جنرل ڈیٹا پروٹیکشن ریگولیشن (EU 2016/679) 25 مئی 2018 کو نافذ ہوا جس میں ڈیٹا کے تحفظ کے موجودہ نظام میں نئے عناصر اور نمایاں اضافہ کیا گیا۔.
ڈیٹا پروٹیکشن ایکٹ (DPA) 2018، جو 23 مئی 2018 کو نافذ ہوا، نے GDPR کو لاگو کیا، جبکہ UK کے قانون میں GDPR کو سیکورٹی سروسز اور حکومتی اداروں جیسے شعبوں تک توسیع دینے کے لیے بھی شامل کیا، جو کہ اکیلے GDPR کے تحت نہیں آتے تھے۔.
بریگزٹ کے بعد (1 جنوری 2021 کے بعد سے بریکسٹ منتقلی کی مدت کے اختتام کے بعد)، یو کے جی ڈی پی آر یورپی یونین کے سیکشن 3 کی بنیاد پر یورپی یونین کے ضابطے کا برقرار رکھا ہوا ورژن ہے (انخلا) ایکشن 2018 اور جیسا کہ ڈیٹا پروٹیکشن، پرائیویسی اور الیکٹرونک (Electronication) کے ذریعے ترمیم کیا گیا ہے۔ ضابطے 2020۔.
UK GDPR ان کے ڈیٹا کے حوالے سے UK کے شہریوں کے حقوق کا تحفظ کرتا ہے، EU GDPR یورپی یونین کے شہریوں کے حقوق کا تحفظ کرتا ہے۔ ان تنظیموں کے لیے جو UK اور EU دونوں شہریوں کے ڈیٹا کو ہینڈل کرتی ہیں، دونوں GDPRs لاگو ہوتے ہیں۔.
EU GDPR کے اصول اور تقاضے برطانیہ میں اس کے بعد کے Brexit ورژن کے ساتھ لاگو ہوتے رہتے ہیں اور یہاں ہم دائرہ کار کے اہم شعبوں اور کچھ تعریفوں کو دیکھتے ہیں۔.
کنٹرولرز اور پروسیسرز
GDPR ڈیٹا کے کنٹرولرز اور پروسیسرز دونوں پر لاگو ہوتا ہے۔ کنٹرولرز کہتے ہیں کہ ذاتی ڈیٹا پر کیسے اور کیوں کارروائی کی جاتی ہے۔ پروسیسر ڈیٹا پر کارروائی کرنے کے لیے کنٹرولر کی جانب سے کام کرتا ہے۔ آپ کی تنظیم ڈیٹا پروسیسر، یا ڈیٹا کنٹرولر، یا دونوں ہو سکتی ہے۔.
کنٹرولرز اور پروسیسرز دونوں پر مخصوص قانونی ذمہ داریاں ہیں:
- کنٹرولرز کو خاص طور پر اس بات کو یقینی بنانا چاہیے کہ پروسیسرز کے ساتھ معاہدے GDPR کی تعمیل کرتے ہیں۔ اور
- کنٹرولرز اور پروسیسرز کے پاس ذاتی ڈیٹا اور پروسیسنگ سرگرمیوں کے ریکارڈ کو برقرار رکھنے کے لیے الگ الگ، لیکن واضح تقاضے ہوتے ہیں۔
- پروسیسرز بھی قانونی طور پر ذمہ دار ہیں اور کسی بھی حفاظتی خلاف ورزی کے ذمہ دار ہیں۔.
دستاویزات کے تقاضوں کے بارے میں مزید تفصیلی معلومات کے لیے براہ کرم ہماری متعلقہ فیکٹ شیٹ 'ڈیٹا سیکیورٹی - جنرل ڈیٹا پروٹیکشن ریگولیشن - انشورنگ کمپلائنس' دیکھیں۔.
ڈیٹا کے تحفظ کے اصول
ذاتی ڈیٹا ہونا چاہئے:
- قانونی طور پر، منصفانہ اور شفاف طریقے سے عملدرآمد
- مخصوص، واضح اور جائز مقاصد کے لیے جمع کیا گیا۔
- مناسب، متعلقہ اور اس مقصد تک محدود جو اس مقصد کے لیے ضروری ہے۔
- درست اور اپ ٹو ڈیٹ رکھا۔ غلط ڈیٹا کو مٹانا یا درست کرنا چاہیے۔
- شناختی فارمیٹ میں ضروری سے زیادہ دیر تک رکھا جاتا ہے۔
- محفوظ طریقے سے کارروائی کی گئی ہے اور غیر مجاز یا غیر قانونی پروسیسنگ، حادثاتی نقصان، یا تباہی یا نقصان سے محفوظ ہے۔.
افراد کے لیے جی ڈی پی آر حقوق
مطلع کرنے کا حق
افراد کو یہ جاننے کا حق ہے کہ ان کے ذاتی ڈیٹا پر کس طرح کارروائی کی جائے گی۔ GDPR پرائیویسی نوٹس کے ذریعے پروسیسنگ میں شفافیت کو فروغ دیتا ہے جس میں کنٹرولر کی تفصیلات (دوسری چیزوں کے ساتھ)، ڈیٹا کے ماخذ، ڈیٹا کے وصول کنندگان، EU سے باہر کی گئی ڈیٹا کی منتقلی، اور ڈیٹا کو برقرار رکھنے کی مدت شامل ہے۔.
رسائی کا حق (موضوع تک رسائی کی درخواست)
افراد کو اس بات کی تصدیق حاصل کرنے کا حق ہے کہ ان کے ڈیٹا پر کارروائی ہو رہی ہے، ان کے ذاتی ڈیٹا تک رسائی، اور دیگر معلومات، جیسے کہ رازداری کے نوٹس میں فراہم کی گئی ہیں۔.
موضوع تک رسائی کی درخواست سے نمٹنے کے لیے زیادہ سے زیادہ وقت کی اجازت 30 دن ہے اور موضوع تک رسائی کی فیس وصول کرنے کا حق ختم کر دیا گیا ہے، جب تک کہ درخواست بے بنیاد، ضرورت سے زیادہ یا دہرائی گئی ہو۔.
اصلاح کا حق
افراد کو غلط یا نامکمل ذاتی ڈیٹا کو درست کرنے کا حق ہے۔ اس میں ذاتی ڈیٹا بھی شامل ہونا چاہیے جو تیسرے فریق کو شیئر کیا گیا ہو یا دیا گیا ہو۔.
مٹانے کا حق
افراد کو ذاتی ڈیٹا کو حذف کرنے یا ہٹانے کی درخواست کرنے کا حق حاصل ہے جہاں اس کی مسلسل کارروائی کی کوئی مجبوری وجہ نہ ہو۔ ایک بار پھر، اس میں ذاتی ڈیٹا بھی شامل ہونا چاہیے جو تیسرے فریقوں کو شیئر کیا گیا ہو یا دیا گیا ہو۔.
یہ نوٹ کرنا ضروری ہے کہ جب درخواست کسی بچے سے متعلق ہو تو اضافی تقاضے ہوتے ہیں۔.
مٹانے کے حق میں کچھ مستثنیات ہیں، جیسے کہ جہاں ڈیٹا کو قانونی ذمہ داری کی تعمیل کے لیے رکھا جاتا ہے۔.
پروسیسنگ کو محدود کرنے کا حق
افراد کو ذاتی ڈیٹا کی پروسیسنگ کو محدود کرنے کا حق حاصل ہے۔ ان حالات میں ذاتی ڈیٹا کو ذخیرہ کیا جا سکتا ہے، لیکن اس پر کارروائی نہیں کی جا سکتی۔.
ڈیٹا پورٹیبلٹی کا حق
افراد کو مختلف خدمات میں اپنا ذاتی ڈیٹا حاصل کرنے اور دوبارہ استعمال کرنے کا حق ہے۔ یہ انہیں ذاتی ڈیٹا کو منتقل کرنے، کاپی کرنے یا منتقل کرنے کی اجازت دیتا ہے۔ ذاتی ڈیٹا کو مشین سے پڑھنے کے قابل ساختہ فارمیٹ (جیسے .csv) میں فراہم کیا جانا چاہیے۔.
اعتراض کا حق
افراد کو ذاتی ڈیٹا کی پروسیسنگ پر اعتراض کرنے کا حق ہے۔ پروسیسنگ کو فوری طور پر روک دینا چاہیے جب تک کہ پروسیسنگ کے لیے 'مجبور' جائز بنیادیں نہ ہوں، یا اگر پروسیسنگ قانونی دعووں کے قیام، مشق یا دفاع کے لیے ہو۔.
خودکار فیصلہ سازی اور پروفائلنگ کے سلسلے میں حقوق
افراد کو یہ یقینی بنانے کا حق حاصل ہے کہ انسانی مداخلت کے بغیر لیے جانے والے فیصلوں کو نقصان پہنچانے کے خطرے سے بچانے کے لیے حفاظتی اقدامات موجود ہیں۔ یہ پروفائلنگ کے مقاصد کے لیے استعمال ہونے والے ذاتی ڈیٹا کی حفاظت تک بھی پھیلا ہوا ہے۔.
احتساب اور گورننس
جوابدہی کے اصول کا تقاضا ہے کہ تعمیل کو دستاویز کرنے کے لیے مناسب حکمرانی کے اقدامات کیے جائیں۔ لہذا تنظیموں کو یہ کرنے کی ضرورت ہے:
- اعداد و شمار کے تحفظ کے اصولوں پر پورا اترنے والے اقدامات کو نافذ کریں۔
- ذاتی ڈیٹا کے ذخیرہ اور پروسیسنگ کے سلسلے میں دستاویز کی پالیسیاں اور طریقہ کار
- تعمیل کو یقینی بنانے اور ظاہر کرنے کے لیے تکنیکی اور تنظیمی اقدامات کو نافذ کرنا۔.
- جہاں ضروری ہو ڈیٹا پروٹیکشن آفیسر کا تقرر کریں۔.
مزید تفصیلی معلومات کے لیے براہ کرم ہماری متعلقہ فیکٹ شیٹ 'ڈیٹا سیکیورٹی - ڈیٹا پروٹیکشن کمپلائنس کو یقینی بنانا' دیکھیں۔.
پروسیسنگ کی قانونی حیثیت
اپنی پروسیسنگ کی قانونی بنیاد کو سمجھنا اور دستاویز کرنا ضروری ہے۔ چھ ہیں:
- رضامندی
- معاہدہ کی ذمہ داری
- قانونی ذمہ داری
- اہم مفادات
- مفاد عامہ
- جائز مفادات۔.
رضامندی کے معاملے پر، اسے مخصوص، غیر مبہم اور آزادانہ طور پر دیا جانا چاہیے۔ غیر فعال ہونے سے مثبت رضامندی کا اندازہ نہیں لگایا جا سکتا، جیسے کہ آن لائن 'ان سبسکرائب' باکس پر کلک کرنے میں ناکامی، یا پہلے سے ٹک شدہ بکس کے استعمال سے۔ کاروباری اداروں کو یہ یقینی بنانے کی ضرورت ہے کہ وہ تاریخ، وقت، طریقہ اور رضامندی حاصل کرنے کے لیے استعمال ہونے والے اصل الفاظ کو حاصل کرتے ہیں، اس لیے یہ یقینی بنانا ضروری ہے کہ آپ کے کاروبار کے پاس ایسی معلومات کو ریکارڈ اور دستاویز کرنے کے ذرائع موجود ہوں۔.
جائز دلچسپی آپ کو افراد کے ڈیٹا پر کارروائی کرنے کی صلاحیت فراہم کرے گی لیکن صرف ان حدود کے اندر جس کی وہ توقع کریں گے۔ اگر آپ کو جائز مفادات پر انحصار کرنا ہے، تو آپ اس بات کو یقینی بنانے کی ذمہ داری اٹھائیں گے:
- جائز مفاد استعمال کرنے کی ایک بنیاد ہے۔
- ڈیٹا کی پروسیسنگ اس دلچسپی تک محدود ہے اور اس کا مظاہرہ کیا جا سکتا ہے۔
- توازن کے عمل میں فرد کے حقوق پر غور کیا گیا ہے۔
- فرد کو آپ کی رازداری کی پالیسیوں میں جائز مفادات سے آگاہ کیا جاتا ہے۔.
خلاف ورزیوں کی اطلاع
ذاتی ڈیٹا کی خلاف ورزی حادثاتی یا غیر قانونی تباہی، نقصان، تبدیلی، غیر مجاز انکشاف یا ذاتی ڈیٹا تک رسائی ہے۔.
UK ریگولیٹر ICO کے پاس ایک آن لائن خود تشخیصی ٹول ہے جو خلاف ورزی کی شدت کا تعین کرنے میں مدد کرتا ہے اور آیا اس کی اطلاع دینے کی ضرورت ہے یا نہیں۔ کچھ خلاف ورزیوں کو 72 گھنٹوں کے اندر متعلقہ نگران اتھارٹی کو مطلع کرنے کی ضرورت ہے۔ جیسے ہی خلاف ورزی کا پتہ چلتا ہے اس کا جائزہ لینا بہت ضروری ہے۔.
ICO ذاتی ڈیٹا کی خلاف ورزی کی تشخیص کی رہنمائی
ڈیٹا کی منتقلی۔
28 جون 2021 کو EU کمیشن نے UK کے لیے ایک مناسب فیصلہ اپنایا جس کا مطلب ہے کہ زیادہ تر ڈیٹا اضافی حفاظتی اقدامات کی ضرورت کے بغیر UK اور EU EEA کے درمیان جاری رہ سکتا ہے۔ (استثنیٰ امیگریشن کنٹرول کے مقاصد کے لیے ڈیٹا ہے۔)
ڈیٹا کو کسی 'تیسرے ملک' میں منتقل کرتے وقت، اس کے بعد اضافی حفاظتی اقدامات جیسے معیاری معاہدہ کی شقیں یا کارپوریٹ کے پابند قوانین لاگو ہو سکتے ہیں۔ ذیل میں پہلا لنک یو کے ریگولیٹر - ICO سے ہے۔ دوسرا یورپی کمیشن کا ہے۔.
ICO ڈیٹا کی منتقلی کے معاہدے کی رہنمائی
بلاک سے باہر منتقلی کے لیے یورپی یونین کے قوانین
ذرائع اور لنکس
تنظیموں کے لیے ICO ہوم پیج
EU GDPR پورٹل - www.gdpreu.org
