نیدرلینڈز میں سائبرسیکیوریٹی اور ذمہ داری: ڈیٹا کی خلاف ورزی کی ذمہ داری کی وضاحت

ہالینڈ میں ڈیٹا کی خلاف ورزی ہر روز ہوتی ہے۔ جب وہ ایسا کرتے ہیں تو کسی کو ذمہ داری قبول کرنی ہوگی ۔

ڈچ قانون اور GDPR کے تحت، ذاتی ڈیٹا کو کنٹرول کرنے والی تنظیمیں بنیادی طور پر اس کی حفاظت کے لیے ذمہ دار ہیں اور خلاف ورزی ہونے پر اہم ذمہ داری کا سامنا کرنا پڑتا ہے۔ اگر آپ کے کاروبار کو سائبر حملے کا سامنا کرنا پڑتا ہے ، تو آپ کو €20 ملین یا آپ کے عالمی سالانہ ٹرن اوور کے 4% تک جرمانے کا سامنا کرنا پڑ سکتا ہے، اس پر منحصر ہے کہ کون سی رقم زیادہ ہے۔

یہ سمجھنا کہ ڈیٹا کی خلاف ورزی کے بعد کون ذمہ داری اٹھاتا ہے، نیدرلینڈز میں کام کرنے والی کسی بھی تنظیم کے لیے ضروری ہے۔ جواب ہمیشہ سیدھا نہیں ہوتا، کیونکہ ذمہ داری آپ کی کمپنی سے آگے بڑھ سکتی ہے تاکہ فریق ثالث کے خدمت فراہم کرنے والے، ملازمین، اور ڈیٹا پروسیسنگ میں شامل دیگر فریق شامل ہوں۔

ڈچ ڈیٹا پروٹیکشن اتھارٹی اور دیگر ریگولیٹرز اس بنیاد پر ذمہ داری کا تعین کرتے ہیں کہ بطور ڈیٹا کنٹرولر یا پروسیسر آپ کے کردار، آپ کے پاس موجود حفاظتی اقدامات اور آپ نے اس واقعے پر کتنی جلدی ردعمل ظاہر کیا۔

یہ مضمون نیدرلینڈز میں سائبرسیکیوریٹی کو کنٹرول کرنے والے قانونی فریم ورک کو توڑتا ہے اور بتاتا ہے کہ خلاف ورزی کے بعد کس طرح ذمہ داری تفویض کی جاتی ہے۔ آپ اپنی اطلاع کی ذمہ داریوں، عدم تعمیل کے لیے آپ کو کس جرمانے کا سامنا کرنا پڑتا ہے، اور آپ اپنی تنظیم کو سائبر حملوں اور قانونی نتائج دونوں سے بچانے کے لیے جو عملی اقدامات اٹھا سکتے ہیں اس کے بارے میں جانیں گے۔

سائبرسیکیوریٹی اور ڈیٹا پروٹیکشن کے لیے قانونی فریم ورک

نیدرلینڈز سائبر سیکیورٹی اور ڈیٹا پروٹیکشن قانون سازی کی متعدد پرتوں کے تحت کام کرتا ہے، جس میں یورپی یونین کے وسیع ضوابط کو قومی نفاذ کے قوانین کے ساتھ ملایا جاتا ہے۔ یہ قوانین ذاتی ڈیٹا کو سنبھالنے اور اہم بنیادی ڈھانچے کو چلانے والی تنظیموں کے لیے واضح ذمہ داریاں قائم کرتے ہیں۔

وہ مختلف شعبوں بشمول ٹیلی کمیونیکیشن، فنانس اور قانون نافذ کرنے والے اداروں کے لیے مخصوص تقاضے پیدا کرتے ہیں۔

جنرل ڈیٹا پروٹیکشن ریگولیشن (GDPR) اور ڈچ نفاذ

GDPR نیدرلینڈز سمیت EU میں ڈیٹا کے تحفظ کے بنیادی فریم ورک کے طور پر کام کرتا ہے ۔ یہ ذاتی ڈیٹا کی پروسیسنگ کے لیے جامع قوانین قائم کرتا ہے اور تنظیموں سے معلومات کی حفاظت کے لیے مناسب تکنیکی اور تنظیمی اقدامات کو نافذ کرنے کا مطالبہ کرتا ہے۔

نیدرلینڈز نے GDPR کو ڈچ GDPR نفاذ ایکٹ ( Uitvoeringswet AVG ) کے ذریعے نافذ کیا، جو EU کی ضروریات کو ڈچ قانون کے مطابق ڈھالتا ہے۔ یہ ایکٹ قومی حالات کے لیے مخصوص دفعات فراہم کرتا ہے جب کہ یورپی معیارات کے ساتھ ہم آہنگی برقرار رکھتے ہوئے

یہ ڈچ ڈیٹا پروٹیکشن اتھارٹی ( Autoriteit Persoonsgegevens ) کو نفاذ کے لیے ذمہ دار نگران ادارے کے طور پر نامزد کرتا ہے۔

GDPR کے تحت، آپ کو ڈیٹا کی خلاف ورزیوں کی اطلاع ان کے بارے میں آگاہ ہونے کے 72 گھنٹوں کے اندر سپروائزری اتھارٹی کو دینی چاہیے۔ جب خلاف ورزیوں سے افراد کے حقوق اور آزادیوں کو زیادہ خطرات لاحق ہوتے ہیں، تو آپ کو متاثرہ افراد کو بھی بلا ضرورت تاخیر کے مطلع کرنا چاہیے۔

نوٹیفکیشن کے یہ تقاضے نیدرلینڈز میں خلاف ورزی کی ذمہ داری کی بنیاد بناتے ہیں۔

Verzamelwet Gegevensbescherming (Collective Data Protection Act) مختلف ڈچ قوانین کو GDPR معیارات کے ساتھ ہم آہنگ کرنے کے لیے مزید بہتر کرتا ہے۔ یہ مختلف قانونی ڈومینز میں مستقل مزاجی کو یقینی بناتا ہے۔

سائبرسیکیوریٹی ایکٹ اور NIS2 ہدایت

NIS2 ڈائریکٹیو EU بھر میں ضروری اور اہم اداروں کے لیے سائبر سیکیورٹی کی ضروریات کو نمایاں طور پر بڑھاتا ہے۔ نیدرلینڈز اس ہدایت کو Cyberbeveiligingswet (ڈچ سائبرسیکیوریٹی ایکٹ) میں اپ ڈیٹس کے ذریعے نافذ کر رہا ہے، جس نے اصل میں NIS کی پہلی ہدایت کو منتقل کیا تھا۔

NIS2 احاطہ شدہ شعبوں کے دائرہ کار کو وسیع کرتا ہے اور سخت حفاظتی تقاضے، واقعہ کی اطلاع دینے کی ذمہ داریاں، اور انتظامی جوابدہی کی دفعات متعارف کراتا ہے۔ آپ کو خطرے کے انتظام کے مخصوص اقدامات کو لاگو کرنا چاہیے اور ان سے آگاہ ہونے کے 24 گھنٹوں کے اندر اہم واقعات کی اطلاع دینی چاہیے۔

نیٹ ورک اینڈ انفارمیشن سسٹم سیکیورٹی ایکٹ اور اس کے ساتھ نیٹ ورک اینڈ انفارمیشن سسٹم سیکیورٹی فرمان ضروری خدمات کے آپریٹرز اور ڈیجیٹل سروس فراہم کرنے والوں کے لیے تفصیلی تقاضے قائم کرتا ہے۔ یہ قوانین بنیادی حفاظتی اقدامات، باقاعدہ آڈٹ اور قومی سائبر سیکیورٹی حکام کے ساتھ ہم آہنگی کو لازمی قرار دیتے ہیں۔

قانون سازی مختلف شعبوں کے لیے مخصوص مجاز حکام کو نامزد کرتی ہے۔ یہ سائبرسیکیوریٹی طریقوں کی خصوصی نگرانی کو یقینی بناتا ہے۔

دیگر متعلقہ قوانین اور ہدایات

EU ePrivacy Directive GDPR کی تکمیل الیکٹرانک کمیونیکیشنز پرائیویسی سے کرتا ہے۔ اسے کوکیز اور اسی طرح کی ٹیکنالوجیز کے لیے رضامندی درکار ہوتی ہے، اور مواصلاتی ڈیٹا کی رازداری کی حفاظت کرتا ہے۔

ٹیلی کمیونیکیشن ایکٹ ( Telecommunicatiewet ) ٹیلی کام فراہم کنندگان پر مخصوص حفاظتی ذمہ داریاں عائد کرتا ہے، بشمول نیٹ ورک کی سالمیت اور صارف کے ڈیٹا کی حفاظت کے تقاضے۔ یہ ایکٹ ڈیٹا کے تحفظ کے قوانین کے ساتھ کام کرتا ہے تاکہ مواصلات کے شعبے میں جامع تحفظ کو یقینی بنایا جا سکے۔

کریٹیکل اینٹیٹیز ریزیلینس ایکٹ (CRA) عوامی تحفظ اور معاشی استحکام کے لیے اہم سمجھے جانے والے اداروں کے لیے جسمانی اور سائبر سیکیورٹی کے تقاضوں کو مضبوط کرتا ہے۔ اس کے لیے معیاری سائبرسیکیوریٹی دفعات سے ہٹ کر خطرے کی تشخیص اور لچک کے اقدامات کی ضرورت ہے۔

یہ فریم ورک اوور لیپنگ ذمہ داریاں بناتے ہیں۔ متعدد شعبوں میں کام کرتے وقت یا مختلف قسم کے ڈیٹا کو سنبھالتے وقت آپ کو ان پر نیویگیٹ کرنا چاہیے۔

سیکٹر کے لیے مخصوص ضوابط

مالیاتی نگرانی کا ایکٹ ( Wet op het financieel toezicht ) مالیاتی اداروں کے لیے سخت سائبر سیکیورٹی اور ڈیٹا کے تحفظ کے تقاضے قائم کرتا ہے۔ مالیاتی شعبے میں کام کرتے وقت آپ کو مضبوط حفاظتی کنٹرول، واقعہ کے ردعمل کے طریقہ کار، اور باقاعدہ جانچ کے پروٹوکول کو لاگو کرنا چاہیے۔

قانون نافذ کرنے والے اداروں کو پولیس ڈیٹا ایکٹ ( Wet politiegegevens ) اور Wet justitiële en strafvorderlijke gegevens (عدالتی اور فوجداری پروسیجر ڈیٹا ایکٹ) کے تحت خصوصی تقاضوں کا سامنا کرنا پڑتا ہے۔ یہ قوانین اس بات پر حکمرانی کرتے ہیں کہ پولیس اور عدالتی حکام تفتیش اور فوجداری کارروائی کے دوران ذاتی ڈیٹا کو کیسے اکٹھا کرتے ہیں، اس پر کارروائی کرتے ہیں اور ان کی حفاظت کرتے ہیں۔

صحت کی دیکھ بھال فراہم کرنے والوں کو GDPR کے معیاری تقاضوں سے ہٹ کر اضافی رازداری کے تحفظات کی تعمیل کرنی چاہیے۔ یہ طبی معلومات کی حساس نوعیت کی عکاسی کرتا ہے۔

توانائی، نقل و حمل اور پانی کے شعبوں کو NIS2 کے نفاذ کے تحت مخصوص ذمہ داریوں کا سامنا ہے، ان کے آپریشنل خطرات کے لیے موزوں حفاظتی اقدامات کے ساتھ۔

ہر شعبے کے لیے مخصوص ضابطہ تعمیل کے منفرد بوجھ عائد کرتا ہے۔ یہ شناخت کرنا ضروری ہے کہ آپ کی تنظیم کی مخصوص سرگرمیوں اور ڈیٹا پروسیسنگ آپریشنز پر کون سے قوانین لاگو ہوتے ہیں۔

ڈیٹا کی خلاف ورزی کے بعد ذمہ داری تفویض کرنا

نیدرلینڈز میں، ڈیٹا کی خلاف ورزی کی ذمہ داری کا انحصار ذاتی ڈیٹا پر کارروائی کرنے میں آپ کے کردار، آپ کے نافذ کردہ حفاظتی اقدامات ، اور آیا آپ نے رپورٹنگ کے تقاضوں پر عمل کیا ہے۔ ڈچ ڈیٹا پروٹیکشن اتھارٹی اور دیگر نگران ادارے GDPR اور قومی سائبر سیکیورٹی قوانین کے تحت قانونی ذمہ داریوں کی بنیاد پر ذمہ داری کا تعین کرتے ہیں۔

ذمہ داری کی وضاحت: کنٹرولرز، پروسیسرز، اور تیسرے فریق

ذاتی ڈیٹا کی خلاف ورزی کے بعد آپ کی ذمہ داری اس بات پر منحصر ہے کہ آیا آپ ڈیٹا کنٹرولر یا پروسیسر کے طور پر کام کرتے ہیں۔ کنٹرولرز فیصلہ کرتے ہیں کہ ذاتی ڈیٹا پر کیسے اور کیوں کارروائی کی جاتی ہے، جس سے وہ بنیادی طور پر سیکیورٹی کے واقعات کے لیے ذمہ دار ہوتے ہیں۔

پروسیسرز کنٹرولرز کی جانب سے ڈیٹا کو ہینڈل کرتے ہیں اور اگر وہ ہدایات سے تجاوز کرتے ہیں یا مناسب حفاظتی اقدامات کو نافذ کرنے میں ناکام رہتے ہیں تو انہیں ذمہ داری کا سامنا کرنا پڑتا ہے۔

تیسرے فریق جیسے ڈیجیٹل سروس فراہم کرنے والے الگ الگ ذمہ داریاں نبھاتے ہیں۔ اگر آپ بیرونی سپلائرز کا استعمال کرتے ہیں، تو آپ ان کے اعمال کے لیے جوابدہ رہتے ہیں جب وہ آپ کی جانب سے ڈیٹا پر کارروائی کرتے ہیں۔

آپ کے معاہدوں میں سیکیورٹی کی ذمہ داریوں اور واقعے سے نمٹنے کے طریقہ کار کی وضاحت ہونی چاہیے۔

جب متعدد جماعتیں شامل ہوں تو ذمہ داری کا اشتراک کیا جا سکتا ہے۔ اگر آپ اور آپ کا پروسیسر دونوں تکنیکی اور تنظیمی اقدامات کو نافذ کرنے میں ناکام رہتے ہیں، تو آپ دونوں کو Autoriteit Personsgegevens سے جرمانے کا سامنا کرنا پڑ سکتا ہے۔

سپروائزری اتھارٹی ذمہ داری تفویض کرنے کے لیے خلاف ورزی میں ہر فریق کے کردار کا جائزہ لیتی ہے۔

سپروائزری اتھارٹیز اور ریگولیٹری رولز

Autoriteit Personsgegevens GDPR تعمیل کو نافذ کرنے کے لیے ذمہ دار ڈچ ڈیٹا پروٹیکشن اتھارٹی کے طور پر کام کرتا ہے۔ آپ کو واقعہ سے آگاہ ہونے کے 72 گھنٹوں کے اندر اس نگران اتھارٹی کو ذاتی ڈیٹا کی خلاف ورزیوں کی اطلاع دینی چاہیے۔

واقعہ کی اطلاع دینے کی آخری تاریخ کو پورا کرنے میں ناکامی آپ کی ذمہ داری کو بڑھا دیتی ہے۔

نیشنل سائبر سیکیورٹی سینٹر (NCSC) سائبر سیکیورٹی کے وسیع تر خطرات سے نمٹتا ہے جو ضروری خدمات کے آپریٹرز کو متاثر کرتے ہیں۔ اگر آپ اہم بنیادی ڈھانچہ یا ڈیجیٹل خدمات فراہم کرتے ہیں، تو آپ کو NCSC کو اہم حفاظتی واقعات کی اطلاع بھی دینی چاہیے۔

یہ رپورٹس سائبر خطرات کے خلاف قومی ردعمل کو مربوط کرنے میں مدد کرتی ہیں۔

دونوں حکام سکیورٹی کے واقعات کے بعد تحقیقات کر رہے ہیں۔ Autoriteit Personsgegevens €20 ملین یا آپ کے سالانہ عالمی کاروبار کا 4%، جو بھی زیادہ ہو، جرمانہ جاری کر سکتا ہے۔

وہ خلاف ورزی کی نوعیت، متاثرہ افراد کی تعداد، اور آپ کے جوابی اقدامات جیسے عوامل پر غور کرتے ہیں۔

ENISA کے رہنما خطوط اس بات پر اثر انداز ہوتے ہیں کہ ڈچ حکام سائبر سیکیورٹی کے تقاضوں کے ساتھ آپ کی تعمیل کا اندازہ کیسے لگاتے ہیں۔

تنظیمی اور تکنیکی اقدامات

آپ کے تکنیکی اور تنظیمی اقدامات کا نفاذ براہ راست ذمہ داری کے تعین کو متاثر کرتا ہے۔ ان اقدامات میں خفیہ کاری، رسائی کے کنٹرول، باقاعدہ سیکیورٹی ٹیسٹنگ، اور عملے کی تربیت شامل ہیں۔

عدالتیں اور نگران اتھارٹی اس بات کا جائزہ لیتے ہیں کہ آیا آپ کی سیکیورٹی اس میں شامل خطرات کے لیے مناسب تھی۔

آپ کو اپنے حفاظتی اقدامات کو دستاویز کرنا چاہیے اور کاروباری تسلسل کی منصوبہ بندی کا مظاہرہ کرنا چاہیے۔ اگر آپ مناسب احتیاطی تدابیر کو ثابت نہیں کر سکتے ہیں، تو ذمہ داری کافی بڑھ جاتی ہے۔

باقاعدگی سے خطرے کے جائزے آپ کو خلاف ورزی ہونے سے پہلے کمزوریوں کی نشاندہی کرنے میں مدد کرتے ہیں۔

واقعات سے نمٹنے کے طریقہ کار اہم ہیں۔ آپ کو ذاتی ڈیٹا کی خلاف ورزیوں کا پتہ لگانے، تفتیش کرنے اور جواب دینے کے لیے واضح پروٹوکول کی ضرورت ہے۔

آپ کے ردعمل کا وقت اور حفاظتی واقعات پر مشتمل ہونے کی تاثیر جرمانے کے فیصلوں کو متاثر کرتی ہے۔

Autoriteit Personsgegevens آپ سے توقع کرتا ہے کہ آپ اپنے حفاظتی فریم ورک کے ثبوت کو برقرار رکھیں گے۔ مناسب دستاویزات کے بغیر، تفتیش کے دوران مناسب دیکھ بھال کو ثابت کرنا مشکل ہو جاتا ہے۔

سپلائی چین اور سروس فراہم کرنے والوں کا اثر

سپلائی چین سیکیورٹی پیچیدہ ذمہ داری کے مسائل پیدا کرتی ہے۔ جب آپ کے سروس فراہم کرنے والے آپ کے ڈیٹا کو متاثر کرنے والی خلاف ورزیوں کا تجربہ کرتے ہیں، تب بھی آپ کو نتائج کا سامنا کرنا پڑ سکتا ہے۔

آپ کو سپلائی کرنے والوں پر مستعدی سے کام لینا چاہیے اور ان کے حفاظتی طریقوں کی مسلسل نگرانی کرنی چاہیے۔

ضروری خدمات کے آپریٹرز کو وینڈر مینجمنٹ کے لیے سخت تقاضوں کا سامنا کرنا پڑتا ہے۔ آپ کو یہ یقینی بنانا چاہیے کہ آپ کی سپلائی چین میں ڈیجیٹل سروس فراہم کرنے والے آپ کی اپنی ذمہ داریوں کے مطابق معیارات برقرار رکھیں۔

معاہدے کے معاہدوں کو واقعے کی رپورٹنگ کے فرائض اور ذمہ داری کی تقسیم کی واضح طور پر وضاحت کرنی چاہیے۔

اگر خلاف ورزی آپ کی سپلائی چین سے شروع ہوتی ہے، تو Autoriteit Personsgegevens اس بات کی جانچ کرتا ہے کہ آیا آپ نے وینڈر کے مناسب جائزے انجام دیے ہیں۔ آپ کی ذمہ داری اس بات پر منحصر ہے کہ آیا آپ نے سپلائر سیکیورٹی کی تصدیق کے لیے معقول اقدامات کیے ہیں۔

تیسری پارٹی کے پروسیسرز کا استعمال کرتے ہوئے بھی آپ مکمل طور پر ذمہ داری نہیں سونپ سکتے۔

کثیر درجے کی سپلائی چینز کو اضافی چوکسی کی ضرورت ہوتی ہے۔ آپ کو ذیلی پروسیسرز میں مرئیت اور ان کے حفاظتی اقدامات کی ضرورت ہوتی ہے تاکہ جھڑپوں کی ناکامیوں سے بچایا جا سکے جو متعدد تنظیموں میں ذاتی ڈیٹا سے سمجھوتہ کرتے ہیں۔

ڈیٹا کی خلاف ورزی کی اطلاع کی ذمہ داریاں

نیدرلینڈز GDPR اور قومی سائبر سیکیورٹی قوانین کے تحت ایک کثیر سطحی نوٹیفکیشن فریم ورک کو نافذ کرتا ہے۔ کنٹرولرز کو 72 گھنٹوں کے اندر پرسنل ڈیٹا اتھارٹی (PDA) کو خلاف ورزیوں کی اطلاع دینی چاہیے جب ڈیٹا کے موضوع کے حقوق کو خطرہ ہو ۔

زیادہ خطرے کی خلاف ورزیوں کے لیے متاثرہ افراد کو براہ راست اطلاع کی ضرورت ہوتی ہے۔

ٹائم لائنز اور طریقہ کار کے تقاضے

آپ کو بلا ضرورت تاخیر کے PDA کو مطلع کرنا چاہیے اور جہاں ممکن ہو، ذاتی ڈیٹا کی خلاف ورزی سے آگاہ ہونے کے 72 گھنٹے بعد نہیں۔ یہ ذمہ داری لاگو ہوتی ہے جب تک کہ خلاف ورزی کے نتیجے میں قدرتی افراد کے حقوق اور آزادیوں کو خطرہ نہ ہو۔

نوٹیفکیشن میں جہاں ممکن ہو مخصوص معلومات شامل ہونی چاہیے۔ آپ کو متعلقہ ڈیٹا مضامین کے زمرے اور تخمینی تعداد فراہم کرنے کی ضرورت ہے، زمرہ جات اور متاثر ہونے والے ذاتی ڈیٹا ریکارڈز کی تخمینی تعداد، اور اپنے ڈیٹا پروٹیکشن آفیسر یا دوسرے رابطہ پوائنٹ کا نام۔

آپ کو خلاف ورزی کے ممکنہ نتائج اور اس سے نمٹنے کے لیے اٹھائے گئے یا تجویز کیے گئے اقدامات کو بھی بیان کرنا چاہیے۔

اگر آپ 72 گھنٹے کی ونڈو میں تمام مطلوبہ معلومات فراہم نہیں کر سکتے ہیں، تو آپ اسے مرحلہ وار جمع کر سکتے ہیں۔ آپ کو اپنی ابتدائی اطلاع میں کسی بھی تاخیر کی وجوہات کی وضاحت کرنی چاہیے۔

کس کو مطلع کیا جانا چاہئے اور کب

آپ کو متاثرہ ڈیٹا کے مضامین کو براہ راست مطلع کرنا چاہیے جب ذاتی ڈیٹا کی خلاف ورزی کے نتیجے میں ان کے حقوق اور آزادیوں کو زیادہ خطرہ ہو سکتا ہے۔ یہ نوٹیفکیشن بغیر کسی تاخیر کے ہونا چاہیے اور صاف اور سادہ زبان استعمال کرنا چاہیے۔

تین مخصوص حالات میں ڈیٹا کے مضامین کو براہ راست اطلاع کی ضرورت نہیں ہے۔ آپ کو مطلع کرنے کی ضرورت نہیں ہے اگر آپ نے مناسب تکنیکی اور تنظیمی تحفظ کے اقدامات (جیسے خفیہ کاری) کو نافذ کیا ہے جو غیر مجاز افراد کو ڈیٹا کو ناقابل فہم بنا دیتے ہیں۔

آپ کو یہ بھی مطلع کرنے کی ضرورت نہیں ہے کہ اگر آپ نے اس بات کو یقینی بنانے کے بعد کے اقدامات کیے ہیں کہ ڈیٹا کے موضوع کے حقوق کو زیادہ خطرہ لاحق ہونے کا امکان نہیں ہے، یا اگر براہ راست مواصلت میں غیر متناسب کوششیں شامل ہوں گی۔ اس طرح کے معاملات میں اس کے بجائے عوامی رابطہ یا اسی طرح کے اقدامات کی ضرورت ہوتی ہے۔

مالیاتی نگرانی ایکٹ کے تحت مالیاتی کمپنیاں ڈیٹا سبجیکٹ نوٹیفکیشن کی ذمہ داری سے مستثنیٰ ہیں۔ انہیں اب بھی PDA کو رپورٹ کرنا ہوگی۔

پروسیسرز کی الگ الگ ذمہ داریاں ہیں۔ خطرے کی سطح سے قطع نظر، کسی بھی ذاتی ڈیٹا کی خلاف ورزی کے بارے میں آگاہ ہونے کے بعد آپ کو بغیر کسی تاخیر کے کنٹرولر کو مطلع کرنا چاہیے۔

یہ دونوں GDPR کے تحت ایک قانونی ضرورت ہے اور اسے آپ کے پروسیسنگ معاہدے میں شامل کیا جانا چاہیے۔

سیکٹرل اور نیشنل نوٹیفکیشن کے تقاضے

GDPR کی ذمہ داریوں کے علاوہ، آپ کو اپنے شعبے کے لحاظ سے رپورٹنگ کے اضافی تقاضوں کا سامنا کرنا پڑ سکتا ہے۔ WBNI (نیٹ ورک اینڈ انفارمیشن سسٹمز سیکیورٹی ایکٹ) کچھ اداروں سے سائبر سیکیورٹی حکام کو سیکیورٹی کے واقعات کی اطلاع دینے کا تقاضا کرتا ہے، یہاں تک کہ جب یہ واقعات ذاتی ڈیٹا کی خلاف ورزی کے اہل نہ ہوں۔

پبلک الیکٹرانک کمیونیکیشن نیٹ ورکس کے فراہم کنندگان کو انسانی ماحولیات اور نقل و حمل کے لیے معائنہ کار کو رپورٹ کرنا چاہیے۔ صحت کی دیکھ بھال کرنے والی تنظیموں کو طبی آلات کی حفاظت یا مریضوں کے ڈیٹا کو متاثر کرنے والے واقعات کے بارے میں ہیلتھ اینڈ یوتھ کیئر انسپکٹوریٹ کو مطلع کرنے کی ذمہ داریوں کا سامنا کرنا پڑتا ہے۔

مالیاتی خدمات کی فرموں کو مالی نگرانی کی قانون سازی کے تحت سیکٹر کے مخصوص تقاضوں کی تعمیل کرنی چاہیے۔

اہم بنیادی ڈھانچہ فراہم کرنے والوں نے ڈبلیو بی این آئی کے تحت ذمہ داریوں کو بڑھا دیا ہے۔ آپ کو ایسے اہم واقعات کی رپورٹ کمپیوٹر سیکیورٹی انسیڈینٹ ریسپانس ٹیم (CSIRT) کو کرنی چاہیے جو ضروری خدمات میں کافی حد تک خلل ڈال سکتے ہیں۔

عوامی کمپنیوں کو حفاظتی واقعات کو مطلع کرنے کی ضرورت ہو سکتی ہے جو سرمایہ کاروں کے فیصلوں کو مادی طور پر متاثر کر سکتے ہیں۔

یہ سیکٹرل تقاضے اکثر جی ڈی پی آر کی ذمہ داریوں کے ساتھ کام کرتے ہیں بجائے اس کے کہ ان کو تبدیل کیا جائے۔ آپ کی تنظیم کی سرگرمیوں اور خلاف ورزی کی نوعیت کے لحاظ سے، آپ کو ایک ہی واقعے کے لیے مختلف حکام کو متعدد اطلاعات دینے کی ضرورت پڑ سکتی ہے۔

نفاذ اور عدم تعمیل پر پابندیاں

ڈچ حکام کے پاس سائبر سیکیورٹی کی ناکامیوں کی تحقیقات کرنے اور ان تنظیموں پر خاطر خواہ مالی جرمانے عائد کرنے کے واضح اختیارات ہیں جو ذاتی ڈیٹا کی حفاظت میں ناکام رہتی ہیں یا سیکیورٹی کے تقاضوں کو پورا کرتی ہیں۔

نفاذ کے فریم ورک میں نگرانی کی مخصوص ذمہ داریوں کے ساتھ متعدد ریگولیٹرز، تشکیل شدہ جرمانے کی اسکیمیں، اور پابندیوں کا سامنا کرنے والی تنظیموں کے لیے اپیل کے متعین طریقہ کار شامل ہیں۔

تفتیش اور نگرانی کے اختیارات

ڈچ ڈیٹا پروٹیکشن اتھارٹی (Autoriteit Personsgegevens، یا AP) ڈیٹا کی خلاف ورزیوں اور GDPR کی خلاف ورزیوں کی تحقیقات کی بنیادی ذمہ داری رکھتی ہے۔

اے پی شکایات، میڈیا رپورٹس، یا روٹین آڈٹ کی بنیاد پر تحقیقات شروع کر سکتا ہے۔

تحقیقات کے دوران، اتھارٹی دستاویزات کی درخواست کر سکتی ہے، سائٹ پر معائنہ کر سکتی ہے، اور عملے کے ارکان کے انٹرویو کر سکتی ہے۔

سائبرسیکیوریٹی کی ذمہ داریوں کے لیے نئے سائبربیویلیگنگسوٹ کے تحت، سیکٹر کے لیے مخصوص ریگولیٹرز نگرانی کرتے ہیں۔

اتھارٹی برائے صارفین اور مارکیٹس (ACM) ڈیجیٹل انفراسٹرکچر اور ٹیلی کمیونیکیشن فراہم کرنے والوں کی نگرانی کرتی ہے۔

ڈچ سینٹرل بینک (DNB) مالیاتی اداروں کی نگرانی کرتا ہے۔

اقتصادی امور اور آب و ہوا کے وزیر، انفراسٹرکچر اور پانی کے انتظام کے وزیر، اور صحت کی دیکھ بھال کے وزیر ہر ایک کے پاس اپنے اپنے شعبوں میں نفاذ کے اختیارات ہیں۔

یہ ریگولیٹرز آپ کے سسٹمز کا آڈٹ کر سکتے ہیں، واقعے کے ردعمل کے طریقہ کار کا جائزہ لے سکتے ہیں، اور یہ اندازہ لگا سکتے ہیں کہ آیا آپ کا رسک مینجمنٹ قانونی معیارات پر پورا اترتا ہے۔

اگر خلاف ورزیاں پائی جاتی ہیں تو وہ آپ کی تنظیم سے نفاذ کے اخراجات بھی وصول کر سکتے ہیں۔

نیشنل سائبر سیکورٹی سنٹرم (NCSC) ریگولیٹرز کے درمیان رابطہ قائم کرتا ہے لیکن براہ راست جرمانے عائد نہیں کرتا ہے۔

انتظامی اور مالی جرمانے

قانونی فریم ورک اور خلاف ورزیوں کی شدت کی بنیاد پر مالی جرمانے مختلف ہوتے ہیں۔

GDPR نفاذ کے تحت، AP €20 ملین یا آپ کے سالانہ عالمی کاروبار کا 4%، جو بھی زیادہ ہو، جرمانہ عائد کر سکتا ہے۔

اتھارٹی خلاف ورزی کی نوعیت، متاثرہ افراد کی تعداد، اور تحقیقات کے دوران آپ کے تعاون جیسے عوامل پر غور کرتی ہے۔

Cyberbeveiligingswet کے تحت، جرمانے ایک ٹائرڈ ڈھانچے کی پیروی کرتے ہیں:

ریگولیٹرز اصلاحی احکامات بھی جاری کر سکتے ہیں جس کے لیے آپ کو مقررہ مدت کے اندر مخصوص حفاظتی اقدامات پر عمل درآمد کرنے کی ضرورت ہوتی ہے۔

بار بار ناکامیوں کے نتیجے میں خلاف ورزیوں کے عوامی انکشاف کے ذریعے نام اور شرمندگی پیدا ہو سکتی ہے۔

ضروری اداروں کے طور پر درجہ بند تنظیموں کے ڈائریکٹرز کو سنگین معاملات میں بورڈ کے عہدوں سے ذاتی نااہلی کا سامنا کرنا پڑ سکتا ہے۔

پبلک سیکٹر کی تنظیمیں مالی جرمانے سے مستثنیٰ ہیں لیکن انہیں اصلاحی نفاذ کے اقدامات اور ممکنہ پارلیمانی جانچ پڑتال کا سامنا کرنا پڑتا ہے۔

قانونی چارہ جوئی اور اپیلیں۔

آپ کو انتظامی اپیلوں کے ذریعے نفاذ کے فیصلوں کو چیلنج کرنے کا حق ہے ۔

جرمانے کا نوٹس موصول ہونے کے بعد، آپ چھ ہفتوں کے اندر جاری کرنے والی اتھارٹی کو اعتراض (bezwaar) جمع کرا سکتے ہیں۔

ریگولیٹر کو اپنے فیصلے پر دوبارہ غور کرنا چاہیے اور باضابطہ جواب دینا چاہیے۔

اگر آپ نظر ثانی کے نتائج سے متفق نہیں ہیں، تو آپ ڈسٹرکٹ کورٹ (rechtbank) میں اپیل کر سکتے ہیں۔

عدالت جائزہ لیتی ہے کہ آیا ریگولیٹر نے مناسب طریقہ کار کی پیروی کی اور قانون کو درست طریقے سے لاگو کیا۔

اس کے بعد آپ عدالتی فیصلوں کے خلاف کونسل آف اسٹیٹ (Afdeling bestuursrechtspraak van de Raad van State) کے انتظامی دائرہ اختیار کے ڈویژن میں اپیل کر سکتے ہیں، جو اعلیٰ ترین انتظامی عدالت کے طور پر کام کرتی ہے۔

اپیل کے پورے عمل کے دوران، آپ کو ریگولیٹرز کے حکم کردہ کسی بھی اصلاحی اقدامات پر عمل درآمد جاری رکھنا چاہیے۔

عدالتیں اپیل کے نتائج تک مالی جرمانے کو معطل کر سکتی ہیں، لیکن یہ خودکار نہیں ہے۔

سائبرسیکیوریٹی مینجمنٹ میں کلیدی کردار اور ذمہ داریاں

تنظیموں کو واضح طور پر اس بات کی وضاحت کرنی چاہیے کہ سائبر سیکیورٹی کے کاموں کو کون منظم کرتا ہے، ڈیٹا پروٹیکشن آفیسرز کی تقرری سے لے کر بورڈ کی سطح پر جوابدہی قائم کرنے اور ملازمین کو سیکیورٹی پروٹوکول پر تربیت دینے تک۔

ڈیٹا پروٹیکشن آفیسرز اور تقرریاں

اگر آپ کی تنظیم حساس ذاتی ڈیٹا پر بڑے پیمانے پر کارروائی کرتی ہے یا منظم طریقے سے افراد کی نگرانی کرتی ہے تو آپ کو ڈیٹا پروٹیکشن آفیسر (DPO) کا تقرر کرنا چاہیے۔

ڈی پی او ڈیٹا پروٹیکشن اتھارٹیز اور ڈیٹا مضامین کے لیے آپ کے رابطے کے بنیادی نقطہ کے طور پر کام کرتا ہے۔

آپ کے ڈی پی او کو ڈیٹا کے تحفظ کے قانون اور معلومات کے تحفظ کے طریقوں میں مخصوص قابلیت کی ضرورت ہے۔

انہیں براہ راست آپ کے اعلیٰ ترین انتظامی سطح پر رپورٹ کرنا چاہیے اور انہیں اپنے فرائض کی انجام دہی کے لیے برخاست نہیں کیا جا سکتا۔

اس کردار میں جی ڈی پی آر کی تعمیل کی نگرانی، ڈیٹا کے تحفظ کے اثرات کا جائزہ لینا، اور خفیہ کاری اور خفیہ نگاری کی ضروریات پر مشورہ دینا شامل ہے۔

آپ کو ڈی پی او کی ذمہ داریوں کو واضح طور پر دستاویز کرنا چاہیے۔

اس میں آپ کے ڈیجیٹل انفراسٹرکچر کا آڈٹ کرنے اور آپ کے واقعہ کے جوابی منصوبے کا جائزہ لینے کا اختیار شامل ہے۔

اگر آپ EU کے متعدد ممالک میں کام کرتے ہیں، تو آپ ان کی پیشہ ورانہ خوبیوں اور متعلقہ دائرہ اختیار کے علم کی بنیاد پر ایک DPO کو نامزد کر سکتے ہیں۔

کارپوریٹ گورننس اور احتساب

آپ کا بورڈ آف ڈائریکٹرز سائبر سیکیورٹی رسک مینجمنٹ کی حتمی ذمہ داری رکھتا ہے۔

انہیں حفاظتی اقدامات کی منظوری، مناسب وسائل مختص کرنے، اور سائبر لچک کی کوششوں کی مناسب نگرانی کو یقینی بنانا ہوگا۔

قیادت کے احتساب میں شامل ہیں:

• سیکیورٹی پالیسیوں کی منظوری معلومات کے تحفظ کے فریم ورک کے لیے
• خطرے کی تشخیص کی نگرانی اور آپریشنل لچک کی منصوبہ بندی
• آڈٹ کی تعمیل کو یقینی بنانا آزاد جائزوں کے ذریعے
• بجٹ مختص کرنا سائبرسیکیوریٹی مینجمنٹ اور ملازم کی تربیت

آپ کو حفاظتی فیصلہ سازی کے لیے اتھارٹی کی واضح لائنیں قائم کرنے کی ضرورت ہے۔

دستاویز جو حفاظتی اقدامات کی منظوری دیتا ہے، کون عمل درآمد کی نگرانی کرتا ہے، اور کون آڈٹ کرتا ہے۔

آپ کی انتظامیہ کو سائبر سیکیورٹی کی کارکردگی کا باقاعدگی سے جائزہ لینا چاہیے اور آپ کے ڈیجیٹل انفراسٹرکچر کو درپیش خطرات کی بنیاد پر حکمت عملیوں کو ایڈجسٹ کرنا چاہیے۔

داخلی پالیسیاں اور ملازمین کی تربیت

آپ کو دستاویزی پالیسیاں بنانا ہوں گی جو آپ کی تنظیم میں حفاظتی کردار کی وضاحت کرتی ہیں۔

ان پالیسیوں میں ڈیٹا کے تحفظ، واقعے کے ردعمل، اور سائبر لچک کو برقرار رکھنے کے لیے ذمہ داریوں کی وضاحت کرنی چاہیے۔

آپ کی حفاظتی پالیسیوں کا احاطہ کرنے کی ضرورت ہے:

• رسائی کے کنٹرول اور تصدیق کی ضروریات
• ڈیٹا کی درجہ بندی اور خفیہ کاری کے معیارات
• واقعہ کی اطلاع دینے کا طریقہ کار
• سیکیورٹی سے متعلق آگاہی کی باقاعدہ تربیت

آپ کو تمام ملازمین کو انفارمیشن سیکیورٹی کے طریقوں پر جاری تربیت فراہم کرنی چاہیے۔

اس میں فشنگ کی کوششوں کو پہچاننا ، حساس ڈیٹا کو صحیح طریقے سے ہینڈل کرنا، اور آپ کے واقعے کے جوابی منصوبے پر عمل کرنا شامل ہے۔

تربیت کو مخصوص کرداروں کے مطابق بنایا جانا چاہیے، جس میں تکنیکی عملے کو خفیہ نگاری اور حفاظتی کنٹرول کے بارے میں جدید ہدایات موصول ہوتی ہیں۔

آپ کی پالیسیوں کا باقاعدگی سے جائزہ لیا جانا چاہیے اور جب ضابطے تبدیل ہوتے ہیں یا نئے خطرات سامنے آتے ہیں تو اسے اپ ڈیٹ کیا جانا چاہیے۔

آپ کو سائبر سیکیورٹی کے طریقوں میں پالیسی کے نفاذ اور عملے کی ترقی دونوں کے لیے مناسب وسائل کو یقینی بنانے کی ضرورت ہے۔

سائبر سیکیورٹی کے واقعات اور ابھرتے ہوئے خطرات کی اقسام

سائبرسیکیوریٹی کے واقعات فریب دینے والی ای میلز سے لے کر بڑے پیمانے پر نیٹ ورک کی رکاوٹوں تک ہوتے ہیں جو پوری تنظیموں سے سمجھوتہ کر سکتے ہیں۔

ان خطرات کو سمجھنے سے آپ کو کمزوریوں کی نشاندہی کرنے اور خلاف ورزی ہونے پر ذمہ داری کا تعین کرنے میں مدد ملتی ہے۔

فشنگ، مالویئر، اور رینسم ویئر

فشنگ سائبر سیکیورٹی کے سب سے عام خطرات میں سے ایک ہے جس کا آپ کو سامنا ہوگا۔

حملہ آور آپ کے پاس ورڈز، مالی معلومات، یا دیگر حساس ڈیٹا چرانے کے لیے جائز کمپنیوں سے ہونے کا بہانہ کرکے ای میلز یا پیغامات بھیجتے ہیں۔

یہ حملے سوشل انجینئرنگ کے 60 فیصد سے زیادہ واقعات کے ذمہ دار ہیں۔

مالویئر سے مراد نقصان دہ سافٹ ویئر ہے جو آپ کے کمپیوٹر سسٹم یا نیٹ ورکس کو نقصان پہنچاتا ہے۔

اس میں وائرس، ٹروجن، اور دوسرے نقصان دہ کوڈ شامل ہیں جو آپ کے ڈیٹا تک رسائی یا آپ کے کاموں میں خلل ڈالنے کے لیے بنائے گئے ہیں۔

رینسم ویئر ایک مخصوص قسم کا مالویئر ہے جو آپ کی فائلوں تک رسائی کو روکتا ہے اور بحالی کے لیے ادائیگی کا مطالبہ کرتا ہے۔

یہاں تک کہ اگر آپ تاوان ادا کرتے ہیں، تو اس بات کی کوئی گارنٹی نہیں ہے کہ حملہ آور آپ کی رسائی بحال کر دیں گے یا چوری شدہ ڈیٹا کو حذف کر دیں گے۔

2020 اور 2021 کے درمیان، تنظیموں کو عالمی سطح پر سائبر سیکیورٹی کے تقریباً 24,000 واقعات کا سامنا کرنا پڑا، جن میں رینسم ویئر نے مالی نقصانات میں اہم کردار ادا کیا۔

سروس سے انکار (DoS) اور تقسیم شدہ DoS (DDoS) حملے

DoS حملے آپ کے سسٹمز کو ٹریفک سے مغلوب کر دیتے ہیں تاکہ جائز صارفین کے لیے خدمات دستیاب نہ ہوں۔

ایک واحد ذریعہ آپ کے نیٹ ورک کو درخواستوں سے بھر دیتا ہے جب تک کہ یہ کریش نہ ہو جائے یا کام کرنے میں بہت سست ہو جائے۔

DDoS حملے آپ کے انفراسٹرکچر کے خلاف مربوط حملے شروع کرنے کے لیے متعدد کمپرومائزڈ سسٹم استعمال کرتے ہیں۔

ان تقسیم شدہ حملوں کو روکنا مشکل ہے کیونکہ یہ بیک وقت کئی مقامات سے آتے ہیں۔

DDoS حملے سرکاری ویب سائٹس سے لے کر پرائیویٹ سیکٹر کے آپریشنز تک اہم خدمات میں خلل ڈال سکتے ہیں۔

آپ کے پاس عام طور پر پہلے پتہ لگانے سے 62 منٹ سے بھی کم وقت ہوتا ہے تاکہ کسی حفاظتی واقعے کو بڑی خلاف ورزی بننے سے روکا جا سکے۔

یہ تنگ ونڈو DoS یا DDoS حملوں کا سامنا کرتے وقت تیز ردعمل کو ضروری بناتی ہے۔

دھوکہ دہی اور غیر مجاز رسائی

سائبرسیکیوریٹی میں دھوکہ دہی میں آپ کے سسٹمز یا ڈیٹا تک غیر مجاز رسائی حاصل کرنے کے لیے فریب کاری کے طریقے شامل ہیں۔

اس میں شناخت کی چوری، ادائیگی کی دھوکہ دہی، اور اسناد کا سمجھوتہ شامل ہے۔

غیر مجاز رسائی اس وقت ہوتی ہے جب کوئی اجازت کے بغیر نیٹ ورکس، سسٹمز یا ڈیٹا تک رسائی کے لیے آپ کی سیکیورٹی پالیسیوں کی خلاف ورزی کرتا ہے۔

یہ اس کے ذریعے ہو سکتا ہے:

• چوری شدہ لاگ ان اسناد
• سافٹ ویئر کی کمزوریوں کا استحصال کیا گیا۔
• سیکیورٹی کنٹرولز کو نظرانداز کیا گیا۔
• موجودہ یا سابق ملازمین کی طرف سے اندرونی دھمکیاں

اندرونی ڈیٹا کی چوری کو اکثر نظر انداز کر دیا جاتا ہے لیکن یہ بیرونی حملوں کی طرح نقصان دہ بھی ہو سکتا ہے۔

2021 میں اندرونی حملوں کی اوسط لاگت 12.5 ملین پاؤنڈ تک پہنچ گئی۔

یہاں تک کہ ملازمین کی طرف سے غیر ارادی طور پر ڈیٹا لیک ہونے کو کمپیوٹر کے غلط استعمال ایکٹ (1990) کے تحت سیکیورٹی کے واقعات کے طور پر شمار کیا جاتا ہے۔

سیکٹر اور سپلائی چین کی کمزوریاں

بنیادی ڈھانچے کے اہم شعبوں کو سائبر کرائم سے شدید خطرات کا سامنا ہے، جس میں صحت کی دیکھ بھال، توانائی اور مالیاتی خدمات بنیادی ہدف ہیں۔

پیشہ ورانہ شعبے نے 2020 اور 2021 کے درمیان تقریباً 3,600 واقعات کا تجربہ کیا، جس سے یہ سب سے زیادہ ہدف والی صنعت بنی۔

سپلائی چین سیکیورٹی تیزی سے اہم ہو گئی ہے کیونکہ حملہ آور آپ پر براہ راست حملہ کرنے کے بجائے آپ کے شراکت داروں اور فریق ثالث فروشوں کو نشانہ بناتے ہیں۔

یہ تھرڈ پارٹی وینڈر حملے آپ کے کلائنٹس کے ڈیٹا تک رسائی کے لیے آپ کی پارٹنر تنظیموں میں کمزور حفاظتی اقدامات کا استحصال کرتے ہیں۔

سپلائی چین کی کمزوریاں حملہ آوروں کو ایک ہی خلاف ورزی کے ذریعے متعدد تنظیموں سے سمجھوتہ کرنے کی اجازت دیتی ہیں۔

جب آپ کے وینڈر کے سسٹم آپ سے جڑ جاتے ہیں، تو ان کی سیکیورٹی کی کمزوریاں آپ کی سیکیورٹی کی کمزوریاں بن جاتی ہیں۔

اس باہم منسلک خطرے کا مطلب ہے کہ آپ کو نہ صرف اپنے سائبرسیکیوریٹی اقدامات کا جائزہ لینا چاہیے بلکہ آپ کی سپلائی چین میں موجود ہر تنظیم کے اقدامات کا بھی جائزہ لینا چاہیے۔

قومی ریاستیں تیزی سے حریف سائبر اسپیسز کی جانچ اور ان میں گھستی ہیں، جو اکثر نجی اداروں کی آڑ میں کام کرتی ہیں جبکہ حکومتوں کی جانب سے کام کرتی ہیں۔

اکثر پوچھے گئے سوالات

ڈچ کمپنیوں کو ڈیٹا کی خلاف ورزی کے بعد رپورٹنگ کے سخت تقاضوں اور تعمیل کے معیارات کو نیویگیٹ کرنا چاہیے، ذمہ داری ان کے کردار اور ذمہ داریوں کے لحاظ سے متعدد فریقوں تک پہنچتی ہے۔

ان ذمہ داریوں کو سمجھنے سے تنظیموں کو قومی اور یورپی ضوابط کی تعمیل کرتے ہوئے خود کو اور متاثرہ افراد کی حفاظت میں مدد ملتی ہے۔

ڈیٹا کی خلاف ورزی کے بعد ڈچ کمپنیوں کی قانونی ذمہ داریاں کیا ہیں؟

آپ کی تنظیم کو ڈیٹا کی خلاف ورزی کے بارے میں آگاہ ہونے کے 72 گھنٹوں کے اندر ڈچ ڈیٹا پروٹیکشن اتھارٹی (Autoriteit Personsgegevens) کو مطلع کرنا چاہیے۔

یہ ضرورت GDPR کے تحت لاگو ہوتی ہے، جو پورے نیدرلینڈز میں ڈیٹا کے تحفظ کو کنٹرول کرتی ہے۔

آپ کو اپنی خلاف ورزی کی اطلاع میں مخصوص معلومات فراہم کرنے کی ضرورت ہے۔

اس میں خلاف ورزی کی نوعیت، متاثرہ افراد کی تعداد، ممکنہ نتائج، اور وہ اقدامات شامل ہیں جو آپ نے اٹھائے ہیں یا لینے کا ارادہ رکھتے ہیں۔

اگر آپ 72 گھنٹوں کے اندر تمام تفصیلات فراہم نہیں کر سکتے ہیں، تو آپ کو تاخیر کی وضاحت اور بقیہ معلومات کو جلد از جلد جمع کرانا چاہیے۔

جب خلاف ورزی افراد کے حقوق اور آزادیوں کے لیے بہت زیادہ خطرہ بنتی ہے، تو آپ کو متاثرہ افراد کو بھی براہ راست مطلع کرنا چاہیے۔

آپ معقول وجوہات کے بغیر اس اطلاع میں تاخیر نہیں کر سکتے۔

متاثرہ افراد سے آپ کی بات چیت واضح ہونی چاہیے اور اس کی وضاحت ہونی چاہیے کہ خلاف ورزی کے ممکنہ نتائج اور وہ اپنے تحفظ کے لیے کیا اقدامات کر سکتے ہیں۔

آپ کو تمام ڈیٹا کی خلاف ورزیوں کی تفصیلی دستاویزات کو برقرار رکھنا چاہیے، قطع نظر اس کے کہ آپ حکام کو ان کی اطلاع دیں۔

اس دستاویز میں خلاف ورزی سے متعلق حقائق، اس کے اثرات، اور کی گئی تدارک کی کارروائی شامل ہونی چاہیے۔

ڈچ ڈیٹا پروٹیکشن اتھارٹی معائنہ یا تفتیش کے دوران اس دستاویز کی درخواست کر سکتی ہے۔

نیدرلینڈز کے قانون کے تحت ڈیٹا کی خلاف ورزیوں کے لیے ذمہ داری کا تعین کیسے کیا جاتا ہے؟

نیدرلینڈز میں ڈیٹا کی خلاف ورزیوں کی ذمہ داری ڈیٹا کنٹرولر یا ڈیٹا پروسیسر کے طور پر آپ کے کردار پر منحصر ہے۔

ڈیٹا کنٹرولرز ذاتی ڈیٹا پر کارروائی کرنے کے مقاصد اور ذرائع کا تعین کرتے ہیں، جب کہ ڈیٹا پروسیسر کنٹرولرز کی جانب سے ڈیٹا کو ہینڈل کرتے ہیں۔

اس درجہ بندی کی بنیاد پر آپ کی قانونی ذمہ داریاں مختلف ہوتی ہیں۔

ڈیٹا کنٹرولر کے طور پر، آپ ڈیٹا کے تحفظ کے ضوابط کی تعمیل کو یقینی بنانے کی بنیادی ذمہ داری اٹھاتے ہیں۔

آپ کو ذاتی ڈیٹا کی حفاظت کے لیے مناسب تکنیکی اور تنظیمی اقدامات پر عمل درآمد کرنا چاہیے۔

عدالتیں اس بات کا اندازہ لگاتی ہیں کہ آیا آپ نے خلاف ورزی کو روکنے کے لیے معقول اقدامات کیے اور کیا آپ نے اپنے حفاظتی طریقوں میں لاپرواہی سے کام لیا۔

ڈیٹا پروسیسرز کو بھی ذمہ داری کا سامنا کرنا پڑ سکتا ہے اگر وہ کنٹرولر کی ہدایات پر عمل کرنے میں ناکام رہتے ہیں یا اپنی معاہدہ کی ذمہ داریوں کی خلاف ورزی کرتے ہیں۔

تاہم، پروسیسرز کی عام طور پر کنٹرولرز کے مقابلے میں زیادہ محدود ذمہ داری ہوتی ہے۔

اگر آپ کنٹرولر سے مناسب اجازت کے بغیر ڈیٹا پر کارروائی کرتے ہیں یا متفقہ حفاظتی اقدامات کو نافذ کرنے میں ناکام رہتے ہیں، تو آپ کو براہ راست ذمہ دار ٹھہرایا جا سکتا ہے۔

ڈچ عدالتیں ذمہ داری کا تعین کرتے وقت کئی عوامل کا اطلاق کرتی ہیں۔

ان میں خلاف ورزی کی شدت، سمجھوتہ کیے گئے ڈیٹا کی حساسیت، خلاف ورزی سے پہلے آپ کے حفاظتی اقدامات اور واقعے کو دریافت کرنے کے بعد آپ کا ردعمل شامل ہیں۔

آپ کی تنظیم کا حجم اور وسائل اس بات پر بھی اثر انداز ہوتے ہیں کہ عدالتیں کس مناسب حفاظتی اقدامات پر غور کرتی ہیں۔

مشترکہ ذمہ داری اس وقت پیدا ہوسکتی ہے جب متعدد فریق ڈیٹا کی خلاف ورزی میں حصہ ڈالیں۔

اگر آپ دوسرے کنٹرولرز یا پروسیسرز کے ساتھ ذمہ داری کا اشتراک کرتے ہیں، تو عدالتیں ہر فریق کو پورے نقصان کا ذمہ دار ٹھہرا سکتی ہیں۔

اس کے بعد آپ خلاف ورزی میں ان کے متعلقہ شراکت کی بنیاد پر دیگر ذمہ دار فریقوں سے معاوضہ طلب کر سکتے ہیں۔

نیدرلینڈز میں ڈیٹا سیکیورٹی کے واقعات کے لیے کن فریقوں کو جوابدہ ٹھہرایا جا سکتا ہے؟

ڈیٹا کنٹرولرز ڈیٹا سیکیورٹی کے واقعات کے لیے بنیادی جوابدہی رکھتے ہیں۔

ایک کنٹرولر کے طور پر، آپ ذاتی ڈیٹا پر کارروائی کے بارے میں فیصلے کرتے ہیں اور اس بات کو یقینی بنانا چاہیے کہ مناسب حفاظتی اقدامات موجود ہوں۔

خلاف ورزی کے بعد آپ کی تنظیم کو انتظامی جرمانے، شہری ذمہ داری، اور شہرت کو پہنچنے والے نقصان کا سامنا کرنا پڑ سکتا ہے۔

ڈیٹا پروسیسرز کو جوابدہ ٹھہرایا جا سکتا ہے جب وہ اپنی معاہدہ اور قانونی ذمہ داریوں کو پورا کرنے میں ناکام رہتے ہیں۔

اگر آپ کسی کنٹرولر کی جانب سے ڈیٹا پر کارروائی کرتے ہیں، تو آپ کو اپنے معاہدے میں بیان کردہ حفاظتی اقدامات کو نافذ کرنا ہوگا اور کنٹرولر کی قانونی ہدایات کی تعمیل کرنی ہوگی۔

اگر آپ اپنے اختیار سے تجاوز کرتے ہیں یا مناسب سیکیورٹی برقرار رکھنے میں ناکام رہتے ہیں تو آپ کو براہ راست ذمہ داری کا سامنا کرنا پڑتا ہے۔

آپ کی تنظیم کے ڈائریکٹرز اور افسران کو بعض حالات میں ذاتی ذمہ داری کا سامنا کرنا پڑ سکتا ہے۔

نیدرلینڈز میں NIS2 کی ہدایت کے نفاذ کے تحت، سائبر سیکیورٹی گورننس میں ناکامیوں کے لیے انتظامیہ کو ذاتی طور پر ذمہ دار ٹھہرایا جا سکتا ہے۔

اس میں سنگین خلاف ورزیاں ہونے پر ڈائریکٹر کے طور پر کام کرنے سے ممکنہ نااہلی بھی شامل ہے۔

تھرڈ پارٹی سروس فراہم کرنے والے بھی سیکورٹی کے واقعات کے لیے جوابدہی برداشت کر سکتے ہیں۔

اگر آپ کلاؤڈ سروسز، IT سپورٹ، یا دیگر بیرونی فراہم کنندگان پر انحصار کرتے ہیں، تو وہ ذمہ داری کا اشتراک کر سکتے ہیں جب ان کی ناکامیاں خلاف ورزی کا باعث بنتی ہیں۔

ان فراہم کنندگان کے ساتھ آپ کے معاہدوں میں واضح طور پر حفاظتی ذمہ داریوں اور ذمہ داری کی شرائط کی وضاحت ہونی چاہیے۔

ڈچ ڈیٹا پروٹیکشن اتھارٹی بنیادی نافذ کرنے والے ادارے کے طور پر کام کرتی ہے۔

خلاف ورزیوں کے لیے براہ راست ذمہ دار نہ ہونے کے باوجود، اتھارٹی واقعات کی تحقیقات کرتی ہے، اصلاحی احکامات جاری کرتی ہے، اور تعمیل نہ کرنے والی تنظیموں پر انتظامی جرمانے عائد کرتی ہے۔

ڈچ ڈیٹا کے تحفظ کے ضوابط کی عدم تعمیل کے لیے تنظیموں کو کن نتائج کا سامنا کرنا پڑتا ہے؟

آپ کی تنظیم کو €20 ملین یا آپ کے عالمی سالانہ کاروبار کا 4%، جو بھی زیادہ ہو، انتظامی جرمانے کا سامنا کرنا پڑ سکتا ہے۔ ڈچ ڈیٹا پروٹیکشن اتھارٹی خلاف ورزی کی نوعیت، شدت، مدت اور تفتیش کے دوران آپ کے تعاون کی بنیاد پر جرمانے کی رقم کا تعین کرتی ہے۔

مالی جرمانے کے علاوہ، اتھارٹی اصلاحی اقدامات نافذ کر سکتی ہے جو آپ کے کاموں میں خلل ڈالتے ہیں۔ ان اقدامات میں ڈیٹا پروسیسنگ کی سرگرمیوں پر عارضی پابندیاں، مخصوص خلاف ورزیوں کو درست کرنے کے احکامات، اور لازمی آڈٹ شامل ہیں۔

آپ کو کچھ کاروباری سرگرمیاں معطل کرنے کی ضرورت پڑسکتی ہے جب تک کہ آپ تعمیل کا مظاہرہ نہ کریں۔ عدم تعمیل کے بعد آپ کی تنظیم کو نمایاں ساکھ کو پہنچنے والے نقصان کا خطرہ ہے۔

ڈیٹا کی خلاف ورزیوں اور ریگولیٹری جرمانے کا عوامی انکشاف گاہک کے اعتماد کو ختم کر سکتا ہے اور کاروباری تعلقات کو نقصان پہنچا سکتا ہے۔ ڈچ ڈیٹا پروٹیکشن اتھارٹی نافذ کرنے والے فیصلے شائع کرتی ہے، جو عوام اور میڈیا کے لیے قابل رسائی رہتے ہیں۔

آپ کو متاثرہ افراد کی جانب سے نقصانات کے معاوضے کے لیے دیوانی مقدمات کا سامنا کرنا پڑ سکتا ہے۔ ڈیٹا کے تحفظ کی خلاف ورزیوں کے نتیجے میں افراد مادی اور غیر مادی نقصانات کا دعویٰ کر سکتے ہیں۔

ڈچ عدالتوں نے پریشانی اور ذاتی ڈیٹا پر کنٹرول کھونے کے دعووں کو تیزی سے تسلیم کیا ہے، یہاں تک کہ براہ راست مالی نقصانات کے بغیر۔ سنگین خلاف ورزیوں کے بعد آپ کے کاروباری مواقع محدود ہو سکتے ہیں۔

کچھ شعبوں کو معاہدوں کو برقرار رکھنے کے لیے سیکورٹی سرٹیفیکیشن یا تعمیل کے ریکارڈ کی ضرورت ہوتی ہے، خاص طور پر جب حکومتی اداروں یا ریگولیٹڈ صنعتوں کے ساتھ کام کرتے ہیں۔

نیدرلینڈز میں ڈیٹا کی خلاف ورزی کے بعد متاثرہ افراد کن طریقوں سے ازالہ حاصل کر سکتے ہیں؟

اگر آپ کو لگتا ہے کہ کسی تنظیم نے آپ کے ڈیٹا کے تحفظ کے حقوق کی خلاف ورزی کی ہے تو آپ ڈچ ڈیٹا پروٹیکشن اتھارٹی کے پاس شکایت درج کر سکتے ہیں۔ اتھارٹی شکایات کی چھان بین کرتی ہے اور تعمیل نہ کرنے والی تنظیموں کے خلاف نفاذ کی کارروائی کر سکتی ہے۔

اس عمل پر آپ کی کوئی قیمت نہیں ہے اور قانونی نمائندگی کی ضرورت نہیں ہے۔ آپ کو ذمہ دار تنظیم کے خلاف سول قانونی چارہ جوئی کا حق حاصل ہے۔

ڈچ قانون آپ کو ڈیٹا کے تحفظ کی خلاف ورزیوں کے نتیجے میں ہونے والے مادی اور غیر مادی نقصانات کے لیے معاوضے کا دعوی کرنے کی اجازت دیتا ہے۔ مادی نقصانات میں مالی نقصانات شامل ہیں، جب کہ غیر مادی نقصانات پریشانی، پریشانی، اور آپ کے ذاتی ڈیٹا پر کنٹرول کے نقصان کا احاطہ کرتے ہیں۔

اگر آپ مالی اہلیت کے معیار پر پورا اترتے ہیں تو آپ ہنگامی بنیادوں پر اپنے دعوے کو سنبھالنے کے لیے کسی وکیل کو شامل کر سکتے ہیں یا قانونی مدد حاصل کر سکتے ہیں۔ نیدرلینڈز میں بہت سی قانونی فرمیں ڈیٹا پروٹیکشن کیسز میں مہارت رکھتی ہیں اور آپ کے دعوے کی طاقت پر آپ کو مشورہ دے سکتی ہیں۔

طبقاتی کارروائی کا طریقہ کار متاثرہ افراد کے گروہوں کو اجتماعی طور پر دعووں کی پیروی کرنے کی اجازت دیتا ہے۔ آپ عدالت میں جانے کے بغیر تنظیم سے براہ راست معاوضہ طلب کر سکتے ہیں۔

بہت سی تنظیمیں قانونی چارہ جوئی کے اخراجات اور منفی تشہیر سے بچنے کے لیے نجی طور پر دعوے طے کرنے کو ترجیح دیتی ہیں۔ اگر تنظیم نے ڈیٹا کے تحفظ کے ضوابط کی واضح طور پر خلاف ورزی کی ہے یا اگر خلاف ورزی سے اہم نقصان ہوا ہے تو آپ کی بات چیت کی پوزیشن مضبوط ہوتی ہے۔

آپ ڈیٹا پروسیسرز کے خلاف دعووں کی پیروی بھی کر سکتے ہیں اگر وہ خلاف ورزی کی ذمہ داری قبول کرتے ہیں۔ جی ڈی پی آر کے تحت، کنٹرولرز اور پروسیسرز دونوں کو نقصانات کے لیے ذمہ دار ٹھہرایا جا سکتا ہے۔

اگر متعدد فریقوں نے خلاف ورزی میں تعاون کیا ہے، تو آپ کسی بھی ذمہ دار فریق سے پوری رقم کا دعویٰ کر سکتے ہیں۔

نیدرلینڈز میں کام کرنے والے اداروں کے ڈیٹا کی خلاف ورزی کی صورت میں GDPR ذمہ داریوں اور ذمہ داریوں کو کیسے متاثر کرتا ہے؟

GDPR ذاتی ڈیٹا کے تحفظ کے حوالے سے تنظیموں کے لیے واضح ذمہ داریاں قائم کرتا ہے۔

اداروں کو ڈیٹا کی حفاظت کو یقینی بنانے کے لیے مناسب تکنیکی اور تنظیمی اقدامات کو نافذ کرنا چاہیے۔

ڈیٹا کی خلاف ورزی کی صورت میں، تنظیموں کو 72 گھنٹوں کے اندر متعلقہ نگران اتھارٹی کو مطلع کرنے کی ضرورت ہے۔

اگر خلاف ورزی افراد کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہے، تو متاثرہ افراد کو بھی مطلع کیا جانا چاہیے۔

ان تقاضوں کی تعمیل کرنے میں ناکامی کے نتیجے میں تنظیم کے لیے اہم جرمانے اور شہرت کو نقصان پہنچ سکتا ہے۔

GDPR کے تحت ڈیٹا کنٹرولرز اور پروسیسرز دونوں کی الگ الگ ذمہ داریاں ہیں، اور معاہدوں کو ان کرداروں کی واضح طور پر وضاحت کرنی چاہیے۔