GDPR کے بارے میں ایک حوالہ متن دیتے ہوئے، مجھے بتائیں کہ GDPR ذاتی ڈیٹا کو محفوظ بنانے میں کس طرح مدد کرتا ہے۔
جنرل ڈیٹا پروٹیکشن ریگولیشن (2016/679، "GDPR") EU اور یورپی اکنامک ایریا (EEA) میں ڈیٹا کے تحفظ اور رازداری سے متعلق EU قانون میں ایک ضابطہ ہے۔ GDPR یورپی یونین کے رازداری کے قانون اور انسانی حقوق کے قانون کا ایک اہم جزو ہے، خاص طور پر یورپی یونین کے بنیادی حقوق کے چارٹر کے آرٹیکل 8(1)۔ یہ EU اور EEA علاقوں سے باہر ذاتی ڈیٹا کی منتقلی پر بھی توجہ دیتا ہے۔ GDPR کا بنیادی مقصد افراد کے ذاتی ڈیٹا پر ان کے کنٹرول اور حقوق کو بڑھانا اور بین الاقوامی کاروبار کے لیے ریگولیٹری ماحول کو آسان بنانا ہے۔ ڈیٹا پروٹیکشن ڈائرکٹیو 95/46/EC کی جگہ لے کر، اس ضابطے میں افراد کے ذاتی ڈیٹا کی پروسیسنگ سے متعلق دفعات اور تقاضے شامل ہیں، جنہیں رسمی طور پر "ڈیٹا سبجیکٹ" کہا جاتا ہے، جو EEA میں واقع ہیں، اور کسی بھی انٹرپرائز پر لاگو ہوتا ہے خواہ اس کا کوئی بھی ہو۔ مقام اور ڈیٹا کے مضامین کی شہریت یا رہائش - جو EEA کے اندر افراد کی ذاتی معلومات پر کارروائی کر رہا ہے۔  جی ڈی پی آر کو 14 اپریل 2016 کو اپنایا گیا تھا اور 25 مئی 2018 سے قابل نفاذ بن گیا تھا۔ چونکہ جی ڈی پی آر ایک ضابطہ ہے، کوئی ہدایت نہیں، یہ براہ راست پابند اور قابل اطلاق ہے، اور انفرادی رکن ممالک کی طرف سے ایڈجسٹ کیے جانے والے ضابطے کے بعض پہلوؤں کے لیے لچک فراہم کرتا ہے۔ .   یورپی کمیشن کے مطابق، "ذاتی ڈیٹا وہ معلومات ہے جو کسی شناخت شدہ یا قابل شناخت فرد سے متعلق ہوتی ہے۔ اگر آپ اس معلومات سے کسی فرد کی براہ راست شناخت نہیں کر سکتے، تو آپ کو اس بات پر غور کرنے کی ضرورت ہے کہ آیا وہ فرد اب بھی قابل شناخت ہے۔ آپ کو معلومات کو مدنظر رکھنا چاہیے۔ آپ ان تمام ذرائع کے ساتھ مل کر کارروائی کر رہے ہیں جن کا معقول طور پر آپ یا کوئی دوسرا شخص اس فرد کی شناخت کے لیے استعمال کرے گا۔" "ذاتی ڈیٹا"، "پروسیسنگ"، "ڈیٹا سبجیکٹ"، "کنٹرولر" اور "پروسیسر" جیسی اصطلاحات کی درست تعریفیں ضابطے کے آرٹیکل 4 میں بیان کی گئی ہیں۔   اصول  ذاتی ڈیٹا پر اس وقت تک کارروائی نہیں کی جا سکتی جب تک کہ ایسا کرنے کی کم از کم ایک قانونی بنیاد نہ ہو۔ آرٹیکل 6 کہتا ہے کہ قانونی مقاصد یہ ہیں:   (a) اگر ڈیٹا کے موضوع نے اپنے ذاتی ڈیٹا کی کارروائی کے لیے رضامندی دی ہے۔  (b) کسی ڈیٹا سبجیکٹ کے ساتھ معاہدے کی ذمہ داریوں کو پورا کرنا، یا کسی ڈیٹا کے موضوع کی درخواست پر کاموں کے لیے جو معاہدہ کرنے کے عمل میں ہے۔  (c) ڈیٹا کنٹرولر کی قانونی ذمہ داریوں کی تعمیل کرنا؛  (d) ڈیٹا کے موضوع یا دوسرے فرد کے اہم مفادات کی حفاظت کے لیے؛  (e) مفاد عامہ یا سرکاری اتھارٹی میں کوئی کام انجام دینا؛  (f) ڈیٹا کنٹرولر یا فریق ثالث کے جائز مفادات کے لیے، جب تک کہ یہ مفادات بنیادی حقوق کے چارٹر (خاص طور پر بچوں کے معاملے میں) کے مطابق ڈیٹا کے موضوع یا اس کے یا اس کے حقوق کے مفادات سے اوور رائڈ نہ ہوں۔   ذاتی ڈیٹا کی حفاظت  پرسنل ڈیٹا کے کنٹرولرز اور پروسیسرز کو ڈیٹا کے تحفظ کے اصولوں کو نافذ کرنے کے لیے مناسب تکنیکی اور تنظیمی اقدامات کرنے چاہییں۔ ذاتی ڈیٹا کو سنبھالنے والے کاروباری عمل کو اصولوں کو مدنظر رکھتے ہوئے ڈیزائن اور بنایا جانا چاہیے اور ڈیٹا کی حفاظت کے لیے حفاظتی اقدامات فراہم کیے جائیں (مثال کے طور پر، تخلص یا مکمل گمنامی کا استعمال جہاں مناسب ہو)۔ ڈیٹا کنٹرولرز کو رازداری کو ذہن میں رکھتے ہوئے انفارمیشن سسٹم کو ڈیزائن کرنا چاہیے۔ مثال کے طور پر، سب سے زیادہ ممکنہ رازداری کی ترتیبات کو بطور ڈیفالٹ استعمال کرنا، تاکہ ڈیٹا سیٹس عوامی طور پر بطور ڈیفالٹ دستیاب نہ ہوں اور کسی موضوع کی شناخت کے لیے استعمال نہ ہوں۔ کسی بھی ذاتی ڈیٹا پر اس وقت تک کارروائی نہیں کی جا سکتی جب تک کہ یہ پروسیسنگ ضابطے کے ذریعے بیان کردہ چھ قانونی بنیادوں میں سے کسی ایک کے تحت نہ ہو (رضامندی، معاہدہ، عوامی کام، اہم مفاد، جائز مفاد یا قانونی ضرورت)۔ جب پروسیسنگ رضامندی پر مبنی ہوتی ہے تو ڈیٹا کا موضوع کسی بھی وقت اسے منسوخ کرنے کا حق رکھتا ہے۔   آرٹیکل 33 کہتا ہے کہ ڈیٹا کنٹرولر کی قانونی ذمہ داری ہے کہ وہ بغیر کسی تاخیر کے نگران اتھارٹی کو مطلع کرے جب تک کہ خلاف ورزی کے نتیجے میں افراد کے حقوق اور آزادیوں کو خطرہ نہ ہو۔ رپورٹ بنانے کے لیے ڈیٹا کی خلاف ورزی سے آگاہ ہونے کے بعد زیادہ سے زیادہ 72 گھنٹے ہیں۔ اگر کسی منفی اثر کے زیادہ خطرے کا تعین کیا جائے تو افراد کو مطلع کیا جانا چاہیے (آرٹیکل 34)۔ اس کے علاوہ، ڈیٹا پروسیسر کو ذاتی ڈیٹا کی خلاف ورزی (آرٹیکل 33) سے آگاہ ہونے کے بعد بغیر کسی تاخیر کے کنٹرولر کو مطلع کرنا ہوگا۔ تاہم، ڈیٹا کے مضامین کو نوٹس کی ضرورت نہیں ہے اگر ڈیٹا کنٹرولر نے مناسب تکنیکی اور تنظیمی تحفظ کے اقدامات نافذ کیے ہیں جو ذاتی ڈیٹا کو کسی ایسے شخص کے لیے ناقابل فہم بنا دیتے ہیں جو اس تک رسائی کا مجاز نہیں ہے، جیسے کہ خفیہ کاری (آرٹیکل 34)۔   ڈیٹا پروٹیکشن آفیسر   آرٹیکل 37 میں ڈیٹا پروٹیکشن آفیسر کی تقرری کی ضرورت ہے۔ اگر پروسیسنگ کسی عوامی اتھارٹی کے ذریعہ کی جاتی ہے (سوائے عدالتوں یا آزاد عدالتی حکام کے جب وہ اپنی عدالتی صلاحیت میں کام کرتے ہیں) یا اگر پروسیسنگ آپریشنز میں بڑے پیمانے پر ڈیٹا کے مضامین کی باقاعدہ اور منظم نگرانی شامل ہوتی ہے، یا اگر بڑے پیمانے پر پروسیسنگ ہوتی ہے۔ مجرمانہ سزاؤں اور جرائم سے متعلق ڈیٹا اور ذاتی ڈیٹا کے خصوصی زمرے (آرٹیکلز 9 اور آرٹیکل 10) ایک ڈیٹا پروٹیکشن آفیسر (DPO) — ڈیٹا پروٹیکشن قانون اور طریقوں کا ماہر علم رکھنے والا شخص — کو کنٹرولر یا پروسیسر کی مدد کے لیے نامزد کیا جانا چاہیے۔ ضابطے کے ساتھ ان کی داخلی تعمیل کی نگرانی کرنا۔   ایک نامزد ڈی پی او کسی کنٹرولر یا پروسیسر کے عملے کا موجودہ رکن ہوسکتا ہے، یا خدمت کے معاہدے کے ذریعے یہ کردار کسی بیرونی شخص یا ایجنسی کو آؤٹ سورس کیا جا سکتا ہے۔ کسی بھی صورت میں، پروسیسنگ باڈی کو یقینی بنانا چاہیے کہ ڈی پی او کے دوسرے کرداروں یا مفادات میں مفادات کا کوئی ٹکراؤ نہیں ہے۔ ڈی پی او کے لیے رابطے کی تفصیلات پروسیسنگ آرگنائزیشن (مثال کے طور پر پرائیویسی نوٹس میں) کے ذریعے شائع کی جانی چاہیے اور نگران اتھارٹی کے ساتھ رجسٹرڈ ہونی چاہیے۔   ڈی پی او ایک کمپلائنس آفیسر کی طرح ہوتا ہے اور اس سے توقع کی جاتی ہے کہ وہ آئی ٹی پروسیسز، ڈیٹا سیکیورٹی (بشمول سائبرٹیکس سے نمٹنے) اور ذاتی اور حساس ڈیٹا کے ہولڈنگ اور پروسیسنگ سے منسلک کاروباری تسلسل کے مسائل کے انتظام میں ماہر ہوں۔ مہارت کا سیٹ ڈیٹا کے تحفظ کے قوانین اور ضوابط کے ساتھ قانونی تعمیل کو سمجھنے سے باہر ہے۔ DPO کو تنظیم کی جانب سے جمع اور ذخیرہ کیے گئے تمام ڈیٹا کی زندہ ڈیٹا انوینٹری کو برقرار رکھنا چاہیے۔ فنکشن اور ڈیٹا پروٹیکشن آفیسر کے کردار کے بارے میں مزید تفصیلات 13 دسمبر 2016 (5 اپریل 2017 کو نظر ثانی شدہ) ایک گائیڈ لائن دستاویز میں دی گئیں۔   EU سے باہر کی تنظیموں کو اپنی GDPR ذمہ داریوں (آرٹیکل 27) کے لیے EU میں مقیم ایک فرد کو بطور نمائندہ اور رابطہ مقام بھی مقرر کرنا چاہیے۔ یہ ڈی پی او کی طرف سے ایک الگ کردار ہے، حالانکہ ذمہ داریوں میں اوورلیپ ہے جو تجویز کرتا ہے کہ یہ کردار نامزد ڈی پی او کے پاس بھی ہو سکتا ہے۔
جنرل ڈیٹا پروٹیکشن ریگولیشن ذاتی ڈیٹا کو ذخیرہ کرنے اور اس پر کارروائی کرنے کے لیے رہنما خطوط فراہم کرتا ہے۔ ذاتی ڈیٹا کسی شناخت شدہ یا قابل شناخت شخص کے بارے میں کوئی بھی معلومات ہے، جسے ڈیٹا سبجیکٹ بھی کہا جاتا ہے۔ ذاتی ڈیٹا میں وہ معلومات شامل ہوتی ہیں جیسے کہ ان کا:   نام  کا پتہ  شناختی کارڈ/پاسپورٹ نمبر  آمدنی کا  ثقافتی پروفائل  انٹرنیٹ پروٹوکول (IP) پتہ کا  ڈیٹا جو ہسپتال یا ڈاکٹر کے پاس ہوتا ہے (جو صحت کے مقاصد کے لیے انفرادی طور پر کسی شخص کی شناخت کرتا ہے)۔   ڈیٹا کے خاص زمرے  آپ کسی کے بارے میں ذاتی ڈیٹا پر کارروائی نہیں کر سکتے ہیں:   نسلی یا نسلی اصل  جنسی رجحان  سیاسی آراء  مذہبی یا فلسفیانہ عقائد  ٹریڈ یونین کی رکنیت  جینیاتی، بائیو میٹرک یا صحت کا ڈیٹا سوائے مخصوص معاملات کے (مثلاً جب آپ کو واضح رضامندی دی گئی ہو یا جب خاطر خواہ مفاد عامہ کی وجوہات کی بنا پر EU یا قومی قانون کی بنیاد پر پروسیسنگ کی ضرورت ہو)  مجرمانہ سزاؤں اور جرائم سے متعلق ذاتی ڈیٹا جب تک کہ EU یا قومی قانون کی طرف سے اس کی اجازت نہ ہو۔   کون ذاتی ڈیٹا پر کارروائی کرتا ہے؟  پروسیسنگ کے دوران، ذاتی ڈیٹا مختلف مختلف کمپنیوں یا تنظیموں سے گزر سکتا ہے۔ اس سائیکل کے اندر دو اہم پروفائلز ہیں جو ذاتی ڈیٹا پر کارروائی کرتے ہیں:   ڈیٹا کنٹرولر - ذاتی ڈیٹا پر کارروائی کرنے کے مقصد اور طریقہ کا فیصلہ کرتا ہے۔  ڈیٹا پروسیسر - ڈیٹا کنٹرولر کی جانب سے ڈیٹا رکھتا ہے اور اس پر کارروائی کرتا ہے۔  کون نگرانی کرتا ہے کہ کمپنی کے اندر ذاتی ڈیٹا پر کس طرح کارروائی کی جاتی ہے؟  ڈیٹا پروٹیکشن آفیسر (DPO)، جسے کمپنی کی طرف سے نامزد کیا گیا ہو، ذاتی ڈیٹا پر کارروائی کے طریقہ کار کی نگرانی اور ان ملازمین کو مطلع اور مشورہ دینے کا ذمہ دار ہے جو اپنی ذمہ داریوں کے بارے میں ذاتی ڈیٹا پر کارروائی کرتے ہیں۔ ڈی پی او ڈیٹا پروٹیکشن اتھارٹی (DPA) کے ساتھ بھی تعاون کرتا ہے، جو DPA اور افراد کے لیے رابطے کے نقطہ کے طور پر کام کرتا ہے۔   کسی دوسری کمپنی کے لیے ڈیٹا پر کارروائی کرنا  ایک ڈیٹا کنٹرولر صرف ڈیٹا پروسیسر کا استعمال کر سکتا ہے جو کافی ضمانتیں پیش کرتا ہے، ان کو شامل فریقین کے درمیان تحریری معاہدے میں شامل کیا جانا چاہیے۔ معاہدے میں متعدد لازمی شقیں بھی ہونی چاہئیں، جیسے کہ ڈیٹا پروسیسر صرف ذاتی ڈیٹا پر کارروائی کرے گا جب ڈیٹا کنٹرولر کی طرف سے ایسا کرنے کی ہدایت کی جائے گی۔   ڈیٹا کی منتقلی EU سے باہر  جب ذاتی ڈیٹا کو EU سے باہر منتقل کیا جاتا ہے تو GDPR کی طرف سے پیش کردہ تحفظ کو ڈیٹا کے ساتھ سفر کرنا چاہیے۔ اس کا مطلب ہے کہ اگر آپ بیرون ملک ڈیٹا ایکسپورٹ کرتے ہیں، تو آپ کی کمپنی کو مندرجہ ذیل اقدامات میں سے ایک کو یقینی بنانا ہوگا:   غیر EU ملک کے تحفظات EU کے ذریعہ مناسب سمجھے جاتے ہیں۔  آپ کی کمپنی مناسب حفاظتی اقدامات فراہم کرنے کے لیے ضروری اقدامات کرتی ہے، جیسے کہ ذاتی ڈیٹا کے غیر یورپی درآمد کنندہ کے ساتھ طے شدہ معاہدے میں مخصوص شقیں شامل کرنا۔  آپ کی کمپنی منتقلی کے لیے مخصوص بنیادوں پر انحصار کرتی ہے جیسے کہ فرد کی رضامندی۔  ڈیٹا پروسیسنگ کی اجازت کب ہے؟  EU ڈیٹا کے تحفظ کے قوانین کا مطلب ہے کہ آپ کو ایک مخصوص اور جائز مقصد کے لیے ڈیٹا کو منصفانہ اور قانونی طریقے سے پروسیس کرنا چاہیے اور صرف اس مقصد کو پورا کرنے کے لیے ضروری ڈیٹا پر کارروائی کرنی چاہیے۔ آپ کو یقینی بنانا ہوگا کہ آپ ذاتی ڈیٹا پر کارروائی کرنے کے لیے درج ذیل شرائط میں سے ایک کو پورا کرتے ہیں۔ آپ کو:   متعلقہ فرد کی رضامندی دی گئی ہے  کہ فرد کے ساتھ معاہدہ کی ذمہ داری کو پورا کرنے کے لیے ذاتی ڈیٹا کی ضرورت ہے  قانونی ذمہ داری کو پورا کرنے کے لیے ذاتی ڈیٹا کی  ضرورت ہے تاکہ انفرادی  عمل کے اہم مفادات کے تحفظ کے لیے ذاتی ڈیٹا کی ضرورت ہو عوام کے مفاد میں کام  آپ کی کمپنی کے جائز مفادات میں کام کر رہے ہیں، جب تک کہ اس فرد کے بنیادی حقوق اور آزادیوں پر جس کے ڈیٹا پر کارروائی کی جاتی ہے سنجیدگی سے متاثر نہیں ہوتے۔ اگر شخص کے حقوق آپ کی کمپنی کے مفادات کو زیر کرتے ہیں، تو آپ ذاتی ڈیٹا پر کارروائی نہیں کر سکتے۔    ڈیٹا پروسیسنگ سے اتفاق - رضامندی تک  رسائی کا حق اور ڈیٹا پورٹیبلٹی کا حق  درست کرنے کا حق اور اعتراض کرنے کا حق  مٹانے کا حق (بھولنے کا حق)  خودکار فیصلہ سازی اور  ڈیٹا کی خلاف ورزیوں کی پروفائلنگ - مناسب اطلاع فراہم کرنا  درخواستوں کا جواب دینا  اثر اندازوں کا  ریکارڈ رکھنا