Personal Data Privacy and Security Act of 2009
2009 کا پرسنل ڈیٹا پرائیویسی اینڈ سیکیورٹی ایکٹ (سرکاری عنوان: شناخت کی چوری کو روکنے اور کم کرنے، رازداری کو یقینی بنانے، سیکیورٹی کی خلاف ورزیوں کا نوٹس فراہم کرنے، اور مجرمانہ سزاؤں کو بڑھانے، قانون نافذ کرنے والے اداروں کی مدد، اور سیکیورٹی کی خلاف ورزیوں کے خلاف دیگر تحفظات، دھوکہ دہی تک رسائی، اور ذاتی طور پر قابل شناخت معلومات کے غلط استعمال)، ریاستہائے متحدہ کانگریس میں تجویز کردہ ایک بل تھا جس کا مقصد نجی کمپنیوں اور سرکاری ایجنسیوں کے ذریعہ ذاتی طور پر قابل شناخت معلومات کے تحفظ میں اضافہ کرنا، ڈیٹا بروکرز کے ذریعہ ذاتی ڈیٹا کے اشتراک پر رہنما خطوط اور پابندیاں طے کرنا، اور شناخت کی چوری اور ڈیٹا پرائیویسی اور سیکیورٹی کی دیگر خلاف ورزیوں کے لیے مجرمانہ سزا کو بڑھانا تھا۔ اس بل کو ریاستہائے متحدہ کی سینیٹ میں پیٹرک لیہی (ڈیموکریٹ-ورمونٹ) نے اسپانسر کیا تھا، جہاں اسے S.1490 کے نام سے جانا جاتا ہے۔ اسٹیٹس سینیٹر پیٹرک لیہی نے 22 جولائی 2009 کو یہ بل پیش کیا اور اسے سینیٹ کی جوڈیشری کمیٹی کے پاس بھیج دیا گیا جہاں اس کی منظوری دی گئی۔ آخری کارروائی 17 دسمبر 2009 کو ہوئی تھی۔ یہ بل 111 ویں ریاستہائے متحدہ کانگریس کے دوران اور 2009-2010 اجلاس کے اختتام پر بحث کے لیے نہیں آیا اور کبھی قانون نہیں بنا۔ خلاصہ لائبریری آف کانگریس کی کانگریشنل ریسرچ سروس (سی آر ایس) اپنے چار اہم حصوں میں بل کا خلاصہ پیش کرتی ہے۔ عنوان I-شناخت کی چوری اور ڈیٹا پرائیویسی اور سیکیورٹی کی دیگر خلاف ورزیوں کے لیے سزا میں اضافہ سیکشن 101 وفاقی فوجداری ضابطے میں ترمیم کرتا ہے تاکہ ریکیٹیئرنگ سرگرمی کی تعریف میں اجازت کے بغیر جان بوجھ کر کمپیوٹر تک رسائی کو شامل کیا جا سکے۔ سیکشن 102 ایک یا ایک سے زیادہ افراد کو معاشی نقصان پہنچانے والی حساس ذاتی طور پر قابل شناخت معلومات پر مشتمل حفاظتی خلاف ورزی کو جان بوجھ کر اور جان بوجھ کر چھپانے پر پانچ سال تک کا جرمانہ اور/یا قید کی سزا عائد کرتا ہے۔ یہ "حساس ذاتی طور پر قابل شناخت معلومات" کی وضاحت کرتا ہے جس میں کسی فرد کا نام دیگر ذاتی معلومات کے ساتھ مل کر شامل کیا جاتا ہے، جیسے کہ سوشل سیکیورٹی نمبر، گھر کا پتہ، تاریخ پیدائش، بائیو میٹرک ڈیٹا، یا مالیاتی اکاؤنٹ کی معلومات۔ سیکشن 103 یہ امریکہ کو ہدایت دیتا ہے۔ سزا کمیشن شناخت کی چوری کے لیے سزا کے رہنما خطوط سمیت، رسائی، یا غلط استعمال، ڈیجیٹائزڈ یا الیکٹرانک ذاتی طور پر قابل شناخت معلومات تک رسائی کے لیے دھوکہ دہی کا استعمال کرنے کے مجرم افراد کے لیے وفاقی سزا کے رہنما اصولوں کا جائزہ لے گا اور اگر مناسب ہو تو ان میں ترمیم کرے گا۔ سیکشن 104 وفاقی دیوالیہ پن کے ضابطے میں ترمیم کرتا ہے تاکہ قرض دہندہ کی ناکامی کی بنیاد پر دیوالیہ پن کے مقدمے کی برطرفی یا تبدیلی کو ممنوع قرار دیا جا سکے جس کا مطلب اہلیت کے تقاضوں کی جانچ کرنا ہے اگر ایسا قرض دہندہ شناخت کی چوری کا شکار ہے۔ عنوان II-ڈیٹا بروکرز سیکشن 201 کے لیے بین ریاستی ڈیٹا بروکرز کی ضرورت ہوتی ہے (کاروباری اداروں کے طور پر جو مالیاتی فیس یا واجبات کے لیے، 5000 سے زیادہ افراد کی حساس ذاتی طور پر قابل شناخت معلومات کو اکٹھا کرنے، منتقل کرنے یا ان تک رسائی فراہم کرنے کے عمل میں باقاعدگی سے مشغول ہوتے ہیں۔ بین ریاستی بنیادوں پر غیر وابستہ تیسرے فریق) تاکہ: (1) درخواست کرنے والے فرد کو اس طرح کے ڈیٹا بیس یا سسٹم میں ایسے فرد سے متعلق تمام ذاتی الیکٹرانک ریکارڈ اس طرح کی درخواست کے وقت ظاہر کریں۔ (2) ایسے افراد کو اپنے ریکارڈ میں غلطیوں کو درست کرنے کے لیے رہنمائی فراہم کریں۔ (3) اپنے ڈیٹا بیس میں موجود معلومات کی بنیاد پر کسی تیسرے فریق کی طرف سے کسی فرد کے خلاف کی گئی کسی بھی منفی کارروائی کا تحریری یا الیکٹرانک نوٹس فراہم کریں۔ اور (4) اپنے ڈیٹا بیس میں موجود کسی بھی غلط معلومات کو درست کریں۔ ڈیٹا بروکر کے ڈیٹا بیس میں معلومات کی مکمل یا درستگی پر اختلاف کرنے کے لیے طریقہ کار طے کرتا ہے۔ ڈیٹا بروکر کو کسی فرد کی طرف سے متنازعہ معلومات کے جائزے کی تحقیقات کرنے یا اسے ختم کرنے سے انکار کرنے کی اجازت دیتا ہے اگر ڈیٹا بروکر معقول طور پر اس بات کا تعین کرتا ہے کہ تنازعہ فضول ہے اور دھوکہ دہی کا ارتکاب کرنے کا ارادہ رکھتا ہے۔ سیکشن 202 ڈیٹا بروکرز پر سول جرمانے عائد کرتا ہے جو اس عنوان کی ضروریات کی خلاف ورزی کرتے ہیں۔ ڈیٹا بروکرز پر فیڈرل ٹریڈ کمیشن (ایف ٹی سی) کے نفاذ کا اختیار دیتا ہے۔ ریاستی اٹارنی جنرل کو اجازت دیتا ہے کہ وہ ڈیٹا بروکرز کے خلاف سول علاج کی پیروی کریں جنہیں ریاست کے رہائشیوں کے لیے خطرہ سمجھا جاتا ہے۔ سیکشن 203 ڈیٹا بروکرز کے ریاستی ضابطے کو روکتا ہے۔ دفعہ 204 اس عنوان کی دفعات کو اس ایکٹ کے نفاذ کے 180 دن بعد موثر بناتی ہے۔ عنوان III-ذاتی طور پر قابل شناخت معلومات کی پرائیویسی اور سیکیورٹی ذیلی عنوان A-ایک ڈیٹا پرائیویسی اور سیکیورٹی پروگرام سیکشن 301 کاروباری اداروں پر ذاتی ڈیٹا پرائیویسی اور سیکیورٹی پروگرام کے تقاضے عائد کرتا ہے جو 10,000 یا اس سے زیادہ امریکی افراد پر الیکٹرانک یا ڈیجیٹل شکل میں حساس ذاتی طور پر قابل شناخت معلومات کو برقرار رکھتے ہیں۔ کچھ مالیاتی اداروں، ہیلتھ انشورنس پورٹیبلٹی اینڈ اکاؤنٹیبلٹی ایکٹ (ایچ آئی پی اے اے) کے تحت احاطہ کردہ اداروں، اور عوامی ریکارڈ کو اس طرح کی ضروریات سے مستثنی ہے۔ سیکشن 302 ایک ایسے کاروباری ادارے کی ضرورت ہے جو ڈیٹا پرائیویسی اور سیکیورٹی کے تقاضوں سے مشروط ہو: (1) حساس ذاتی طور پر شناخت کرنے والی معلومات کی رازداری، سلامتی اور رازداری کو یقینی بنانے کے لیے ایک جامع ذاتی ڈیٹا پرائیویسی اور سیکیورٹی پروگرام کو نافذ کرنا اور ایسی معلومات کی خلاف ورزیوں اور غیر مجاز رسائی سے تحفظ فراہم کرنا جو کسی فرد کو نقصان یا دھوکہ دہی کا اہم خطرہ پیدا کر سکتی ہے۔ (2) ممکنہ حفاظتی خلاف ورزیوں کے خطرے کا اندازہ لگانا ؛ (3) رسک مینجمنٹ اور کنٹرول پالیسیاں اور طریقہ کار اپنانا ؛ (4) ڈیٹا سیکیورٹی پروگراموں کے نفاذ کے لیے ملازمین کی تربیت اور نگرانی کو یقینی بنانا ؛ اور (5) ذاتی ڈیٹا پرائیویسی اور سیکیورٹی پروگراموں کی کمزوری کی جانچ اور نگرانی کرنا۔ سیکشن 303 کاروباری اداروں پر سول جرمانے عائد کرتا ہے جو اس ذیلی عنوان کے ڈیٹا پرائیویسی اور حفاظتی تقاضوں کی خلاف ورزی کرتے ہیں۔ ایف ٹی سی کو اس طرح کی ضروریات کے لیے نفاذ کا اختیار عطا کرتا ہے۔ سیکشن 304 حساس ذاتی طور پر شناخت کرنے والی معلومات کے تحفظ کے لیے انتظامی، تکنیکی اور جسمانی تحفظات سے متعلق ریاستی قوانین کو روکتا ہے۔ ذیلی عنوان بی-سیکیورٹی کی خلاف ورزی کا نوٹیفکیشن سیکشن 311 حساس ذاتی طور پر قابل شناخت معلومات کے ساتھ کسی بھی ایجنسی یا کاروباری ادارے سے مطالبہ کرتا ہے کہ وہ غیر معقول تاخیر کے بغیر کسی بھی امریکی رہائشی کو سیکیورٹی کی خلاف ورزی کے بارے میں مطلع کرے جس میں اس طرح کے رہائشی کی معلومات رہی ہے، یا معقول طور پر خیال کیا جاتا ہے کہ اس تک رسائی حاصل کی گئی ہے یا حاصل کی گئی ہے۔ سیکشن 312 ایجنسیوں یا کاروباری اداروں کو سیکیورٹی کی خلاف ورزی کے نوٹیفکیشن کے تقاضوں سے مستثنی کرتا ہے اگر وہ سیکرٹ سروس کو تحریری سند فراہم کرتے ہیں کہ اس طرح کا نوٹیفکیشن فراہم کرنے سے مجرمانہ تحقیقات میں رکاوٹ پیدا ہوگی یا قومی سلامتی کو نقصان پہنچے گا۔ سیکرٹ سروس سے اس طرح کے سرٹیفکیشن کی خوبیوں کا جائزہ لینے کی ضرورت ہوتی ہے۔ سیکشن 313 کسی ایجنسی یا کاروباری ادارے سے مطالبہ کرتا ہے کہ وہ کسی بھی متاثرہ شخص کو سیکیورٹی کی خلاف ورزی کا نوٹس دے: (1) ان کے آخری معلوم ہوم میلنگ ایڈریس پر تحریری نوٹس کے ذریعے، ٹیلی فون کے ذریعے، یا ای میل کے ذریعے (اگر ای میل نوٹیفکیشن پر رضامندی دی گئی تھی) ؛ اور (2) بڑے میڈیا آؤٹ لیٹس کو اگر سیکیورٹی کی خلاف ورزی سے متاثرہ ریاست میں رہائشیوں کی تعداد 5,000 سے زیادہ ہے۔ سیکشن 314 ان افراد کے لیے نوٹیفکیشن کا مطالبہ کرتا ہے جن کی حساس ذاتی طور پر قابل شناخت معلومات تک رسائی حاصل کی گئی ہے جس میں شامل ہیں: (1) ان معلومات کے زمروں کی تفصیل جو کسی غیر مجاز فرد نے حاصل کی ہے ؛ اور (2) اس ایجنسی یا کاروباری ادارے سے رابطہ کرنے کے لیے ٹول فری نمبر جن کے ڈیٹا بیس کی خلاف ورزی ہوئی ہے اور بڑی کریڈٹ رپورٹنگ ایجنسیاں۔ سیکشن 325 کسی بھی کاروباری ادارے یا ایجنسی سے مطالبہ کرتا ہے کہ وہ تمام صارفین کی رپورٹنگ ایجنسیوں کو مطلع کرنے کے لیے سیکیورٹی کی خلاف ورزی کے 5,000 سے زیادہ افراد کو اطلاع فراہم کرے۔ سیکشن 316 کسی بھی کاروباری ادارے یا ایجنسی سے مطالبہ کرتا ہے کہ وہ ڈیٹا سیکیورٹی کی خلاف ورزی کے 14 دن کے اندر حساس ذاتی طور پر شناخت کرنے والی معلومات کی حفاظتی خلاف ورزیوں کے بارے میں سیکرٹ سروس کو مطلع کرے جس میں شامل ہیں: (1) 10,000 سے زیادہ افراد ؛ (2) ایک ڈیٹا بیس جس میں ملک بھر میں 10 لاکھ سے زیادہ افراد کے بارے میں معلومات شامل ہیں۔ (3) ایک وفاقی حکومت کا ڈیٹا بیس ؛ یا (4) وہ افراد جو سرکاری ملازمین یا قومی سلامتی یا قانون نافذ کرنے والے اداروں میں شامل ٹھیکیداروں کے طور پر جانے جاتے ہیں۔ سیکرٹ سروس کو فیڈرل بیورو آف انویسٹی گیشن (ایف بی آئی)، یو ایس کو مطلع کرنے کی ضرورت ہے۔ پوسٹل سروس، اور ہر متاثرہ ریاست کے اٹارنی جنرل کو کسی بھی خلاف ورزی کا نوٹس موصول ہونے کے 14 دن کے اندر سیکیورٹی کی خلاف ورزی کا پتہ چل جائے۔ سیکشن 317 اٹارنی جنرل کو سیکیورٹی کی خلاف ورزی کے نوٹیفکیشن کے تقاضوں کی خلاف ورزی پر امریکی ضلعی عدالت میں حکم امتناع سمیت سول کارروائی کرنے کا اختیار دیتا ہے۔ سیکشن 318 ریاستی اٹارنی جنرل کو سیکیورٹی کی خلاف ورزی کے نوٹیفکیشن کے تقاضوں کو نافذ کرنے کے لیے امریکی ضلعی عدالت میں سول کارروائی کرنے کی اجازت دیتا ہے۔ اٹارنی جنرل کو کسی بھی ریاستی کارروائی پر روک لگانے یا اس میں مداخلت کرنے کا اختیار دیتا ہے۔ سیکشن 319 یہ اعلان کرتا ہے کہ اس ذیلی عنوان کی دفعات کسی بین ریاستی کاروباری ادارے یا ایجنسی کی طرف سے سیکیورٹی کی خلاف ورزی کے نوٹیفکیشن سے متعلق وفاقی یا ریاستی قانون کی کسی بھی دوسری شق کو ختم کر دیں گی۔ سیکشن 320 سیکیورٹی کی خلاف ورزیوں کی تحقیقات اور خطرے کا اندازہ لگانے کے لیے سیکرٹ سروس کو تخصیص کا اختیار دیتا ہے۔ سیکشن 321 سیکرٹ سروس سے مطالبہ کرتا ہے کہ وہ خطرے کی تشخیص سے مستثنیات کے نتیجے میں ہونے والی حفاظتی خلاف ورزیوں کے بارے میں کانگریس کو رپورٹ کرے۔ دفعہ 322 اس ذیلی عنوان کی دفعات کو اس ایکٹ کے نفاذ کے 90 دن بعد موثر بناتی ہے۔ عنوان IV-تجارتی ڈیٹا تک حکومت کی رسائی اور اس کا استعمال سیکشن 401 جنرل سروسز ایڈمنسٹریشن (جی ایس اے) کے ایڈمنسٹریٹر سے مطالبہ کرتا ہے کہ وہ ڈیٹا بروکرز کو ان کے ڈیٹا پرائیویسی اور سیکیورٹی پروگراموں، ان کی تعمیل، سیکیورٹی کی وجہ سے ان کے ڈیٹا بیس اور سسٹم سے کس حد تک سمجھوتہ کیا گیا ہے، کا جائزہ لینے کے لیے مجموعی طور پر $500,000 سے زیادہ کے معاہدے عطا کرے۔ جب بل پہلی بار پیش کیا گیا تو سائبر انڈسٹری میڈیا کی حمایت نے بل کو ڈیٹا سیکیورٹی اور ذاتی طور پر قابل شناخت معلومات کے بارے میں اس کے جامع نقطہ نظر اور سیکیورٹی کی خلاف ورزیوں میں جوابدہی کی دفعات کے لیے سمجھا۔ بل کی جامع نوعیت کا مقصد ریاستی سطح کے مختلف قوانین کو یکجا کرنا تھا جو کچھ رہائشیوں کو ایک وفاقی بل میں تحفظ فراہم کرتے ہیں جس میں بالادستی ہوگی اور افراد کی معلومات کو زیادہ سے زیادہ تحفظ فراہم کیا جائے گا، خاص طور پر ریاستی ڈیٹا کی خلاف ورزی کے نوٹیفکیشن قوانین کو روکنا۔ کنزیومر رپورٹس کے غیر منافع بخش ناشر کنزیومرز یونین نے سینیٹر لیہی سے براہ راست خطاب کرتے ہوئے مدد کی پیشکش کی۔ بدقسمتی سے بل کے حامیوں کے لیے، اس بل کو کانگریس میں متوقع توجہ نہیں ملی۔ حزب اختلاف کی تنظیمیں یو ایس چیمبر آف کامرس امریکن ایسوسی ایشن آف ایڈورٹائزنگ ایجنسیاں امریکن فنانشل سروسز ایسوسی ایشن انٹرنیٹ کامرس کولیشن نیشنل آٹوموبائل ڈیلرز ایسوسی ایشن نیشنل ریٹیل فیڈریشن ریٹیل انڈسٹری لیڈرز ایسوسی ایشن نیشنل بزنس کولیشن آن ای کامرس اینڈ پرائیویسی دی فنانشل سروسز راؤنڈ ٹیبل کنزیومر ڈیٹا انڈسٹری ایسوسی ایشن حوالہ جات انٹرنیٹ قانون ریاستہائے متحدہ میں انفارمیشن پرائیویسی 111 ویں ریاستہائے متحدہ کانگریس کی تجویز کردہ قانون سازی