ڈچ قانون کے تحت ڈیٹا برقرار رکھنے کی مدت: آپ کب تک کسٹمر ڈیٹا رکھ سکتے ہیں؟

ڈچ قانون گاہک کے ڈیٹا کو رکھنے کے لیے دو طرفہ طریقہ اختیار کرتا ہے۔ مالیاتی دستاویزات جیسے کاروباری ریکارڈز کو ٹیکس قانون کے تحت کم از کم سات سال تک برقرار رکھا جانا چاہیے، جب کہ GDPR کے تحت ذاتی ڈیٹا کو اس کے مطلوبہ مقصد کے لیے ضرورت سے زیادہ دیر تک نہیں رکھا جانا چاہیے۔

یہ قانونی ذمہ داریوں کو پورا کرنے اور رازداری کے حقوق کے احترام کے درمیان محتاط توازن پیدا کرتا ہے۔

بہت سی تنظیمیں یہ سمجھنے کے لیے جدوجہد کرتی ہیں کہ وہ کب تک مختلف قسم کی کسٹمر کی معلومات کو قانونی طور پر محفوظ کر سکتی ہیں۔ قواعد اس بات پر منحصر ہوتے ہیں کہ آیا آپ مالی ریکارڈ، ملازم کے ڈیٹا، یا عام کسٹمر کی تفصیلات کے ساتھ کام کر رہے ہیں۔

کچھ برقرار رکھنے کی مدت مخصوص قوانین کے ذریعہ مقرر کی جاتی ہے، جب کہ دوسرے آپ سے اپنی کاروباری ضروریات کی بنیاد پر معقول فیصلے کرنے کا تقاضا کرتے ہیں۔

یہ ہدایت نامہ اس قانونی فریم ورک کی وضاحت کرتا ہے جو نیدرلینڈز میں ڈیٹا کی برقراری کو کنٹرول کرتا ہے اور آپ کو دکھاتا ہے کہ آپ کی تنظیم کے لیے مناسب برقرار رکھنے کے نظام الاوقات کا تعین کیسے کریں۔

آپ ڈیٹا کی مختلف اقسام کے لیے قانونی تقاضوں کے بارے میں جانیں گے، ڈیٹا کو حذف کرنے کا صحیح طریقے سے انتظام کیسے کریں، اور آپ کے صارفین کو ان کی معلومات کے حوالے سے کیا حقوق حاصل ہیں۔

ڈچ قانون کے تحت ڈیٹا برقرار رکھنے کے بنیادی اصول

ڈچ قانون آپ سے گاہک کے ڈیٹا کو برقرار رکھتے وقت تین اہم اصولوں کی پیروی کرنے کا تقاضا کرتا ہے: آپ کو ڈیٹا کو صرف اس کے اصل مقصد کے لیے رکھنا چاہیے، ضروری کم از کم رقم جمع کرنا چاہیے، اور اپنے برقرار رکھنے کے فیصلوں کو واضح طور پر دستاویز کرنا چاہیے۔

ذاتی ڈیٹا پروسیسنگ میں مقصد کی حد

آپ صرف اس مخصوص مقصد کے لیے ذاتی ڈیٹا کو برقرار رکھ سکتے ہیں جس کے لیے آپ نے اسے جمع کیا ہے۔ اگر آپ نے کسی آرڈر پر کارروائی کرنے کے لیے کسٹمر کی معلومات اکٹھی کی ہیں ، تو آپ اس ڈیٹا کو مارکیٹنگ کے لیے غیر معینہ مدت تک نہیں رکھ سکتے جب تک کہ آپ اس مقصد کے لیے علیحدہ رضامندی حاصل نہ کر لیں۔

GDPR آپ سے کسی بھی ڈیٹا کو جمع کرنے سے پہلے واضح مقاصد کی وضاحت کرنے کا تقاضا کرتا ہے۔ جب وہ مقصد ختم ہو جاتا ہے، تو آپ کی برقراری کی قانونی بنیاد بھی ختم ہو جاتی ہے۔

مثال کے طور پر، ایک بار جب آپ گاہک کا لین دین مکمل کر لیتے ہیں اور قانونی برقراری کی مدت ختم ہو جاتی ہے، تو آپ کو ان کا ڈیٹا حذف کرنا چاہیے جب تک کہ کوئی اور جائز مقصد موجود نہ ہو۔

آپ پرانے ڈیٹا کو درست قانونی بنیاد کے بغیر دوبارہ استعمال نہیں کر سکتے۔ اگر آپ کے کاروباری حالات بدل جاتے ہیں اور آپ موجودہ کسٹمر ڈیٹا کو کسی نئے مقصد کے لیے استعمال کرنا چاہتے ہیں، تو آپ کو یہ جانچنے کی ضرورت ہے کہ آیا یہ اصل جمع کرنے کے مقصد کی تعمیل کرتا ہے یا نئی رضامندی حاصل کرتا ہے۔

ڈیٹا مائنسائزیشن اور ضرورت

آپ کو صرف اپنے مقصد کو حاصل کرنے کے لیے درکار کم از کم ذاتی ڈیٹا اکٹھا کرنا اور برقرار رکھنا چاہیے۔ اس کا مطلب ہے کہ آپ کسٹمر کی معلومات کو "صرف اس صورت میں" نہیں رکھ سکتے کہ یہ بعد میں مفید ہو سکتی ہے۔

ڈچ ٹیکس کے قانون کے مطابق آپ کو سات سال تک مالیاتی ریکارڈ برقرار رکھنے کی ضرورت ہے۔ تاہم، اس کا مطلب یہ نہیں ہے کہ آپ سات سال تک تمام کسٹمر کی تفصیلات اپنے پاس رکھ سکتے ہیں۔

آپ کو قانون کے مطابق جو کچھ آپ نے دوسرے مقاصد کے لیے جمع کیا ہے اسے الگ کرنے کی ضرورت ہے۔

ڈچ ڈیٹا پروٹیکشن اتھارٹی آپ سے توقع کرتی ہے کہ آپ ذخیرہ شدہ ڈیٹا کا باقاعدگی سے جائزہ لیں۔ اپنے آپ سے پوچھیں: کیا آپ کو اب بھی اس معلومات کی ضرورت ہے؟ کیا آپ اسے شناختی شکل میں رکھنے کے بجائے اسے گمنام کر سکتے ہیں؟

اگر جواب نفی میں ہے، تو آپ کو ڈیٹا کو حذف یا گمنام کرنا ہوگا۔

شفافیت اور احتساب

آپ کو اپنے برقرار رکھنے کے ادوار کو دستاویز کرنا چاہیے اور وضاحت کرنی چاہیے کہ آپ نے انہیں کیوں چنا ہے۔ ڈچ ڈیٹا پروٹیکشن اتھارٹی اس معلومات کی درخواست کر سکتی ہے اور اس بات کا جائزہ لے گی کہ آیا آپ کے فیصلے معقول ہیں۔

آپ کے رازداری کے بیان میں صارفین کو واضح طور پر بتانا چاہیے کہ آپ ان کا ڈیٹا کب تک رکھیں گے۔ برقرار رکھنے کی مدت ختم ہونے یا جب آپ کو ان کی معلومات کی مزید ضرورت نہ ہو تو لوگوں کو حذف کرنے کی درخواست کرنے کا حق ہے۔

آپ کو اپنی پرائیویسی پالیسی میں اپنی برقراری کی مدت کو واضح جواز کے ساتھ ریکارڈ کرنا چاہیے۔ یہ آڈٹ کے دوران آپ کی حفاظت کرتا ہے اور صارفین کو آپ کے ڈیٹا کے طریقوں کو سمجھنے میں مدد کرتا ہے ۔

اگر صارفین کو لگتا ہے کہ آپ ان کا ڈیٹا بہت لمبا رکھے ہوئے ہیں، تو وہ ڈچ ڈیٹا پروٹیکشن اتھارٹی کے پاس شکایت درج کر سکتے ہیں۔

قانونی فریم ورک برقرار رکھنے کے ادوار کو کنٹرول کرتا ہے۔

نیدرلینڈز میں ڈیٹا کو برقرار رکھنے کا قانونی فریم ورک یورپی اور قومی قانون سازی کو یکجا کرتا ہے، جس میں GDPR کی بنیاد اور ڈچ قوانین مخصوص تقاضوں کو شامل کرتے ہیں۔

Autoriteit Personsgegevens تعمیل کی نگرانی کرتا ہے جب کہ کاروبار کو ڈیٹا کے تحفظ کے اصولوں کے خلاف قانونی ذمہ داریوں میں توازن رکھنا چاہیے۔

جی ڈی پی آر اور ڈچ عمل درآمد ایکٹ

جنرل ڈیٹا پروٹیکشن ریگولیشن (GDPR) نیدرلینڈز میں ڈیٹا کو برقرار رکھنے کے لیے بنیادی قانونی بنیاد بناتا ہے۔ یہ گاہک کے ڈیٹا کے لیے ٹھوس برقراری کی مدت متعین نہیں کرتا ہے۔

اس کے بجائے، یہ اصول قائم کرتا ہے کہ آپ ذاتی ڈیٹا کو ان مقاصد کے لیے ضروری سے زیادہ نہیں رکھ سکتے جن کے لیے آپ اس پر کارروائی کرتے ہیں۔

ڈچ ڈیٹا پروٹیکشن ایکٹ (DGIA) قومی سطح پر GDPR کو نافذ کرتا ہے۔ یہ قانون سازی GDPR کے ساتھ اس بات کو کنٹرول کرنے کے لیے کام کرتی ہے کہ آپ ذاتی ڈیٹا کو کیسے ہینڈل کرتے ہیں۔

کلیکٹو ایکٹ ڈیٹا پروٹیکشن (Verzamelwet Gegevensbescherming) نے حال ہی میں DGIA اور متعلقہ ڈیٹا پروٹیکشن قوانین میں ترمیم کی ہے تاکہ موجودہ رازداری کے معیارات کے ساتھ ہم آہنگی کو یقینی بنایا جا سکے۔

آپ کی رازداری کی پالیسی کو آپ کے برقرار رکھنے کی مدت کو دستاویز کرنا چاہیے اور اس بات کا جواز پیش کرنا چاہیے کہ آپ نے انہیں کیوں منتخب کیا ہے۔ آپ کو اپنے رازداری کے بیان میں ڈیٹا کے مضامین کو بھی بتانا چاہیے کہ آپ ان کے ڈیٹا کو کتنی دیر تک رکھتے ہیں۔

ڈچ ڈیٹا پروٹیکشن اتھارٹی کا کردار

Autoriteit Personsgegevens (AP) ڈچ ڈیٹا پروٹیکشن اتھارٹی ہے جو ڈیٹا کو برقرار رکھنے کی ضروریات کو نافذ کرتی ہے۔ اے پی اس بات کا اندازہ لگاتا ہے کہ آیا آپ کے برقرار رکھنے کی مدت مناسب اور آپ کے پروسیسنگ کے مقاصد کے لیے ضروری ہے۔

جب AP آپ کے ڈیٹا کے طریقوں کی چھان بین کرتا ہے، تو آپ کو اپنے برقرار رکھنے کی مدت کا جواز پیش کرتے ہوئے دستاویزات فراہم کرنا ہوں گی۔ اتھارٹی اس بات کا جائزہ لیتی ہے کہ آیا آپ اپنی جائز ضروریات کے پیش نظر ذاتی ڈیٹا کو کم سے کم وقت کے لیے رکھتے ہیں۔

اگر آپ برقرار رکھنے کی مدت ختم ہونے کے بعد ان کا ڈیٹا حذف کرنے میں ناکام رہتے ہیں تو افراد AP کے پاس شکایات درج کر سکتے ہیں۔ AP کے پاس ان شکایات کی چھان بین کرنے اور اگر آپ ڈیٹا کے تحفظ کے قوانین کی خلاف ورزی کرتے ہیں تو نفاذ کی کارروائی کرنے کا اختیار رکھتا ہے۔

قانونی بمقابلہ خود طے شدہ برقراری ذمہ داریاں

ڈچ قانون لازمی قانونی برقراری کی مدت اور برقرار رکھنے کی مدت کے درمیان فرق کرتا ہے جو آپ خود طے کرتے ہیں۔ جب مخصوص قانون سازی کو زیادہ ذخیرہ کرنے کی ضرورت ہوتی ہے تو قانونی برقراری کی مدت GDPR اصولوں کو اوور رائیڈ کرتی ہے۔

ڈچ ٹیکس قانون کے تحت سات سال تک مالی ریکارڈ رکھنا ضروری ہے۔ جی ڈی پی آر کو کم کرنے کے اصولوں سے قطع نظر یہ ضرورت لاگو ہوتی ہے۔

ملازمین کے ڈیٹا میں معلومات کی قسم اور اس کے مقصد کے لحاظ سے لازمی برقرار رکھنے کی مدت مختلف ہوتی ہے۔

قانونی تقاضوں کے بغیر کسٹمر ڈیٹا کے لیے، آپ اپنے پروسیسنگ کے مقاصد کی بنیاد پر مناسب برقراری کی مدت کا فیصلہ کرتے ہیں۔ آپ کو غور کرنا چاہیے کہ بقایا رسیدوں کی نگرانی، معاہدوں کو پورا کرنے، یا دیگر جائز کاروباری ضروریات کے لیے آپ کو کب تک ڈیٹا کی ضرورت ہے۔

سیکٹر کی تنظیمیں ضابطہ اخلاق کے ذریعے رہنمائی فراہم کر سکتی ہیں جو آپ کی صنعت میں عام برقرار رکھنے کے ادوار کا خاکہ پیش کرتی ہیں۔

برقرار رکھنے کے مناسب نظام الاوقات کا تعین کرنا

برقرار رکھنے کی مدت مقرر کرنے کے لیے قانونی ذمہ داریوں، آپریشنل ضروریات، اور GDPR کی ضروریات کا محتاط جائزہ لینے کی ضرورت ہوتی ہے۔ آپ کو اپنے کاروباری مقاصد کو پورا کرنے کے لیے ڈیٹا کو کافی لمبا رکھنے میں توازن رکھنا چاہیے جب کہ اسے ضرورت سے زیادہ دیر تک برقرار نہیں رکھنا چاہیے۔

جائز مقصد اور مدت کا اندازہ لگانا

آپ کو ہر برقراری کی مدت کو براہ راست اس مقصد سے جوڑنے کی ضرورت ہے جس کے لیے آپ نے ڈیٹا اکٹھا کیا تھا۔ جی ڈی پی آر کے مقصد کی حد کے اصول کا مطلب ہے کہ آپ صارف کے ڈیٹا کو غیر معینہ مدت تک نہیں رکھ سکتے۔

اپنے آپ سے پوچھیں کہ اصل مقصد کو پورا کرنے کے لیے آپ کو کتنی دیر تک معلومات کی ضرورت ہے۔

مالیاتی ریکارڈ کو عام طور پر ڈچ ٹیکس قانون کے تحت سات سال تک برقرار رکھنے کی ضرورت ہوتی ہے۔ تاہم، صرف مارکیٹنگ کے لیے استعمال ہونے والے کسٹمر کے رابطے کی تفصیلات صرف ایک یا دو سال کے لیے درکار ہو سکتی ہیں۔

آپ کو ہر ڈیٹا کیٹیگری کا الگ الگ جائزہ لینا چاہیے۔

اس بات پر غور کریں کہ آیا قانونی کارروائیوں کو مزید برقرار رکھنے کی ضرورت ہو سکتی ہے۔ اگر گاہک کا تنازعہ جاری ہے، تو آپ کو متعلقہ ڈیٹا رکھنے کی ضرورت پڑسکتی ہے جب تک کہ معاملہ حل نہ ہوجائے۔

تاہم، ایک بار جب مقصد ختم ہوجاتا ہے، آپ کو معلومات کو حذف یا گمنام کرنا ہوگا۔

سیکٹر کی تنظیمیں بعض اوقات مخصوص صنعتوں کے لیے تجویز کردہ برقراری کے نظام الاوقات شائع کرتی ہیں۔ یہ رہنما خطوط آپ کو اس بات کا تعین کرنے میں مدد کر سکتے ہیں کہ آپ کے شعبے میں دیگر کمپنیاں کیا مناسب سمجھتی ہیں۔

ڈچ ڈیٹا پروٹیکشن اتھارٹی اس بات کا جائزہ لیتی ہے کہ آیا آپ کے منتخب کردہ ادوار آپ کے بیان کردہ مقاصد کے متناسب ہیں۔

پالیسیوں میں برقراری کی دستاویز کرنا

آپ کو اپنے برقرار رکھنے کے ادوار کو ریکارڈ کرنا چاہیے اور وضاحت کرنی چاہیے کہ آپ نے انہیں کیوں چنا ہے۔ اگر ڈچ ڈیٹا پروٹیکشن اتھارٹی آپ کے طرز عمل پر سوال کرتی ہے تو یہ دستاویز آپ کی حفاظت کرتی ہے۔

ہر قسم کے کسٹمر ڈیٹا کے لیے مخصوص ٹائم فریم شامل کریں جس پر آپ کارروائی کرتے ہیں۔

آپ کی داخلی ڈیٹا برقرار رکھنے کی پالیسیوں میں ہر ڈیٹا کے زمرے کو اس کے متعلقہ برقرار رکھنے کی مدت کے ساتھ درج کرنا چاہیے۔ مثال کے طور پر:

آپ کے پرائیویسی سٹیٹمنٹ میں ڈیٹا کے مضامین کو مطلع کرنا چاہیے کہ آپ ان کی معلومات کو کتنی دیر تک رکھتے ہیں۔ واضح زبان استعمال کریں جسے گاہک سمجھ سکیں۔

"جب تک ضروری ہو" جیسے مبہم جملے GDPR کی شفافیت کے تقاضوں کو پورا نہیں کرتے ہیں۔

آپریشنل، قانونی اور کاروباری ضروریات کو متوازن کرنا

برقرار رکھنے کے نظام الاوقات ترتیب دیتے وقت آپ کو مسابقتی مطالبات کا سامنا کرنا پڑتا ہے۔ آپریشنل کارکردگی آسان رسائی کے لیے تمام ڈیٹا کو مستقل طور پر رکھنے کا مشورہ دے سکتی ہے۔

تاہم، GDPR کو کم سے کم ممکنہ برقرار رکھنے کی مدت درکار ہے۔

قانونی ذمہ داریاں کم سے کم برقرار رکھنے کی مدت پیدا کرتی ہیں جنہیں آپ نظر انداز نہیں کر سکتے۔ آپ کی ترجیحات سے قطع نظر ٹیکس ریکارڈ سات سال تک رہنا چاہیے۔

ملازمت سے متعلق ڈیٹا کے مخصوص اصول ہوتے ہیں، زیادہ تر اہلکاروں کی معلومات ملازمت ختم ہونے کے بعد دو سال تک محدود ہوتی ہے۔

کاروباری ضروریات فوری مقصد سے باہر برقرار رکھنے کا جواز پیش کر سکتی ہیں۔ آپ واپسی یا وارنٹی کے دعووں کو سنبھالنے کے لیے خریداری کی تاریخ رکھ سکتے ہیں۔

بقایا رسیدوں کی نگرانی کی ضرورت ہوتی ہے، جس کا مطلب ہے کہ ادائیگی موصول ہونے تک متعلقہ گاہک کا ڈیٹا رکھنا۔

ڈیٹا کے مضامین حذف کرنے کی درخواست کر سکتے ہیں اگر آپ کو ان کی معلومات کی مزید ضرورت نہیں ہے یا اگر قانونی مدت ختم ہو گئی ہے۔

آپ کو ذخیرہ شدہ ڈیٹا کا باقاعدگی سے جائزہ لینا چاہیے اور اس کی برقراری کی مدت گزر جانے والی کسی بھی چیز کو حذف کرنا چاہیے۔ حذف کرنے کے خودکار نظام دستی نگرانی کے بغیر تعمیل کو یقینی بنانے میں مدد کرتے ہیں۔

ڈیٹا کی قسم کے لحاظ سے قانونی برقراری کے ادوار کا جائزہ

ڈچ قانون مختلف قسم کے کاروباری ڈیٹا کے لیے مخصوص کم از کم برقرار رکھنے کی مدت متعین کرتا ہے۔ ٹیکس قوانین کو زیادہ تر مالیاتی ریکارڈوں کے لیے سات سال درکار ہوتے ہیں، جب کہ ملازمت اور صحت کی دیکھ بھال کے اعداد و شمار اپنی ٹائم لائنز کے ساتھ علیحدہ قانونی فریم ورک کی پیروی کرتے ہیں۔

مالیاتی اور ٹیکس ریکارڈز

آپ کو ڈچ ٹیکس قانون کے تحت سات سال کے لیے زیادہ تر مالیاتی ریکارڈ رکھنا چاہیے۔ یہ برقرار رکھنے کی ذمہ داری خریداری اور فروخت کے ریکارڈ، رسید، بینک اسٹیٹمنٹس، اور سالانہ اکاؤنٹس پر لاگو ہوتی ہے۔

سات سال کی مدت مالی سال کے اختتام پر شروع ہوتی ہے جس میں یہ ریکارڈ بنایا گیا تھا۔

آپ کے کریڈٹ اور ڈیبٹ اکاؤنٹس بھی اس سات سال کی ضرورت کے تحت آتے ہیں۔ اس میں لیجرز، جرائد، اور معاون دستاویزات شامل ہیں جو آپ کے کاروباری لین دین کو ثابت کرتی ہیں۔

آپ ان ریکارڈز کو برقرار رکھنے کی مدت ختم ہونے سے پہلے حذف یا تباہ نہیں کر سکتے، چاہے آپ کو روزانہ کی کارروائیوں کے لیے ان کی مزید ضرورت نہ ہو۔

کیش رجسٹر ریکارڈ اور پوائنٹ آف سیل ڈیٹا اسی سات سال کی مدت کے لیے رکھا جانا چاہیے۔ ٹیکس حکام آڈٹ یا تحقیقات کے دوران ان دستاویزات کی درخواست کر سکتے ہیں۔

اگر آپ مناسب ریکارڈ برقرار رکھنے میں ناکام رہتے ہیں، تو آپ کو ڈچ ٹیکس آفس سے جرمانے یا جرمانے کا سامنا کرنا پڑ سکتا ہے۔

انسانی وسائل اور ملازمین کا ڈیٹا

ملازمت ختم ہونے کے بعد سات سال تک ملازمین کی تنخواہ کا ریکارڈ رکھنا ضروری ہے۔ اس میں پے سلپس، ٹیکس فارمز، اور پنشن کے تعاون شامل ہیں۔

آپ کو ٹیکس کے مقاصد اور اجرت یا فوائد کے بارے میں ممکنہ تنازعات کے لیے ان دستاویزات کی ضرورت ہے۔

ڈیٹا کی قسم کے لحاظ سے پرسنل فائلوں کی مختلف ضروریات ہوتی ہیں۔ ملازمت کے بنیادی ریکارڈ جیسے معاہدے اور ملازمت کی درخواستوں کو کسی کے آپ کی کمپنی چھوڑنے کے بعد دو سال تک رکھا جانا چاہیے۔

میڈیکل سرٹیفکیٹ اور بیماری کی چھٹی کے ریکارڈ کو جلد تباہ کیا جا سکتا ہے، عام طور پر دو سال کے بعد۔

کارکردگی کے جائزوں اور تادیبی ریکارڈوں کو برقرار رکھنے کی مختصر مدت درکار ہوتی ہے۔ آپ کو ان کو صرف اس وقت تک رکھنا چاہئے جب تک وہ ملازمت کے تعلقات سے متعلق رہیں ۔

ایک بار جب کوئی ملازم چلا جاتا ہے، تو آپ اسے عام طور پر ایک سے دو سال کے اندر حذف کر سکتے ہیں جب تک کہ قانونی کارروائی زیر التوا نہ ہو۔

صحت کی دیکھ بھال اور طبی فائلیں۔

ڈچ ہیلتھ کیئر قانون کے تحت میڈیکل ریکارڈز کو کم از کم 20 سال تک رکھا جانا چاہیے۔ یہ طویل برقرار رکھنے کی مدت مریضوں اور صحت کی دیکھ بھال فراہم کرنے والوں دونوں کی حفاظت کرتی ہے اگر ماضی کے علاج کے بارے میں سوالات اٹھتے ہیں۔

کچھ ریکارڈز، جیسے کہ نابالغوں پر مشتمل، کو اور بھی زیادہ دیر تک رکھنے کی ضرورت پڑ سکتی ہے۔

مریض کی فائلوں میں تشخیصی معلومات، علاج کے منصوبے، ٹیسٹ کے نتائج، اور خط و کتابت شامل ہیں۔ آپ کو ان کو محفوظ طریقے سے ذخیرہ کرنا چاہیے اور یقینی بنانا چاہیے کہ صرف مجاز عملہ ہی ان تک رسائی حاصل کر سکتا ہے۔

برقرار رکھنے کی مدت ختم ہونے کے بعد، آپ کو ریکارڈز کو اس طریقے سے تباہ کرنا چاہیے جو غیر مجاز رسائی کو روکے۔

دواخانے نسخے کے ریکارڈ کے لیے اسی طرح کے اصولوں پر عمل کرتے ہیں۔ دواؤں کی تاریخ کو ٹریک کرنے اور غلطیوں کو روکنے کے لیے ان کو 15 سال تک رکھا جانا چاہیے۔

صحت کی دیکھ بھال سے متعلق بیمہ کے دعوے اور بلنگ ریکارڈ کے لیے بھی برقرار رکھنے کی مدت میں توسیع کی ضرورت ہوتی ہے۔

تعلیمی اور قانونی دستاویزات

تعلیمی اداروں کو دستاویز کی قسم کی بنیاد پر مخصوص ادوار کے لیے طلبہ کا ریکارڈ رکھنا چاہیے۔ ڈپلومہ اور ڈگری سرٹیفکیٹ پبلک ریکارڈ ایکٹ کے تحت آتے ہیں اور انہیں مستقل طور پر رکھنا ضروری ہے۔

یہ ریکارڈ قابلیت کو ثابت کرتے ہیں اور سابق طلباء کو نقل کی درخواست کرنے کی اجازت دیتے ہیں۔

امتحان کے نتائج اور درجات کم از کم دو سال تک رکھے جانے چاہئیں جب طالب علم اپنی تعلیم مکمل کر لے۔ تعلیمی سال ختم ہونے کے تقریباً ایک سے دو سال بعد کورس کے اندراج اور حاضری کے ریکارڈ کے لیے عام طور پر مختصر مدت درکار ہوتی ہے۔

قانونی دستاویزات جیسے معاہدے اور معاہدوں کو معاہدے کی مدت کے علاوہ سات سال کے لیے رکھا جانا چاہیے۔ عدالتی دستاویزات اور وکلاء کے ساتھ خط و کتابت کو قانونی کارروائیوں کے فعال ہونے اور اس کے بعد کم از کم 20 سال تک برقرار رکھا جانا چاہیے۔

نوٹریل ڈیڈز کو مستقل برقرار رکھنے کی ضرورت ہوتی ہے کیونکہ وہ سرکاری قانونی ثبوت کے طور پر کام کرتے ہیں۔

ڈیٹا ڈیلیٹ اور ڈسٹرکشن کا انتظام

ایک بار برقرار رکھنے کی مدت ختم ہونے کے بعد، آپ کو اپنے سسٹم سے ذاتی ڈیٹا کو فعال طور پر ہٹانا ہوگا۔ ڈچ قانون اس بات پر محتاط توجہ کا متقاضی ہے کہ آپ ڈیٹا اور اپنے تباہی کے طریقوں کی مناسب دستاویزات کو کیسے حذف کرتے ہیں، جبکہ ان حالات کا حساب کتاب کرتے ہوئے جہاں ڈیٹا کو برقرار رکھنے کی مدت ختم ہونے کے باوجود محفوظ کیا جانا چاہیے۔

حذف کرنے کے لیے تیار ڈیٹا کی شناخت

آپ کو اپنے ذخیرہ شدہ کسٹمر ڈیٹا کا باقاعدگی سے جائزہ لینے کی ضرورت ہے تاکہ یہ شناخت کیا جا سکے کہ کون سی معلومات اس کی برقراری کی مدت کے اختتام تک پہنچ چکی ہے۔ ایک ایسا نظام ترتیب دیں جو اس بات کا پتہ لگائے کہ کب ڈیٹا کے مختلف زمروں کو اکٹھا کیا گیا اور کب وہ حذف کرنے کے اہل ہو گئے۔

اس میں کسٹمر کے ریکارڈ، خط و کتابت، لین دین کی تفصیلات اور مارکیٹنگ کی ترجیحات شامل ہو سکتی ہیں۔ کم از کم سہ ماہی اپنے ڈیٹا بیس اور فائلنگ سسٹم کو چیک کرنے کے لیے ایک شیڈول بنائیں۔

بہت سی تنظیمیں خودکار ٹولز کا استعمال کرتی ہیں جو ڈیٹا کو حذف کرنے کی تاریخ کے قریب پہنچتے ہیں یا برقرار رکھنے کی مدت ختم ہونے پر الرٹ بھیجتے ہیں۔ آپ کو اس بات کی واضح انوینٹری برقرار رکھنی چاہیے کہ آپ کے سسٹم میں کسٹمر کا ڈیٹا کہاں رہتا ہے، بشمول بیک اپ سرورز اور محفوظ شدہ فائلز۔

آپ کی ڈیٹا پروسیسنگ ٹیموں کو یہ سمجھنا چاہیے کہ ڈیٹا کی مختلف اقسام پر کون سے برقراری کی مدت لاگو ہوتی ہے۔ مالیاتی ریکارڈ کے لیے ڈچ ٹیکس قانون کے تحت سات سال کا ذخیرہ درکار ہوتا ہے، لیکن مارکیٹنگ کی رضامندی کے ڈیٹا کو صرف برقرار رکھنے کی ضرورت ہو سکتی ہے جب کہ رشتہ فعال رہے۔

اپنے جائزے کے عمل کو دستاویز کریں تاکہ ڈچ ڈیٹا پروٹیکشن اتھارٹی آپ کی تعمیل کی تصدیق کر سکے۔

محفوظ اور تعمیل تباہی کے طریقے

آپ کو ذاتی ڈیٹا کو اس طرح تباہ کرنا چاہیے جس سے بازیافت ناممکن ہو جائے۔ فائلوں کو محض ری سائیکل بن میں منتقل کرنا یا ڈیٹا بیس کے اندراجات کو حذف کرنا ڈچ قانونی تقاضوں کو پورا نہیں کرتا ہے۔

ڈیجیٹل ڈیٹا کے لیے، محفوظ حذف کرنے والا سافٹ ویئر استعمال کریں جو معلومات کو متعدد بار اوور رائٹ کرتا ہے یا اسٹوریج ڈیوائسز کو جسمانی طور پر تباہ کرتا ہے۔ گاہک کے ڈیٹا پر مشتمل کاغذی ریکارڈ کو کراس کٹ یا مائیکرو کٹ شریڈر کے ساتھ کترنے کی ضرورت ہوتی ہے۔

گاہک کی معلومات کو کبھی بھی باقاعدہ کچرے کے ڈبوں میں ضائع نہ کریں۔ ڈیٹا کی بڑی مقدار کے لیے، تباہی کے سرٹیفکیٹ فراہم کرنے والی تصدیق شدہ تباہی کی خدمات کے استعمال پر غور کریں۔

مناسب تباہی کے طریقوں میں شامل ہیں:

• ڈیجیٹل فائلوں کے لیے محفوظ ڈیلیٹ سافٹ ویئر
• ہارڈ ڈرائیوز اور اسٹوریج میڈیا کی جسمانی تباہی۔
• کاغذی دستاویزات کے لیے کراس کٹ شریڈنگ
• مقناطیسی اسٹوریج ڈیوائسز کے لیے ڈیگاسنگ
• دستاویزات کے ساتھ تیسرے فریق کی تباہی کی تصدیق شدہ خدمات

ریکارڈ رکھیں کہ آپ نے کب اور کیسے ڈیٹا کو تباہ کیا۔ ڈچ ڈیٹا پروٹیکشن اتھارٹی آپ سے یہ ثابت کرنے کے لیے کہہ سکتی ہے کہ آپ نے برقرار رکھنے کی مدت ختم ہونے کے بعد کسٹمر کی معلومات کو صحیح طریقے سے حذف کر دیا ہے۔

مستثنیات اور قانونی ہولڈز کو سنبھالنا

بعض اوقات آپ ڈیٹا کو ڈیلیٹ نہیں کر سکتے یہاں تک کہ برقرار رکھنے کی مدت ختم ہو جاتی ہے۔ قانونی کارروائیوں، فعال تحقیقات، یا زیر التواء تنازعات کے لیے آپ سے متعلقہ کسٹمر ڈیٹا کو اس وقت تک محفوظ رکھنے کی ضرورت ہوتی ہے جب تک کہ معاملہ ختم نہ ہو جائے۔

آپ کو قانونی ہولڈ کے عمل کو لاگو کرنا چاہیے جو متاثرہ ڈیٹا کے لیے عام حذف کرنے کے نظام الاوقات کو معطل کرتا ہے۔ ہر قانونی ہولڈ کو مخصوص تفصیلات کے ساتھ دستاویز کریں جس کے بارے میں ڈیٹا کو حذف نہیں کیا جاسکتا اور کیوں۔

ہولڈ شروع ہونے پر اپنی ڈیٹا پروسیسنگ ٹیموں کو فوری طور پر مطلع کریں تاکہ وہ غلطی سے ضروری معلومات کو ضائع نہ کریں۔ ایکٹو ہولڈز کا باقاعدگی سے جائزہ لیں اور قانونی بنیاد ختم ہونے پر انہیں فوری طور پر اٹھا لیں۔

گاہک کی شکایات یا ریگولیٹری استفسارات بھی حذف کرنے کے تقاضوں کو روک دیتے ہیں ۔ اگر کوئی آپ کی تنظیم کے بارے میں ڈچ ڈیٹا پروٹیکشن اتھارٹی کے پاس شکایت درج کراتا ہے، تو آپ کو ان کا ڈیٹا اس وقت تک اپنے پاس رکھنا ہوگا جب تک کہ اتھارٹی معاملہ حل نہیں کر لیتی۔

ان مستثنیات کو اپنی وسیع ڈیٹا برقرار رکھنے کی پالیسیوں کے خلاف متوازن رکھیں جب کہ واضح ریکارڈ کو برقرار رکھتے ہوئے کہ کچھ ڈیٹا آپ کے سسٹمز میں معمول کی مدت سے زیادہ کیوں رہتا ہے۔

ڈیٹا کے مضامین کے حقوق اور تنظیمی تعمیل

وہ افراد جن کے ڈیٹا پر آپ کارروائی کرتے ہیں ان کے پاس GDPR کے تحت مخصوص حقوق ہیں، اور آپ کو مقررہ وقت کے اندر ان کی درخواستوں کا جواب دینا چاہیے۔ آپ کی تنظیم کو بھی مناسب دستاویزات کو برقرار رکھنا چاہیے اور Autoriteit Personsgegevens کی طرف سے مقرر کردہ نگرانی کے تقاضوں پر عمل کرنا چاہیے۔

مٹانے کا حق اور ڈیٹا سبجیکٹ کی درخواستیں۔

ڈیٹا کے مضامین اپنے ذاتی ڈیٹا کو ہٹانے کی درخواست کر سکتے ہیں ایک بار جب برقرار رکھنے کی مدت ختم ہو جائے یا جب آپ کو اس کے اصل مقصد کے لیے مزید معلومات کی ضرورت نہ ہو۔ آپ کو مٹانے کی ان درخواستوں کو موصول ہونے کے ایک ماہ کے اندر جواب دینا چاہیے۔

اگر آپ درخواست سے انکار کرتے ہیں، تو آپ کو ڈیٹا کے موضوع پر اپنے استدلال کی وضاحت کرنی ہوگی۔ اگر آپ ضرورت پڑنے پر ان کا ڈیٹا حذف کرنے میں ناکام رہتے ہیں تو لوگ ڈچ ڈیٹا پروٹیکشن اتھارٹی کو بھی شکایات جمع کروا سکتے ہیں۔

ڈیٹا کے موضوع کو اعتراض کرنے کا حق ہے اگر وہ سمجھتے ہیں کہ آپ ان کی معلومات کو زیادہ دیر تک رکھ رہے ہیں۔ آپ ان درخواستوں کو محض اس لیے نظر انداز نہیں کر سکتے کہ ان پر کارروائی کرنا تکلیف دہ ہے۔

آپ کی تنظیم کے پاس ڈیٹا سبجیکٹ کی درخواستوں سے نمٹنے کے لیے واضح عمل ہونا چاہیے۔ اس میں درخواست کرنے والے شخص کی شناخت کی توثیق کرنا اور یہ جانچنا شامل ہے کہ آیا کوئی قانونی برقرار رکھنے کی مدت اب بھی لاگو ہوتی ہے۔

GDPR کی تعمیل کو ظاہر کرنے کے لیے آپ کو تمام درخواستوں اور اپنے جوابات کو دستاویز کرنا چاہیے۔

برقرار رکھنے کے طریقوں کے ذریعے GDPR کی تعمیل کو یقینی بنانا

آپ کو اپنے برقرار رکھنے کے ادوار کو ریکارڈ کرنے اور یہ بتانے کی ضرورت ہے کہ آپ نے مخصوص ٹائم فریم کیوں منتخب کیے ہیں۔ اس معلومات کو اپنی پرائیویسی پالیسی میں شامل کریں تاکہ آپ Autoriteit Personsgegevens کو اپنے استدلال کو ظاہر کر سکیں اگر وہ پوچھ گچھ کریں۔

اتھارٹی اس بات کا جائزہ لے گی کہ آیا آپ کے برقرار رکھنے کی مدت مناسب اور ممکن حد تک مختصر ہے۔ آپ کے رازداری کے بیان میں واضح طور پر یہ ہونا چاہیے کہ آپ کتنی دیر تک مختلف قسم کے ذاتی ڈیٹا کو اپنے پاس رکھتے ہیں۔

یہ شفافیت ڈیٹا کے مضامین کو آپ کے طرز عمل کو سمجھنے میں مدد کرتی ہے۔ آپ کو اپنے ذخیرہ شدہ ذاتی ڈیٹا کو باقاعدگی سے چیک کرنا چاہیے تاکہ ان معلومات کی شناخت کی جا سکے جو اس کی برقراری کی مدت سے تجاوز کر چکی ہے۔

برقرار رکھنے کی مدت ختم ہونے پر، آپ کو یا تو ڈیٹا کو محفوظ طریقے سے تباہ کرنا ہوگا یا اسے مکمل طور پر گمنام کرنا ہوگا۔ طبی ڈیٹا جیسی حساس معلومات کے لیے، آپ کو تباہی کے محفوظ طریقے استعمال کرنے کی ضرورت ہے۔

ڈیجیٹل سسٹم تعمیل کو برقرار رکھنے میں مدد کے لیے پہلے سے طے شدہ اوقات میں ڈیٹا کو خود بخود حذف کر سکتے ہیں۔

حکام کی طرف سے رپورٹنگ اور نگرانی

Autoriteit Personsgegevens مانیٹر کرتا ہے کہ آیا تنظیمیں ڈیٹا برقرار رکھنے کے لیے GDPR کے تقاضوں پر عمل کرتی ہیں۔ وہ آپ کے طریقوں کی چھان بین کر سکتے ہیں اور آپ کے برقرار رکھنے کی مدت اور حذف کرنے کے طریقہ کار کی دستاویزات کی درخواست کر سکتے ہیں۔

آپ کو ان کے استفسارات میں تعاون کرنا چاہیے اور وہ معلومات فراہم کرنا چاہیے جو وہ طلب کرتے ہیں۔ اگر آپ کو ڈیٹا کی خلاف ورزی کا سامنا ہے جس میں ذاتی ڈیٹا شامل ہے، تو آپ کو 72 گھنٹوں کے اندر ڈچ ڈیٹا پروٹیکشن اتھارٹی کو اس کی اطلاع دینی ہوگی۔

آپ کو متاثرہ ڈیٹا کے مضامین کو براہ راست مطلع کرنے کی بھی ضرورت ہے اگر خلاف ورزی ان کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہے۔ اس میں امتیازی سلوک، دھوکہ دہی، مالی نقصان، یا ساکھ کو نقصان پہنچانے کے خطرات شامل ہیں۔

آپ کی سیکٹر کی تنظیم آپ کی صنعت کے لیے معیاری برقراری کی مدت کے بارے میں رہنمائی فراہم کر سکتی ہے۔ صنعت کے تسلیم شدہ معیارات کی پیروی آپ کی تعمیل کی کوششوں کی حمایت کر سکتی ہے ۔

تاہم، آپ اپنے مخصوص حالات اور قانونی ذمہ داریوں کی بنیاد پر مناسب برقراری کی مدت کا تعین کرنے کے ذمہ دار رہتے ہیں۔

اکثر پوچھے گئے سوالات