا سب سے زیادہ عملی حصہ ہے۔

   • تکنیکی اقدامات: اس کا مطلب یہ ہو سکتا ہے کہ ڈیٹا کے لیے مضبوط انکرپشن کو لاگو کرنا، محفوظ ٹیمپلیٹ اسٹوریج کا استعمال کرنا (آن ڈیوائس اکثر مرکزی سرور سے بہتر ہوتا ہے)، اور سخت رسائی کے کنٹرول کو نافذ کرنا۔
   • تنظیمی اقدامات: اس میں بائیو میٹرک ڈیٹا کے بارے میں ایک واضح پالیسی بنانا، اس پر عملے کو تربیت دینا، اور اس سسٹم کے لیے مخصوص ڈیٹا کی خلاف ورزی کے ردعمل کا منصوبہ تیار کرنا شامل ہے۔
   • تناسب کے اقدامات: جہاں ممکن ہو رسائی کے لیے ہمیشہ ایک غیر بائیو میٹرک متبادل پیش کریں۔ یہ یقینی بناتا ہے کہ نظام غیر منصفانہ طور پر کسی کو خارج نہیں کرتا ہے۔

ایک اچھی طرح سے عمل میں لایا گیا DPIA ایک زندہ دستاویز ہے۔ یہ ایسی چیز نہیں ہے جسے آپ ایک بار کرتے ہیں اور پھر فائل کرتے ہیں۔ اگر آپ کی بائیو میٹرک پروسیسنگ کا دائرہ، نوعیت، یا سیاق و سباق تبدیل ہوتا ہے تو اس کا جائزہ لیا جانا چاہیے اور اسے اپ ڈیٹ کیا جانا چاہیے۔ اگر کوئی ریگولیٹر آپ کے طرز عمل پر کبھی سوال کرتا ہے تو یہ آپ کی مستعدی کے بنیادی ثبوت کے طور پر کام کرتا ہے۔

اس ڈھانچے پر عمل کرنے سے، ایک DPIA ایک مشکل قانونی ذمہ داری سے ایک طاقتور اسٹریٹجک ٹول میں تبدیل ہو جاتا ہے۔ یہ یقینی بنانے میں مدد کرتا ہے کہ آپ کے بائیو میٹرکس کے استعمال کو دور اندیشی اور ذمہ داری کی مضبوط بنیاد پر بنایا گیا ہے، جو آپ کی تنظیم اور ان لوگوں دونوں کی حفاظت کرتا ہے جن کے ڈیٹا پر آپ کارروائی کر رہے ہیں۔

یومیہ تعمیل کے لیے ضروری اقدامات

بایومیٹرک ڈیٹا کے لیے اپنے جی ڈی پی آر کی تعمیل کو درست کرنا کوئی قانونی کام نہیں ہے جس کے لیے آپ فہرست کو نشان زد کر سکتے ہیں۔ یہ ایک جاری وابستگی ہے جسے آپ کے روزمرہ کے کاموں کے تانے بانے میں بُنا جانا ہے۔ ایک بار جب آپ اپنی قانونی بنیادوں کو حل کر لیتے ہیں اور DPIA کو مکمل کر لیتے ہیں، تو اس حساس ڈیٹا کو ذمہ داری کے ساتھ منظم کرنے کا اصل کام صحیح معنوں میں شروع ہو جاتا ہے۔ یہ سب قانونی اصولوں کو عملی، روزمرہ کے اعمال میں تبدیل کرنے کے بارے میں ہے۔

اس کے مرکز میں یہ یقینی بنانا ہے کہ GDPR کے بنیادی اصول آپ کی کمپنی کی ڈیفالٹ ترتیب بن جائیں۔ شروع کرنے کے لیے ایک بہترین جگہ ڈیٹا کو کم سے کم کرنا ہے ۔ یہ ایک سادہ لیکن ناقابل یقین حد تک طاقتور خیال ہے: صرف وہی بایومیٹرک ڈیٹا اکٹھا کریں جس کی آپ کو قطعی ضرورت ہے اس مخصوص، جائز مقصد کے لیے جس کی آپ نے نشاندہی کی ہے۔ مزید کچھ نہیں۔ اگر آپ آفس تک رسائی کا نظام ترتیب دے رہے ہیں، تو کیا آپ کو واقعی ایک ہائی ریزولوشن فیشل اسکین کی ضرورت ہے جب ایک بہت آسان بائیو میٹرک ٹیمپلیٹ بھی کام کرے گا؟ شاید نہیں۔

یہ اسٹوریج کی حد کے ساتھ ہاتھ میں جاتا ہے ۔ بائیو میٹرک ڈیٹا کو ہمیشہ کے لیے نہیں رکھا جانا چاہیے۔ آپ کو برقرار رکھنے کی واضح پالیسیاں قائم کرنے اور نافذ کرنے کی ضرورت ہے۔ ان اصولوں کو یہ بتانا چاہیے کہ آپ ڈیٹا کو کتنی دیر تک ذخیرہ کریں گے اور اس بات کو یقینی بنائیں گے کہ اسے محفوظ طریقے سے حذف کر دیا جائے گا جب اس کی اصل مقصد کے لیے مزید ضرورت نہیں ہے۔

تکنیکی اور تنظیمی تحفظات کو نافذ کرنا

بایومیٹرک ڈیٹا کو صحیح طریقے سے محفوظ کرنا کثیر پرتوں والی حفاظتی حکمت عملی کا مطالبہ کرتا ہے۔ اس کا مطلب ہے تکنیکی حل اور ٹھوس داخلی پالیسیاں دونوں کو اکٹھا کرنا۔ یہ صرف اچھی چیزیں نہیں ہیں؛ وہ جی ڈی پی آر کے تحت غیر گفت و شنید کے تقاضے ہیں۔

یہاں کچھ اہم تکنیکی اقدامات ہیں جو آپ کے پاس ہونے چاہئیں:

• مضبوط خفیہ کاری: تمام بائیو میٹرک ڈیٹا کو انکرپٹ کیا جانا چاہیے، مدت۔ یہ دونوں پر لاگو ہوتا ہے جب اسے سرورز یا ڈیوائسز پر اسٹور کیا جاتا ہے (گھوڑے کا آراماور جب اسے کسی نیٹ ورک پر بھیجا جا رہا ہو (ٹرانزٹ میں)۔ خفیہ کاری ڈیٹا کو پڑھنے کے قابل اور کسی بھی شخص کے لیے بیکار بنا دیتی ہے جو بغیر اجازت کے اس پر ہاتھ ڈال سکتا ہے۔
• سخت رسائی کے کنٹرول: آپ کی تنظیم میں ہر کسی کو بائیو میٹرک ڈیٹا دیکھنے یا ہینڈل کرنے کی ضرورت نہیں ہے۔ چیزوں کو بند کرنے کے لیے کردار پر مبنی رسائی کے کنٹرولز کا استعمال کریں، اس بات کو یقینی بناتے ہوئے کہ صرف ایک واضح، جائز ضرورت کے ساتھ مجاز عملہ ہی اس معلومات تک رسائی حاصل کر سکتا ہے۔
• محفوظ ذخیرہ: جب بھی ہو سکے، ایک بڑے مرکزی ڈیٹا بیس میں بائیو میٹرک ٹیمپلیٹس کو ذخیرہ کرنے سے گریز کریں۔ زیادہ محفوظ طریقہ یہ ہے کہ انہیں مقامی طور پر کسی ڈیوائس پر اسٹور کیا جائے، جیسے خود اسکینر یا ملازم کا رسائی کارڈ۔ یہ ڈی سینٹرلائزڈ ماڈل تباہ کن بڑے پیمانے پر ڈیٹا کی خلاف ورزی کے خطرے کو ڈرامائی طور پر کم کرتا ہے۔

لیکن صرف ٹیکنالوجی کافی نہیں ہے۔ آپ کے تنظیمی اقدامات اتنے ہی اہم ہیں۔ مضبوط حفاظتی اقدامات کو نافذ کرنا، جیسا کہ سیکیورٹی کے لیے بائیو میٹرک-پہلے طریقوں میں پایا جاتا ہے ، دھوکہ دہی کے خطرے کو سنجیدگی سے کم کر سکتا ہے اور آپ کی مجموعی تعمیل کو مضبوط بنا سکتا ہے۔ اس کا مطلب یہ بھی ہے کہ عملے کو ڈیٹا کے تحفظ کی پالیسیوں پر باقاعدگی سے تربیت دیں اور وقتاً فوقتاً سیکیورٹی آڈٹ چلائیں تاکہ کمزوریوں کو کوئی مسئلہ بننے سے پہلے انہیں تلاش کیا جا سکے۔

شفاف اور واضح رازداری کے نوٹسز بنانا

شفافیت جی ڈی پی آر کا سنگ بنیاد ہے۔ لوگوں کو یہ جاننے کا مکمل حق ہے کہ آپ ان کے بائیو میٹرک ڈیٹا کے ساتھ کیا کر رہے ہیں۔ آپ کا پرائیویسی نوٹس آپ کی ویب سائٹ کے فوٹر میں دفن ایک گھنی، جرگن سے بھری دستاویز نہیں ہو سکتی۔ یہ واضح، جامع اور کسی کے لیے بھی تلاش اور سمجھنا آسان ہونا چاہیے۔

بائیو میٹرک ڈیٹا پروسیسنگ کے لیے ایک تعمیل رازداری کے نوٹس کو واضح طور پر بیان کرنا چاہیے:

1. تم کون ہو: آپ کی کمپنی کا نام اور رابطے کی تفصیلات۔
2. آپ ڈیٹا پر کارروائی کیوں کر رہے ہیں: مخصوص، جائز وجہ (مثال کے طور پر، "ہماری ریسرچ لیب تک رسائی کو محفوظ بنانا")۔
3. آپ کی قانونی بنیاد: آرٹیکل 6 اور آرٹیکل 9 کی مخصوص شرائط جن پر آپ انحصار کر رہے ہیں۔
4. کون سا ڈیٹا اکٹھا کیا جا رہا ہے: عین مطابق ہو۔ صرف "بائیو میٹرکس" نہ کہیں۔ واضح کریں کہ آیا یہ فنگر پرنٹ ٹیمپلیٹ، آئیرس اسکین وغیرہ ہے۔
5. آپ اسے کب تک رکھیں گے: آپ کے ڈیٹا کو برقرار رکھنے کی مدت۔
6. آپ اسے کس کے ساتھ بانٹیں گے: اس میں کوئی بھی فریق ثالث ٹیک فراہم کنندگان شامل ہیں۔
7. ان کے حقوق: انہیں ان کے ڈیٹا تک رسائی، درست کرنے، مٹانے اور اس پر اعتراض کرنے کے حق کے بارے میں بتائیں۔

صاف زبان کی مثال: "ہم آپ کو سرور روم تک رسائی دینے کے لیے فنگر پرنٹ ٹیمپلیٹ استعمال کرتے ہیں، جو آپ کے فنگر پرنٹ کی ایک محفوظ عددی نمائندگی ہے، یہ ٹیمپلیٹ صرف آپ کے ذاتی رسائی کارڈ پر محفوظ کیا جاتا ہے اور آپ کی ملازمت ختم ہونے کے 24 گھنٹوں کے اندر ہمارے سسٹم سے حذف ہوجاتا ہے۔ آپ کسی بھی وقت اپنا ڈیٹا دیکھنے یا حذف کرنے کی درخواست کر سکتے ہیں۔"

اس قسم کی وضاحت قانونی باکس پر نشان لگانے سے زیادہ کچھ کرتی ہے — اس سے اعتماد پیدا ہوتا ہے۔ جب آپ کسی کی سب سے زیادہ ذاتی معلومات کو کیسے ہینڈل کرتے ہیں اس کے بارے میں سامنے اور شفاف ہوتے ہیں، تو آپ ڈیٹا کے تحفظ کے لیے وابستگی ظاہر کرتے ہیں جو سادہ تعمیل سے بالاتر ہے۔ یہ ایک قانونی تقاضے کو آپ کی تنظیم کی سالمیت کے سنگ بنیاد میں بدل دیتا ہے۔

نیدرلینڈز میں نفاذ اور سزاؤں پر تشریف لے جانا

بائیو میٹرک ڈیٹا پر جی ڈی پی آر کے سخت قوانین کو نظر انداز کرنا صرف ایک نظریاتی خطرہ نہیں ہے۔ اس کے شدید مالی اور شہرت کے نتائج ہوتے ہیں۔ نیدرلینڈز میں، ڈیٹا پروٹیکشن اتھارٹی (Autoriteit Personsgegevens یا AP) اپنے مضبوط نفاذ کے لیے جانا جاتا ہے۔ یہ کسی بھی تنظیم کے لیے ڈیٹا کو غلط طریقے سے سنبھالنے سے ہونے والے ممکنہ نتائج کو ایک اہم عنصر بناتا ہے۔

اس نفاذ کے منظر نامے کو سمجھنا ضروری ہے۔ ممکنہ سزائیں صرف خلاصہ قانونی خطرات نہیں ہیں۔ وہ ایک ایسی حقیقت ہیں جو اس بات پر روشنی ڈالتی ہے کہ فعال تعمیل واقعی کتنی اہم ہے۔ آپ کی ڈیٹا پروسیسنگ کو درست کرنے میں سرمایہ کاری غلط ہونے کی بھاری لاگت سے ہمیشہ بہت کم ہے۔

عدم تعمیل کی اصل قیمت

جی ڈی پی آر کے تحت، ڈچ اے پی جیسے نگران حکام کو خاطر خواہ جرمانے عائد کرنے کا اختیار ہے۔ یہ سزائیں موثر، متناسب اور منحرف ہونے کے لیے بنائی گئی ہیں، جو اس بات کی عکاسی کرتی ہیں کہ وہ خلاف ورزی کو کتنی سنجیدگی سے دیکھتے ہیں۔ سنگین خلاف ورزیوں کے لیے، جیسے کسی درست قانونی بنیاد کے بغیر خصوصی زمرے کے ڈیٹا پر کارروائی کرنا، جرمانے حیران کن ہو سکتے ہیں۔

تنظیموں کو €20 ملین تک جرمانے کا سامنا کرنا پڑ سکتا ہے یا پچھلے مالی سال سے ان کے کل عالمی سالانہ کاروبار کا 4% ، جو بھی زیادہ ہو۔ یہ دو سطحی نظام اس بات کو یقینی بناتا ہے کہ جرمانے کا اثر سب سے بڑی عالمی کارپوریشنز پر بھی پڑے۔

ریگولیٹرز کا پیغام بالکل واضح ہے: بائیو میٹرک ڈیٹا کو غلط طریقے سے ہینڈل کرنا ڈیٹا پروٹیکشن قانون کی سب سے سنگین خلاف ورزیوں میں سے ایک ہے۔ مالی جرمانے اس بات کو یقینی بنانے کے لیے بنائے گئے ہیں کہ عدم تعمیل کسی بھی کاروبار کے لیے مالی طور پر قابل عمل آپشن نہیں ہے، چاہے اس کا سائز کچھ بھی ہو۔

نیدرلینڈز اور یورپی یونین میں ہائی پروفائل نفاذ

ڈچ اے پی اور اس کے یورپی ہم منصبوں کے حالیہ اقدامات سے ظاہر ہوتا ہے کہ یہ خالی خطرات نہیں ہیں۔ حکام سرگرمی سے تحقیقات کر رہے ہیں اور ان تنظیموں کو سزا دے رہے ہیں جو اپنی ذمہ داریوں کو پورا کرنے میں ناکام رہیں۔ ڈچ اتھارٹی کے مخصوص کردار اور اختیارات کے بارے میں مزید معلومات کے لیے، آپ ڈچ ڈیٹا پروٹیکشن اتھارٹی پر ہمارا تفصیلی مضمون پڑھ سکتے ہیں ۔

اس کی ایک طاقتور مثال Clearview AI کے خلاف حالیہ کارروائی ہے۔ 3 ستمبر 2024 کو، ڈچ اے پی نے امریکی چہرے کی شناخت کرنے والی کمپنی کے خلاف ڈیٹا اکٹھا کرنے کے غیر قانونی طریقوں پر 30.5 ملین یورو جرمانہ عائد کیا۔ یہ کیس بغیر کسی قانونی بنیاد کے بائیو میٹرک معلومات پر کارروائی کرنے کے اہم مالی نتائج کو گھیر دیتا ہے۔ یہ پورے EU میں ایک وسیع تر رجحان کا حصہ ہے، جہاں ڈیٹا پروٹیکشن حکام نے بلین یورو کے جرمانے عائد کیے ہیں۔ سب سے عام اور مہنگی خلاف ورزی؟ ناکافی قانونی بنیاد۔ آپ سب سے بڑے GDPR جرمانے اور ان کی وجوہات کے بارے میں مزید دریافت کر سکتے ہیں ۔

مالی جرمانے سے آگے

جی ڈی پی آر کی خلاف ورزی کے نتائج ابتدائی جرمانے سے کہیں زیادہ ہیں۔ شہرت کو پہنچنے والا نقصان اس سے بھی زیادہ مہنگا اور دیرپا ہوسکتا ہے۔ ایک عوامی نفاذ کی کارروائی گاہکوں، شراکت داروں اور عوام کے اعتماد کے ایک اہم نقصان کا باعث بن سکتی ہے۔

دیگر ممکنہ نتائج میں شامل ہیں:

• اصلاحی احکامات: AP آپ کو اہم کاروباری کارروائیوں کو روکنے پر مجبور کرتے ہوئے ڈیٹا پر کارروائی روکنے کا حکم دے سکتا ہے۔
• ڈیٹا ڈیلیٹ کرنے کا حکم: آپ کو تمام غلط طریقے سے جمع کیے گئے بائیو میٹرک ڈیٹا کو مٹانے کی ضرورت پڑ سکتی ہے۔
• دیوانی قانونی چارہ جوئی: متاثرہ افراد کو نقصانات کے لیے معاوضہ طلب کرنے کا حق ہے، جس سے طبقاتی کارروائی کے مقدمات کا دروازہ کھل جاتا ہے۔

بالآخر، نیدرلینڈز میں نفاذ کا منظر نامہ مضبوط ہے۔ ڈچ اے پی نے ظاہر کیا ہے کہ وہ افراد کے انتہائی حساس ڈیٹا کی حفاظت کے لیے اپنے مکمل اختیارات استعمال کرنے سے دریغ نہیں کرے گا۔ یہ مستعد بائیو میٹرک ڈیٹا GDPR کی تعمیل کو ایک ضروری کاروباری ترجیح بناتا ہے۔

اپنا بائیو میٹرک ڈیٹا بریچ ریسپانس پلان بنانا

جب بائیو میٹرک ڈیٹا سے سمجھوتہ کیا جاتا ہے، تو یہ صرف ایک اور IT مسئلہ نہیں ہے۔ یہ ایک مکمل بحران ہے. آپ صرف فنگر پرنٹ یا ایرس اسکین کو 'ری سیٹ' نہیں کر سکتے جیسے آپ پاس ورڈ کرتے ہیں۔ آپ کی تنظیم ان ابتدائی چند گھنٹوں میں کیسے کام کرتی ہے، نہ صرف نقصان کو محدود کرنے کے لیے بلکہ ریگولیٹرز کو یہ دکھانے کے لیے کہ آپ جوابدہ ہیں۔

یہی وجہ ہے کہ بائیو میٹرک ڈیٹا کے لیے خاص طور پر ایک مضبوط، پہلے سے تیار شدہ واقعے کے ردعمل کا منصوبہ صرف ایک اچھا خیال نہیں ہے — یہ ضروری ہے۔ جس لمحے آپ کو خلاف ورزی کا علم ہوتا ہے، گھڑی ٹک ٹک کرنے لگتی ہے۔

72 گھنٹے کی اطلاع کی آخری تاریخ

جی ڈی پی آر کے تحت، آپ کے پاس 72 گھنٹے کی سخت ونڈو ہے کہ آپ کو ذاتی ڈیٹا کی خلاف ورزی کا پتہ چلنے کے بعد اس کی اطلاع اپنے سپروائزری اتھارٹی کو دیں۔ نیدرلینڈز میں کام کرنے والے کسی بھی کاروبار کے لیے، اس کا مطلب ڈچ ڈیٹا پروٹیکشن اتھارٹی (Autoriteit Personsgegevens، یا AP) کو مطلع کرنا ہے۔

72 گھنٹے زیادہ وقت نہیں ہے، یہی وجہ ہے کہ پہلے سے منصوبہ بند ردعمل بہت ضروری ہے۔ آپ کی اطلاع میں خلاف ورزی کی نوعیت، ڈیٹا کی اقسام اور متاثرہ افراد کی تخمینی تعداد، اور ممکنہ نتائج کی تفصیل ہونی چاہیے۔ آپ کو ان اقدامات کی بھی وضاحت کرنی ہوگی جو آپ پہلے ہی اٹھا چکے ہیں یا لینے کا ارادہ رکھتے ہیں۔

مرحلہ 1: خلاف ورزی پر مشتمل ہوں اور اثر کا اندازہ لگائیں۔

آپ کی فوری ترجیح خون کو روکنا ہے۔ یہ آپ کی IT سیکیورٹی اور قانونی ٹیموں کے درمیان ایک مربوط کوشش کا مطالبہ کرتا ہے تاکہ خطرے پر قابو پایا جا سکے اور یہ معلوم کیا جا سکے کہ کیا ہوا ہے۔

• الگ تھلگ متاثرہ نظام: مزید غیر مجاز رسائی یا ڈیٹا کے اخراج کو روکنے کے لیے سمجھوتہ کرنے والے سسٹمز کو فوری طور پر آف لائن کریں۔
• ثبوت محفوظ کریں: تمام نوشتہ جات اور ڈیجیٹل ثبوت کو محفوظ بنائیں۔ یہ ایک مناسب فرانزک تفتیش اور آپ کی ریگولیٹری رپورٹنگ کے لیے اہم ہے۔
• ڈیٹا کی شناخت کریں: بایو میٹرک ڈیٹا کس چیز سے متاثر ہوا اس کے بارے میں وضاحت کریں۔ کیا یہ خام تصاویر تھیں یا انکرپٹڈ ٹیمپلیٹس؟ ملوث افراد کون ہیں؟

مرحلہ 2: تعین کریں کہ آیا آپ کو افراد کو مطلع کرنا چاہیے۔

ایک بار جب آپ خلاف ورزی کے دائرہ کار کو سمجھ لیتے ہیں، تو آپ کو ایک اور اہم فیصلے کا سامنا کرنا پڑتا ہے۔ GDPR آپ سے متاثرہ افراد کو براہ راست اور "بغیر کسی تاخیر کے" مطلع کرنے کا تقاضا کرتا ہے اگر خلاف ورزی کے نتیجے میں ان کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہو سکتا ہے۔

بائیو میٹرک ڈیٹا کے ساتھ، یہ 'ہائی رسک' حد تقریباً ہمیشہ پوری ہوتی ہے۔ خلاف ورزی ناقابل واپسی شناخت کی چوری، مالی فراڈ، یا دیگر اہم ذاتی نقصان کا باعث بن سکتی ہے۔ ڈچ اے پی نے ان اطلاعاتی تقاضوں کو تیزی سے سختی سے نافذ کرنے کا مظاہرہ کیا ہے۔ 2024 کے دوران، اتھارٹی کو 37,839 ذاتی ڈیٹا کی خلاف ورزی کی اطلاعات موصول ہوئیں، جن میں ایک قابل ذکر تعداد فالو اپ کارروائیوں کو متحرک کرتی ہے۔ ڈچ اے پی کا موقف اکثر یورپی یونین کے دیگر حکام سے ہٹ جاتا ہے، زیادہ تر خلاف ورزیوں کو زیادہ خطرہ کے طور پر دیکھتے ہیں اور اس وجہ سے متاثرہ افراد کو براہ راست اطلاع کی ضرورت ہوتی ہے۔ آپ ڈچ DPA کے ڈیٹا کی خلاف ورزیوں کے طریقہ کار کے بارے میں مزید بصیرتیں دریافت کر سکتے ہیں ۔

افراد کے لیے آپ کی اطلاع صاف اور سادہ زبان میں ہونی چاہیے۔ اسے یہ بتانا چاہیے کہ کیا ہوا، کون سی معلومات شامل تھی، اور وہ اپنے تحفظ کے لیے کیا اقدامات کر سکتے ہیں، جیسے کہ فشنگ کی کوششوں سے چوکنا رہنا۔

مرحلہ 3: اپنے جواب پر عمل درآمد اور دستاویز کریں۔

آپ کا جوابی منصوبہ ایک زندہ پلے بک ہونا چاہیے، نہ کہ ایسی دستاویز جو خاک کو اکٹھا کرے۔ جیسا کہ آپ منصوبہ پر عمل کرتے ہیں، ہر ایک کارروائی کی دستاویز کریں. یہ دستاویزات AP کے لیے آپ کا بنیادی ثبوت بن جائیں گی کہ آپ نے ذمہ داری اور تندہی سے کام کیا۔

اس میں دریافت کے لمحے سے ہر فیصلے، مواصلات، اور تکنیکی پیمائش کو لاگ کرنا شامل ہے۔ ایک اچھی طرح سے دستاویزی جواب نمایاں طور پر متاثر کر سکتا ہے کہ ریگولیٹرز آپ کی تنظیم کی مجموعی تعمیل کو کس طرح دیکھتے ہیں اور کسی بھی ممکنہ جرمانے کی شدت کو متاثر کر سکتے ہیں۔

بایومیٹرک ڈیٹا کی تعمیل پر عام سوالات

جب آپ نیدرلینڈز میں بایومیٹرکس کے استعمال کی عملیات پر اترتے ہیں تو بہت سے مخصوص سوالات سامنے آتے ہیں۔ اصولی طور پر قواعد کو سمجھنا ایک چیز ہے، لیکن حقیقی دنیا کے کاروباری منظرناموں پر ان کا اطلاق کرنا دوسری چیز ہے۔ ہم نے کچھ سب سے عام سوالات جمع کیے ہیں جو ہمارے کلائنٹس آپ کو کچھ وضاحت دینے کے لیے پوچھتے ہیں۔

کیا میں ملازمین سے بائیو میٹرک ٹائم کلاک استعمال کرنے کا مطالبہ کر سکتا ہوں؟

نیدرلینڈز میں تقریباً ہر صورت حال میں، جواب ایک فرم نہیں ہے ۔ ڈچ اے پی کا خیال ہے کہ آجر اور ملازم کے درمیان تعلقات میں طاقت کا موروثی عدم توازن ہے۔ اس کی وجہ سے، ملازم کی رضامندی کو 'آزادانہ طور پر دی گئی' نہیں سمجھا جا سکتا، جو اسے لازمی استعمال کے لیے ایک غلط قانونی بنیاد بناتا ہے۔

آگے بڑھنے کے لیے، آپ کو ایک زبردست اور مطلق ضرورت ثابت کرنی ہوگی جو کسی بھی کم ناگوار طریقہ سے پوری نہیں ہوسکتی۔ وقت سے باخبر رہنے کی طرح سیدھی چیز کو صاف کرنے کے لئے یہ ایک ناقابل یقین حد تک اونچی بار ہے، اور اس کے کامیاب ہونے کا امکان بہت کم ہے۔

کیا کمپنی کے فون کو غیر مقفل کرنے کے لیے چہرے کی شناخت کا استعمال جی ڈی پی آر کا خطرہ ہے؟

ہاں، یہ یقینی طور پر ایک GDPR خطرہ ہے اگر آپ اسے احتیاط سے منظم نہیں کرتے ہیں۔ اگرچہ یہ ایک آسان سہولت کی خصوصیت کی طرح محسوس ہو سکتا ہے، آپ ابھی بھی خصوصی زمرہ کے ڈیٹا پر کارروائی کر رہے ہیں۔

یہاں کی کلید وہ جگہ ہے جہاں ڈیٹا کو محفوظ کیا جاتا ہے۔ اگر چہرے کے سانچے کو صرف ڈیوائس پر ہی محفوظ طریقے سے رکھا جاتا ہے اور اسے کبھی بھی مرکزی کمپنی کے سرور پر نہیں بھیجا جاتا ہے، تو خطرہ نمایاں طور پر کم ہوتا ہے۔ اس کے باوجود، آپ کو اب بھی DPIA کو انجام دینا چاہیے، اپنے ملازم کے ساتھ اس کے کام کرنے کے بارے میں مکمل طور پر شفاف رہیں، اور ہمیشہ ایک غیر بائیو میٹرک متبادل پیش کریں، جیسے کہ ایک اچھا پرانے زمانے کا PIN یا پاس ورڈ۔

ایک ملازم کے جانے کے بعد ہم بایو میٹرک ڈیٹا کو کب تک قانونی طور پر اسٹور کر سکتے ہیں؟

آپ کو اس وقت اس سے چھٹکارا حاصل کرنا ہوگا جب اس کے اصل مقصد کے لیے اس کی مزید ضرورت نہیں ہے۔ رسائی کنٹرول سسٹم کے لیے، اس کا مطلب ہے کہ بایو میٹرک ٹیمپلیٹ کو ملازم کے آخری دن، یا اس کے بہت جلد بعد محفوظ طریقے سے اور مستقل طور پر حذف کر دیا جانا چاہیے۔

ملازمت کا رشتہ ختم ہونے کے بعد اس انتہائی حساس ڈیٹا کو تھامے رکھنے کی محض کوئی جائز وجہ نہیں ہے۔ ایک واضح، خود کار طریقے سے حذف کرنے کی پالیسی کا ہونا بائیو میٹرک ڈیٹا GDPR کی تعمیل کا ایک غیر گفت و شنید حصہ ہے ۔

At Law & More، ہماری ماہر قانونی ٹیم آپ کو ڈیٹا پروٹیکشن قانون کی پیچیدگیوں کو نیویگیٹ کرنے میں مدد کر سکتی ہے تاکہ یہ یقینی بنایا جا سکے کہ آپ کے کاروباری کام مکمل طور پر مطابقت رکھتے ہیں۔ اپنی مخصوص صورتحال کے بارے میں ذاتی مشورے کے لیے، ہمیں یہاں ملاحظہ کریں۔ https://lawandmore.eu.