ٽئين پارٽين سان ذاتي ڊيٽا شيئر ڪرڻ: توهان کي ڪهڙا 7 GDPR خطرا ڄاڻڻ گهرجن؟

توهان صرف GDPR تحت ذاتي ڊيٽا شيئر ڪري سگهو ٿا جيڪڏهن توهان وٽ آرٽيڪل 6 جي تحت قانوني بنياد آهي، لکت ۾ طئي ڪيو آهي ته وصول ڪندڙ پروسيسر آهي يا ڪنٽرولر، ۽ حصيداري بابت لاڳاپيل ماڻهن کي ٻڌايو آهي. اهي ٽي شرط گهڻو ڪري غلط ٿيڻ وارين شين کي ڍڪيندا آهن. مکيه استثنا يورپي اقتصادي علائقي (EEA) کان ٻاهر منتقلي ۽ اعليٰ خطري واري پروسيسنگ آهن، جيڪي اضافي گهرجن کي مٿي تي آڻين ٿيون.

هالينڊ ۾، ڊچ ڊيٽا پروٽيڪشن اٿارٽي ( Autoriteit Persoonsgegevens , AP) ڊچ لاڳو ڪندڙ ايڪٽ ( Uitvoeringswet AVG , UAVG) سان گڏ GDPR لاڳو ڪري ٿي. ذاتي ڊيٽا هر وقت تنظيمي حدون پار ڪري ٿو: هڪ ڪلائوڊ فراهم ڪندڙ، هڪ پگهار بيورو، هڪ مارڪيٽنگ ايجنسي، هڪ قرض جمع ڪندڙ يا ٻاهرين ملڪ ۾ هڪ گروپ ڪمپني ڏانهن. انهن مان هر هڪ وهڪري هڪ الڳ پروسيسنگ آپريشن آهي جنهن کي پنهنجي جواز جي ضرورت آهي. هيٺ اسان ست خطرا بيان ڪيا آهن جيڪي عملي طور تي ٻيهر اچن ٿا، اهي ضابطا جيڪي اهي آن ڪن ٿا، ۽ اي پي يا دعويدار جي سوال اٿارڻ کان اڳ توهان هر هڪ بابت ڇا ڪري سگهو ٿا.

خطرو 1: ڇا توهان ڪنهن صحيح قانوني بنياد کان سواءِ ڊيٽا شيئر ڪري رهيا آهيو؟

ذاتي ڊيٽا جي هر ظاهر ڪرڻ لاءِ آرٽيڪل 6(1) GDPR ۾ ڇهن قانوني بنيادن مان هڪ جي ضرورت آهي. تجارتي سبب انهن مان هڪ ناهي.

ڇهه بنياد مڪمل آهن: رضامندي، معاهدي جي ڪارڪردگي، قانوني ذميواري، اهم مفاد، عوامي ڪم ۽ جائز مفاد. آرٽيڪل 5(1)(a) ۾ شامل ڪيو ويو آهي ته پروسيسنگ هميشه قانوني، منصفانه ۽ شفاف هجڻ گهرجي. هڪ بنياد جيڪو ڪاغذ تي موجود آهي پر ڪڏهن به ڪنهن کي وضاحت نه ڪئي وئي آهي اڃا تائين هڪ خلا ڇڏي ٿو.

جائز مفاد ڇو هڪ ڦندو آهي؟

جائز مفاد اهو بنياد آهي جيڪو اڪثر ڀائيوارن ۽ سپلائرز سان حصيداري لاءِ استعمال ڪيو ويندو آهي، ۽ جيڪو اڪثر غلط استعمال ڪيو ويندو آهي. ان لاءِ ٽن مرحلن واري ٽيسٽ جي ضرورت آهي:

• دلچسپي جائز هجڻ گهرجي؛
• ان جي خدمت لاءِ شيئرنگ ضروري هجڻ گهرجي؛
• دلچسپي کي لاڳاپيل ماڻهن جي حقن ۽ آزادين کان مٿانهون نه ٿيڻ گهرجي.

شيئرنگ شروع ٿيڻ کان اڳ توهان کي هي بيلنسنگ ٽيسٽ ڪرڻ ۽ رڪارڊ ڪرڻ گهرجي. آرٽيڪل 5(2) GDPR ڪنٽرولر (احتساب) تي تعميل ڏيکارڻ جو بار وجهي ٿو. شڪايت اچڻ کان پوءِ لکيل جائز مفادن جو جائزو تمام گهٽ قيمت جو آهي.

رضامندي ۽ مقصد جي حد بابت ڇا؟

ٻہ وڌيڪ ڦند نالا ڏيڻ جي لائق آهن. روزگار جي رشتي ۾ رضامندي تمام گهٽ صحيح هوندي آهي، ڇاڪاڻ ته طاقت جي عدم توازن جو مطلب آهي ته اها آزاديءَ سان نه ڏني ويندي آهي. هڪ آجر جيڪو ڊيٽا شيئرنگ لاءِ ان تي ڀروسو ڪري ٿو اهو عام طور تي ڪنهن به شيءِ تي ڀروسو نٿو ڪري.

آرٽيڪل 5(1)(b) جي تحت مقصد جي حد شيئرنگ تي لاڳو ٿئي ٿي بلڪل اصل ڪليڪشن وانگر. خدمت پهچائڻ لاءِ گڏ ڪيل ڊيٽا صرف مارڪيٽنگ لاءِ پارٽنر ڏانهن منتقل نه ٿي ڪري سگهجي ڇاڪاڻ ته تجارتي منطق پرڪشش آهي. جتي نئون مقصد اصل سان مطابقت نه رکي، توهان کي هڪ نئين بنياد جي ضرورت آهي.

ڇا ڪجي: ڪنهن به ذاتي ڊيٽا کي توهان جي تنظيم مان نڪرڻ کان اڳ، بنياد جي سڃاڻپ ڪريو، ان کي لکو ۽ چيڪ ڪريو ته توهان جو رازداري نوٽيس اڳ ۾ ئي شيئرنگ کي بيان ڪري ٿو. جيڪڏهن بنياد جائز مفادن جو آهي، ته تشخيص فائل ۾ شامل آهي. جيڪڏهن اها رضامندي آهي، ته اها رضامندي آزادانه طور تي ڏني وڃي، مخصوص، باخبر ۽ غير واضح، ۽ واپس وٺڻ ۾ آسان هجي جيترو ڏيڻ هو.

خطرو 2: ڇا توهان ڪنٽرولر ۽ پروسيسر جا ڪردار غلط رکيا آهن؟

هڪ ڪنٽرولر پروسيسنگ جا مقصد ۽ ذريعا طئي ڪندو آهي؛ هڪ پروسيسر صرف ڪنٽرولر جي دستاويزي هدايتن تي عمل ڪندو آهي (آرٽيڪل 4(7) ۽ (8) GDPR). اهم ڳالهه اها آهي ته ڪير اصل ۾ فيصلو ڪري ٿو، نه ته معاهدو پارٽين کي ڇا سڏي ٿو.

غلط درجه بندي اهڙيون ذميواريون پيدا ڪري ٿي جيڪي ڪو به پورو نٿو ڪري. عام غلطي هر سپلائر کي پروسيسر جو ليبل لڳائڻ آهي. پر هيٺ ڏنل مان ڪو به صرف هدايتن تي عمل نٿو ڪري:

• هڪ SaaS فراهم ڪندڙ جيڪو پنهنجي پراڊڪٽ کي بهتر بڻائڻ لاءِ گراهڪ ڊيٽا استعمال ڪري ٿو؛
• هڪ اڪائونٽنٽ جيڪو پيشه ورانه قاعدن سان پابند هجي؛
• هڪ بينڪ جيڪا ادائيگي ڪري رهي آهي؛
• هڪ اشتهاري پليٽ فارم جيڪو پنهنجي سامعين جي پروفائل ٺاهيندو آهي.

هر هڪ پروسيسنگ جي گهٽ ۾ گهٽ حصي لاءِ پنهنجي حق ۾ هڪ ڪنٽرولر آهي. جتي ٻه تنظيمون گڏيل طور تي مقصدن ۽ ذريعن جو تعين ڪن ٿيون، اهي آرٽيڪل 26 GDPR جي تحت گڏيل ڪنٽرولر آهن. انهن کي هڪ انتظام ۾ پنهنجون لاڳاپيل ذميواريون مقرر ڪرڻ گهرجن، ۽ ان انتظام جو جوهر لاڳاپيل ماڻهن لاءِ دستياب ڪيو وڃي.

يورپي يونين جي عدالت انصاف گڏيل ڪنٽرول کي ڪيتري وسيع طريقي سان بيان ڪري ٿي؟

وڏي پيماني تي. فيشن آئي ڊي (سي-40/17) ۾ ، عدالت انصاف جو فيصلو ڏنو ته هڪ ويب سائيٽ آپريٽر جيڪو ٽئين پارٽي سوشل پلگ ان کي شامل ڪري ٿو، اهو زائرين جي ڊيٽا جي گڏ ڪرڻ ۽ منتقلي لاءِ هڪ گڏيل ڪنٽرولر هو. اهو ائين هو جيتوڻيڪ ان کي بعد ۾ ڊيٽا تائين ڪا رسائي نه هئي ۽ اهو فيصلو نه ڪيو ته اڳتي ڇا ٿيو. مقصدن تي جزوي اثر ڪافي آهي. عملي نتيجو گڏيل ذميواري آهي: توهان کي هڪ خلاف ورزي لاءِ جوابده قرار ڏئي سگهجي ٿو جيڪو توهان نه ڪيو ۽ نه ڏسي سگهيا.

ڇا ڪجي: پهرين ڊيٽا جي وهڪري جو نقشو ٺاهيو ۽ هر وهڪري لاءِ پڇو ته ڪير فيصلو ڪري ٿو ته ڊيٽا ڇو ۽ ڪيئن پروسيس ڪئي وڃي ٿي. نتيجو رڪارڊ ڪريو، پوءِ ان کي صحيح طريقي سان دستاويز ڪريو. پروسيسرز لاءِ آرٽيڪل 28 تحت پروسيسنگ معاهدي ۽ آرٽيڪل 26 تحت هڪ گڏيل ڪنٽرولر انتظام استعمال ڪريو جتي ٻئي پارٽيون فيصلو ڪن. جتي ٻه آزاد ڪنٽرولر ڊيٽا جو تبادلو ڪن ٿا، عام معاهدي جون شرطون ۽ هر پارٽي جي پنهنجي تعميل ڪم ڪندي.

خطرو 3: ڇا توهان جو ڊيٽا پروسيسنگ معاهدو غائب يا ناقص آهي؟

جيڪڏهن ڪو پروسيسر توهان لاءِ ذاتي ڊيٽا سنڀاليندو آهي، ته آرٽيڪل 28(3) GDPR کي هڪ تحريري معاهدي جي ضرورت آهي. ان کان سواءِ، توهان پروسيسنگ شروع ٿيڻ کان ئي خلاف ورزي ۾ آهيو، جيتوڻيڪ ڪجهه به غلط نه ٿئي.

ڪو به نقصان نه ٿيڻ گهرجي ها ۽ نه ئي ڪو ڊيٽا ليڪ ٿيڻ گهرجي ها. معاهدي جي غير موجودگي پاڻ ۾ خلاف ورزي آهي، ۽ اهو هڪ نگران اختيار لاءِ قائم ڪرڻ آسان ترين مان هڪ آهي.

مواد قانون طرفان مقرر ڪيل آهي، ڌرين تي نه ڇڏيو ويو آهي. هڪ تعميل ڪندڙ ڊيٽا پروسيسنگ معاهدي ۾ اهو بيان ڪرڻ گهرجي:

• پروسيسنگ جو موضوع ۽ مدت؛
• ان جي نوعيت ۽ مقصد؛
• ذاتي ڊيٽا جا قسم ۽ لاڳاپيل ماڻهن جا درجا؛
• ڪنٽرولر جا فرض ۽ حق.

ان کي پروسيسر کي پڻ پابند ڪرڻ گهرجي:

• صرف دستاويزي هدايتن تي عمل ڪريو؛
• پنهنجي عملي تي رازداري لاڳو ڪرڻ؛
• آرٽيڪل 32 جي گهربل حفاظتي اپاءَ وٺڻ؛
• ڊيٽا جي مضمونن جي درخواستن ۽ ڀڃڪڙي جي اطلاع سان مدد؛
• مصروفيت جي آخر ۾ ڊيٽا کي ختم ڪرڻ يا واپس ڪرڻ؛
• ڪنٽرولر کي تعميل ڏيکارڻ لاءِ گهربل معلومات ڏيو، ۽ آڊٽ جي اجازت ڏيو.

ذيلي پروسيسر شقون اڪثر ناڪام ڇو ٿينديون آهن؟

آرٽيڪل 28(2) ۽ (4) جي تحت، پروسيسر کي ڪنهن به ذيلي پروسيسر لاءِ توهان جي اڳوڻي مخصوص يا عام تحريري اجازت جي ضرورت آهي. هڪ عام اجازت سان، پروسيسر کي توهان کي ارادي تبديلين جي خبر ڏيڻ گهرجي ۽ توهان کي اعتراض ڪرڻ جو موقعو ڏيڻ گهرجي.

هڪ شق جيڪا صرف پروسيسر کي ڪنهن به شخص کي شامل ڪرڻ جي اجازت ڏئي ٿي جيڪا ان کي پسند آهي، ان معيار تي پورو نه لهي ٿي. اهو بلڪل اهو شق آهي جيڪو اهميت رکي ٿو جڏهن سپلائرز جو هڪ سلسلو ڪنهن اهڙي ملڪ تائين پهچي ٿو جنهن جو ڪو به جائزو نه ورتو ويو هجي.

ڇا ڪجي: هڪ ٽيمپليٽ مان ڪم ڪريو جيڪو آرٽيڪل 28(3) جي شق جي شق جي پيروي ڪري، ۽ اڳ ۾ ئي موجود معاهدن جو جائزو وٺو بجاءِ اهو فرض ڪرڻ جي ته سپلائر جون پنهنجون شرطون ڪم ڪنديون. ڊگھي عرصي وارا تعلقات غير دستاويزي ٿيڻ جو سڀ کان وڌيڪ امڪان آهن، ڇاڪاڻ ته جڏهن تعلق جوان هو ته ڪاغذي ڪم ڪڏهن به ترجيح نه هو.

خطرو 4: ڇا توهان EEA کان ٻاهر ڊيٽا بغير ڪنهن حفاظتي قدم جي منتقل ڪري رهيا آهيو؟

EEA کان ٻاهر منتقلي صرف مناسب فيصلي يا مناسب حفاظتي قدمن جي بنياد تي اجازت ڏني وئي آهي، جهڙوڪ معياري معاهدي جون شقون. آرٽيڪل 49 ۾ استثنا صرف ڪڏهن ڪڏهن حالتن لاءِ آهن.

باب پنجون GDPR ذاتي ڊيٽا جي EEA کان ٻاهر ملڪن ڏانهن منتقلي کي محدود ڪري ٿو. منتقلي جي اجازت آهي جتي يورپي ڪميشن منزل لاءِ مناسب فيصلو اختيار ڪيو آهي (آرٽيڪل 45). اهو پڻ اجازت آهي جتي مناسب حفاظتي اپاءَ موجود آهن (آرٽيڪل 46)، عام طور تي ڪميشن جي معياري معاهدي جون شقون (SCCs) يا پابند ڪارپوريٽ قاعدا. آرٽيڪل 49 ۾ ڏنل توهين، جهڙوڪ واضح رضامندي يا معاهدي جي ضرورت، هڪ ساختي ڊيٽا جي وهڪري جي حمايت نٿا ڪري سگهن.

ڪاروبار اڪثر ڪري نظرانداز ڪندا آهن ته منتقلي تڏهن ٿيندي آهي جڏهن ڊيٽا EEA کان ٻاهر کان رسائي لائق هوندو آهي، نه رڳو جڏهن ان کي اتي ڪاپي ڪيو ويندو آهي. جيڪڏهن ڪنهن ٻئي براعظم تي سپورٽ اسٽاف ڊيٽابيس کولي سگهي ٿو ته EU اداري سان هڪ معاهدو مدد نٿو ڪري. ٻاهرين ملڪ ۾ والدين ڪمپني پاران ريموٽ ايڊمنسٽريشن هڪ منتقلي آهي، جيتوڻيڪ سرور فرينڪفرٽ ۾ رهن ٿا.

Schrems II ۽ ڊيٽا پرائيويسي فريم ورڪ جو توهان لاءِ ڇا مطلب آهي؟

Schrems II (C-311/18) ۾ ، انصاف جي عدالت EU-US رازداري شيلڊ کي رد ڪري ڇڏيو. ان اهو پڻ چيو ته معياري معاهدي جون شقون پاڻ ۾ ڪافي نه آهن. برآمد ڪندڙ کي اهو جائزو وٺڻ گهرجي ته ڇا منزل ملڪ جو قانون شقن جي واعدي ڪيل تحفظ کي ڪمزور ڪري ٿو، ۽ جتي اهو ڪري ٿو اتي اضافي قدم شامل ڪريو. آرٽيڪل 46 جي بنياد تي هر منتقلي لاءِ منتقلي جي اثر جي تشخيص (TIA) اڃا تائين گهربل آهي.

آمريڪا لاءِ موقف هڪ لحاظ کان تبديل ٿي چڪو آهي. ڪميشن جولاءِ 2023 ۾ EU-US ڊيٽا پرائيويسي فريم ورڪ (DPF) لاءِ هڪ مناسب فيصلو اختيار ڪيو. 3 سيپٽمبر 2025 تي EU جي جنرل ڪورٽ ان جي منسوخي لاءِ هڪ ڪارروائي کي رد ڪري ڇڏيو ( Latombe , T-553/23). هڪ آمريڪي تنظيم ڏانهن منتقلي جيڪا اصل ۾ فريم ورڪ تحت تصديق ٿيل آهي، ان جي سرٽيفڪيشن پاران ڍڪيل ڊيٽا لاءِ، تنهن ڪري مناسبيت تي ڀروسو ڪري سگهجي ٿو. ڪنهن ٻئي آمريڪي وصول ڪندڙ ڏانهن منتقلي نه ٿي سگهي. ان کي فرض ڪرڻ بدران سرٽيفڪيشن جي جانچ ڪريو.

ڇا ڪجي: پنهنجي سپلائي چين ۾ لڪيل ٽئين ملڪ جي منتقلي جي فهرست ٺاهيو، جنهن ۾ ذيلي پروسيسرز ۽ سپورٽ انتظام شامل آهن. هر هڪ لاءِ، اهو طئي ڪريو ته ڇا ڪافي لاڳو ٿئي ٿي. جيڪڏهن نه، معياري معاهدي جي شقن جو موجوده نسخو لاڳو ڪريو، منتقلي جي اثر جي تشخيص کي انجام ڏيو ۽ دستاويز ڪريو، ۽ انهن ضمني قدمن کي رڪارڊ ڪريو جن تي توهان ڀروسو ڪندا آهيو، جهڙوڪ EEA ۾ رکيل چابين سان مضبوط انڪرپشن. AP منتقلي کي معطل ڪرڻ جو حڪم ڏئي سگهي ٿو، جيڪو اڪثر ڪري جرماني کان وڌيڪ خلل وجهندڙ هوندو آهي.

خطرو 5: ڇا توهان ڊيٽا تحفظ جي اثر جي تشخيص کي ڇڏي رهيا آهيو؟

آرٽيڪل 35 GDPR لاءِ ڊيٽا پروٽيڪشن امپيڪٽ اسيسمينٽ (DPIA) جي ضرورت آهي جتي پروسيسنگ جي نتيجي ۾ فردن لاءِ وڏو خطرو هجڻ جو امڪان آهي. ڊيٽا شيئر ڪرڻ اڪثر تنظيمن جي توقع کان جلد ان حد کي پار ڪري ويندو آهي.

آرٽيڪل 35(3) ٽن ڪيسن کي واضح طور تي بيان ڪري ٿو:

• ذاتي پهلوئن جو منظم ۽ وسيع خودڪار جائزو، جنهن تي قانوني يا ساڳئي طرح اهم اثرن سان فيصلا ٻڌل آهن؛
• ڊيٽا جي خاص قسمن يا مجرمانه سزا جي ڊيٽا جي وڏي پيماني تي پروسيسنگ؛
• وڏي پيماني تي عوامي طور تي رسائي واري علائقي جي منظم نگراني.

اي پي پروسيسنگ آپريشنز جي هڪ فهرست پڻ شايع ڪري ٿو جنهن لاءِ هميشه ڊي پي آءِ اي جي ضرورت هوندي آهي. اها فهرست پهرين جڳهه آهي جنهن کي ڏسڻ لاءِ هڪ نئون ڊيٽا شيئرنگ منصوبو شروع ٿيڻ کان اڳ.

ضرورت کي اڪثر گهٽ سمجهيو ويندو آهي ڇاڪاڻ ته تنظيمون DPIAs کي وڏن منصوبن سان ڳنڍينديون آهن. عملي طور تي، مختلف ذريعن کان ڊيٽاسيٽس کي گڏ ڪرڻ، تجزياتي فراهم ڪندڙ سان صحت يا بايوميٽرڪ ڊيٽا شيئر ڪرڻ، پروفائلنگ يا خودڪار فيصلو سازي استعمال ڪندي، يا هڪ اوزار متعارف ڪرائڻ جيڪو ملازمن جو مشاهدو ڪري ٿو اڪثر ڪري پاڻ ئي حد پار ڪري ويندا آهن.

ڊي پي آءِ اي ۾ ڇا هجڻ گهرجي؟

ڊي پي آءِ اي هڪ منظم مشق آهي، هڪ شڪل نه. ان کي پروسيسنگ ۽ ان جي مقصدن کي بيان ڪرڻ گهرجي، ضرورت ۽ تناسب جو جائزو وٺڻ گهرجي، لاڳاپيل ماڻهن لاءِ خطرن جي سڃاڻپ ڪرڻ گهرجي ۽ انهن کي حل ڪرڻ لاءِ قدم مقرر ڪرڻ گهرجن، جن ۾ حفاظتي اپاءَ ۽ سيڪيورٽي اپاءَ شامل آهن.

جتي تشخيص هڪ وڏو بقايا خطرو ڏيکاري ٿي جيڪو توهان گهٽائي نٿا سگهو، آرٽيڪل 36 پروسيسنگ شروع ٿيڻ کان اڳ اي پي جي اڳواٽ صلاح مشوري جي ضرورت آهي. گهربل ڊي پي آءِ اي کي انجام ڏيڻ ۾ ناڪامي پاڻ ۾ هڪ خلاف ورزي آهي، پروسيسنگ جو نتيجو ڪجهه به هجي ها.

ڇا ڪجي: هر نئين ڊيٽا شيئرنگ انتظام کي آرٽيڪل 35(3) معيار ۽ اي پي لسٽ جي خلاف اسڪرين ڪريو. جيڪڏهن توهان وٽ ڊيٽا پروٽيڪشن آفيسر آهي ته ان کي شامل ڪريو. تشخيص کي هڪ زنده دستاويز جي طور تي رکو ۽ جڏهن پروسيسنگ تبديل ٿئي ته ان کي ٻيهر ڏسو. جتي جواب واقعي غير واضح آهي، اتي ڊي پي آءِ اي کي انجام ڏيڻ نه ڏيڻ جي فيصلي جو دفاع ڪرڻ کان سستو آهي.

خطرو 6: ڇا توهان ماڻهن کي شيئرنگ بابت تمام گهٽ ٻڌائي رهيا آهيو؟

شفافيت هڪ الڳ ذميواري آهي. توهان ان جي خلاف ورزي ڪري سگهو ٿا جيتوڻيڪ شيئرنگ پاڻ مڪمل طور تي قانوني هجي.

آرٽيڪل 13 GDPR فرد کان گڏ ڪيل ڊيٽا کي ڍڪي ٿو؛ آرٽيڪل 14 ٻئي ذريعن کان حاصل ڪيل ڊيٽا کي ڍڪي ٿو. ٻنهي ۾ ڪنٽرولر کي پروسيسنگ جا مقصد ۽ قانوني بنياد ۽ وصول ڪندڙن، يا وصول ڪندڙن جي زمرن کي بيان ڪرڻ جي ضرورت آهي، ذاتي ڊيٽا جي.

رازداري جا نوٽيس هن نقطي تي هڪ متوقع طريقي سان ناڪام ٿين ٿا. هڪ جملو جيڪو چوي ٿو ته ڊيٽا "قابل اعتماد ڀائيوارن سان شيئر ڪري سگهجي ٿو" ڪجهه به نه ٿو سڃاڻي. نوٽيس ۾ وصول ڪندڙن جي زمرن کي صحيح طور تي نالو ڏيڻ گهرجي، جهڙوڪ هوسٽنگ فراهم ڪندڙ، پگهار منتظمين يا ڪريڊٽ ريفرنس ايجنسيون. جتي شيئرنگ هڪ مخصوص تنظيم سان آهي، اهو عام طور تي ان جو نالو ڏيڻ واضح آهي. جتي ڊيٽا EEA کان ٻاهر منتقل ڪيو ويندو آهي، آرٽيڪل 13(1)(f) ۽ 14(1)(f) نوٽيس کي اهو چوڻ جي ضرورت آهي، جنهن تي ڀروسو ڪيل حفاظتي سامان جي سڃاڻپ ڪرڻ ۽ وضاحت ڪرڻ لاءِ ته ڪاپي ڪيئن حاصل ڪري سگهجي ٿي.

جڏهن توهان پاڻ ڊيٽا گڏ نه ڪيو ته ڪهڙو اضافي لاڳو ٿيندو؟

آرٽيڪل 14 جي تحت نوٽيس ۾ ذاتي ڊيٽا جي درجابندي ۽ انهن جي ذريعن کي پڻ بيان ڪرڻ گهرجي. توهان کي اهو مناسب وقت اندر ۽ گهٽ ۾ گهٽ هڪ مهيني اندر، يا جيڪڏهن اهو جلد اچي ته ان شخص سان پهرين رابطي تي مهيا ڪرڻ گهرجي.

مارڪيٽنگ لسٽ خريد ڪرڻ ۽ ان تي موجود ماڻهن کي ٻڌائڻ کان سواءِ ان کي استعمال ڪرڻ هڪ واضح ترين خلاف ورزي آهي. هالينڊ ۾ رازداري پاليسي ٺاهڻ بابت اسان جي هدايت مڪمل طور تي بيان ڪري ٿي ته نوٽيس ۾ ڇا هجڻ گهرجي.

ڇا ڪجي: جڏهن به ڪو نئون وصول ڪندڙ شامل ڪيو وڃي ته نوٽيس جو جائزو وٺو، ۽ شيئرنگ شروع ٿيڻ کان اڳ ان کي اپڊيٽ ڪريو، ايندڙ سالياني جائزي تي نه. آرٽيڪل 12(1) جي تحت، نوٽيس پڻ مختصر، سمجھڻ وارا ۽ صاف ۽ سادي ٻولي ۾ لکيل هجڻ گهرجن. هر ممڪن وصول ڪندڙ کي هڪ دستاويز ۾ درج ڪرڻ سان جيڪو ڪو به پڙهي نه ٿو سگهي مسئلو حل نٿو ٿئي.

خطرو 7: ڇا توهان تخلص واري ڊيٽا کي گمنام سمجهي رهيا آهيو؟

تخلص واري ڊيٽا اڃا تائين ذاتي ڊيٽا آهي. صرف صحيح گمنامي ڊيٽا کي GDPR کان ٻاهر وٺي ٿي.

آرٽيڪل 4(5) GDPR تخلص کي ذاتي ڊيٽا جي پروسيسنگ جي طور تي بيان ڪري ٿو ته جيئن ان کي وڌيڪ معلومات کان سواءِ ڪنهن مخصوص شخص سان ڳنڍي نه سگهجي، جيڪا الڳ ۽ محفوظ ڪئي وڃي. تعريف فرض ڪري ٿي ته ڊيٽا کي واپس ڳنڍڻ ممڪن رهي ٿو. اهو ئي آهي جيڪو ان کي گمنام کان ڌار ڪري ٿو. تلاوت 26 تصديق ڪري ٿو ته ڊيٽا جيڪو اڃا تائين اضافي معلومات استعمال ڪندڙ شخص سان منسوب ڪري سگهجي ٿو اهو GDPR جي دائري ۾ رهي ٿو.

خطرو تڏهن پيدا ٿئي ٿو جڏهن تخلص کي آزاديءَ سان شيئر ڪرڻ جي لائسنس طور سمجهيو وڃي ٿو. گراهڪن جي نمبرن سان نالن کي تبديل ڪرڻ سان قانوني بنياد، پروسيسنگ معاهدي، منتقلي جي حفاظت يا رازداري جي نوٽيس جي ضرورت ختم نه ٿيندي آهي. اهو تمام گهڻو اهم آهي ته ڪنجي ڪير رکي ٿو ۽ وصول ڪندڙ وٽ ڪهڙا ٻيا ڊيٽا سيٽ آهن. تخلص رڪارڊ پوسٽ ڪوڊ، پيدائش جي تاريخ ۽ ٽرانزيڪشن جي تاريخ سان گڏ اڪثر ڪري ٻيهر سڃاڻپ ڪري سگهجن ٿا. تشخيص ۾ انهن ذريعن تي غور ڪرڻ گهرجي جيڪي وصول ڪندڙ طرفان استعمال ڪرڻ جو معقول امڪان آهن، نه رڳو توهان طرفان.

سچي گمنامي، جتي ٻيهر سڃاڻپ هاڻي ممڪن ناهي ته ڪنهن به طريقي سان استعمال ڪئي وڃي، ڊيٽا کي GDPR کان ٻاهر وٺي ويندي آهي. اهو حاصل ڪرڻ پڻ ڏکيو ۽ دعويٰ ڪرڻ آسان آهي. ننڍن گروپن جو مجموعو، خاصيتن جي منفرد ميلاپ ۽ امير رويي جي ڊيٽا سڀ ان کي شڪست ڏين ٿا.

ڇا ڪجي: ڊيٽا کي تخلص طور سمجهيو وڃي، ۽ تنهن ڪري ذاتي ڊيٽا طور سمجهيو وڃي، جيستائين هڪ دستاويزي ۽ ٽيڪنيڪل طور تي صحيح گمنامي عمل ٻي صورت ۾ نه ڏيکاري. ٽيڪنيڪل ۽ تنظيمي قدمن کي رڪارڊ ڪريو جيڪي ڪنجي کي الڳ رکن ٿا. فائدو حقيقي آهي: آرٽيڪل 32 تخلص کي هڪ مناسب سيڪيورٽي ماپ جي طور تي درج ڪري ٿو، ۽ اهو توهان جي حق ۾ شمار ٿئي ٿو جڏهن خلاف ورزي جو جائزو ورتو وڃي ٿو. اهو ليڪ جي نتيجن کي گهٽائي ٿو، پر انهن ذميدارين کي نه جيڪي هڪ کان اڳ لاڳو ٿين ٿيون.

هالينڊ ۾ قانون لاڳو ڪرڻ جو طريقو ڪهڙو نظر اچي ٿو؟

اي پي ڊيڄاري سگهي ٿو، ملامت ڪري سگهي ٿو، تعميل جو حڪم ڏئي سگهي ٿو، پروسيسنگ تي پابندي لڳائي سگهي ٿو، منتقلي کي معطل ڪري سگهي ٿو ۽ 20 ملين يورو تائين يا دنيا جي سالياني ٽرن اوور جو 4٪ جرمانو لاڳو ڪري سگهي ٿو. فرد ۽ بنيادون پڻ نقصان جي دعويٰ ڪري سگهن ٿيون.

اي پي جي ڊي پي آر ۽ يو اي وي جي جي تعميل جي نگراني ڪري ٿو. اهو پنهنجي شروعات تي يا شڪايت کان پوءِ جاچ ڪري سگهي ٿو. آرٽيڪل 58 جي ڊي پي آر جي تحت ان جا اختيار هڪ ڊيڄاريندڙ ۽ ڏوهي کان وٺي، پروسيسنگ کي تعميل ۾ آڻڻ جي حڪم ذريعي، پروسيسنگ تي عارضي يا مستقل پابندي ۽ ٽئين ملڪ ۾ وصول ڪندڙ ڏانهن ڊيٽا جي وهڪري کي معطل ڪرڻ جي حڪم تائين آهن. جرمانو صرف هڪ اوزار آهي. هڪ ڪاروبار لاءِ جيڪو هڪ خاص ڊيٽا جي وهڪري تي منحصر آهي، اهو گهٽ ۾ گهٽ سڀ کان وڌيڪ نقصانڪار هوندو آهي.

جرمانو ڪيترو وڌيڪ ٿي سگهي ٿو؟

آرٽيڪل 83 GDPR ۾ وڌ ۾ وڌ ڏنڊ جا ٻه درجا آهن. هر درجي ۾ وڌ ۾ وڌ هڪ مقرر رقم يا گذريل مالي سال ۾ ڪل عالمي سالياني ٽرن اوور جو سيڪڙو آهي، جيڪو به وڌيڪ هجي.

• هيٺيون درجو: آرٽيڪل 25 کان 39 ۾ ڏنل ذميدارين جي خلاف ورزي لاءِ 10 ملين يورو يا ٽرن اوور جو 2٪ تائين. ان ۾ پروسيسنگ معاهدي يا گهربل ڊي پي آءِ اي جي غير موجودگي شامل آهي.
• اعليٰ درجو: بنيادي اصولن، قانوني بنيادن، ڊيٽا جي مضمونن جي حقن ۽ بين الاقوامي منتقلي جي ضابطن جي ڀڃڪڙي لاءِ 20 ملين يورو يا ٽرن اوور جو 4٪ تائين.

ڪمپنين جي هڪ گروپ لاءِ، مقرر ڪيل رقم جي بدران فيصد عام طور تي لاڳاپيل انگ هوندو آهي. آرٽيڪل 83(2) انهن عنصرن کي لسٽ ڪري ٿو جيڪي رقم جو فيصلو ڪن ٿا، جنهن ۾ خلاف ورزي جي نوعيت ۽ مدت شامل آهي، ڇا اهو ارادي طور تي هو يا لاپرواهي، نقصان کي محدود ڪرڻ لاءِ کنيل قدم ۽ اختيار سان تعاون جي درجي شامل آهن.

ڇا ماڻهو نقصان جي دعويٰ ڪري سگهن ٿا؟

ها. آرٽيڪل 82 GDPR ڪنهن به شخص کي جيڪو مادي يا غير مادي نقصان برداشت ڪيو آهي، ڪنٽرولر يا پروسيسر کان معاوضي جو حق ڏئي ٿو.

هالينڊ ۾، اهڙا دعوائون وڏين گروهن لاءِ ڪم ڪندڙ بنيادن پاران اجتماعي طور تي وڌ ۾ وڌ آنديون وڃن ٿيون، اجتماعي ڪارروائين ۾ وڏي پئماني تي نقصان جي آبادڪاري جي قانون ( Wet afwikkeling massaschade in collectieve actie , WAMCA) تحت. هڪ شايع ٿيل AP فيصلو اهڙي دعويٰ لاءِ هڪ آسان شروعاتي نقطو آهي.

جيڪڏهن غير قانوني شيئرنگ ڊيٽا جي ڀڃڪڙي جو سبب بڻجي ته ڇا ٿيندو؟

ذاتي ڊيٽا جي ڀڃڪڙي پنهنجو وقت پاڻ سان گڏ کڻي ايندي آهي. آرٽيڪل 33 GDPR جي ضرورت آهي ته AP کي بغير ڪنهن دير جي اطلاع ڏني وڃي ۽، جتي ممڪن هجي، ان جي خبر پوڻ جي 72 ڪلاڪن اندر، جيستائين ڀڃڪڙي جي نتيجي ۾ فردن لاءِ خطرو پيدا ٿيڻ جو امڪان نه هجي.

آرٽيڪل 34 جي تحت، جيڪڏهن خلاف ورزي جي نتيجي ۾ انهن لاءِ وڏو خطرو پيدا ٿيڻ جو امڪان آهي ته توهان کي متاثر ٿيل ماڻهن کي بغير ڪنهن دير جي اطلاع ڏيڻ گهرجي. سڀني خلاف ورزين کي اندروني طور تي دستاويز ڪيو وڃي، بشمول اهي جيڪي توهان اطلاع نه ٿا ڏيو، ۽ اطلاع نه ڏيڻ جو سبب ان رڪارڊ جو حصو آهي.

توهان پنهنجي ڊيٽا شيئرنگ کي ڪيئن ترتيب ڏيو ٿا؟

پنهنجي پروسيسنگ سرگرمين جي رڪارڊ کان شروع ڪريو، ۽ هر وصول ڪندڙ کي ڪردار، قانوني بنياد، معاهدو، منتقلي ۽ رازداري نوٽيس لاءِ چيڪ ڪريو. پوءِ انهن چيڪن کي پنهنجي خريداري جي عمل ۾ شامل ڪريو.

مٿي ڏنل ست خطرا هڪ ئي سبب شيئر ڪن ٿا. شيئرنگ آپريشنل طور تي ترتيب ڏني وئي آهي، ٽيم طرفان جنهن کي ڊيٽا منتقل ڪرڻ جي ضرورت آهي، ۽ بعد ۾ دستاويز ڪئي وئي آهي يا بلڪل نه. علاج ساڳيو عملي آهي:

• رڪارڊ کان شروع ڪريو. آرٽيڪل 30 جي تحت پروسيسنگ سرگرمين جو رڪارڊ اڳ ۾ ئي موجود هجڻ گهرجي، ۽ اهو توهان کي هر وصول ڪندڙ جو نالو ڏيڻ تي مجبور ڪري ٿو.
• هر وصول ڪندڙ کي چيڪ ڪريو. هر هڪ لاءِ، ڪردار، قانوني بنياد، معاهدو، منتقلي جي پوزيشن ۽ رازداري نوٽيس ۾ ڇا چيو ويو آهي، قائم ڪريو. گهڻيون تنظيمون ٻه يا ٽي وهڪريون ڳولينديون آهن جن جو ڪو به حساب نٿو ڏئي سگهي.
• ان کي خريداري ۾ شامل ڪريو. پڪ ڪريو ته ڪو به سپلائر پروسيسنگ معاهدي، منتقلي جي تجزيي ۽ DPIA اسڪريننگ کان سواءِ آن بورڊ نه ٿي سگهي، ۽ ڪنهن کي اختيار ڏيو ته ناڪام ٿيندڙ آن بورڊنگ کي روڪي.
• تبديلي تي جائزو. ٻيهر ڏسو جڏهن ڪو نئون ذيلي پروسيسر، ڪو نئون مقصد يا ڪو نئون ملڪ ظاهر ٿئي ٿو، يا جڏهن ڪو حصول ڪنهن ٻئي جي ڊيٽا جي وهڪري کي گروپ ۾ آڻيندو آهي.

آرٽيڪل 5(2) توهان کي تعميل جو مظاهرو ڪرڻ جي قابل هجڻ جي ضرورت آهي، جيڪو رڪارڊ بابت هڪ ذميواري آهي جيترو رويي بابت. خاص طور تي آئي ٽي سپلائرز سان معاهدن لاءِ، اسان جو آئي ٽي قانون جو عمل وضاحت ڪري ٿو ته ڊيٽا جي تحفظ جون شرطون تجارتي شرطن سان ڪيئن لهه وچڙ ڪن ٿيون.

تت ۾

• ذاتي ڊيٽا جي هر شيئرنگ کي آرٽيڪل 6 GDPR جي تحت قانوني بنياد جي ضرورت آهي؛ هڪ تجارتي سبب ڪافي ناهي.
• هر وصول ڪندڙ لاءِ اهو طئي ڪريو ته اهو پروسيسر آهي، هڪ گڏيل ڪنٽرولر آهي يا هڪ آزاد ڪنٽرولر آهي، ۽ ان کي مطابق دستاويز ڪريو.
• آرٽيڪل 28 تحت پروسيسنگ معاهدو پروسيسرز لاءِ لازمي آهي؛ ان کان سواءِ توهان پهرين ڏينهن کان ئي خلاف ورزي ۾ آهيو.
• EEA کان ٻاهر منتقلي لاءِ مناسبيت (جهڙوڪ DPF سرٽيفڪيشن) يا حفاظتي اپائن سان گڏ منتقلي جي اثر جي تشخيص جي ضرورت آهي.
• تخلص ڪيل ڊيٽا اڃا تائين ذاتي ڊيٽا آهي؛ توهان جي رازداري نوٽيس ۾ وصول ڪندڙن جا نالا واضح طور تي هجڻ گهرجن.

وچان وچان سوال ڪرڻ

اسان ڊيٽا شيئرنگ ۽ GDPR ۾ ڪيئن مدد ڪري سگهون ٿا؟

Law & More هالينڊ ۾ ڪاروبار کي ڊيٽا شيئرنگ جي قانوني پاسي تي صلاح ڏيون ٿا. اسين ڪنٽرولر ۽ پروسيسر جي ڪردارن جو تعين ڪريون ٿا، پروسيسنگ معاهدن ۽ گڏيل ڪنٽرولر انتظامن جو مسودو تيار ڪريون ٿا ۽ ڳالهين ڪريون ٿا، EEA کان ٻاهر منتقلي جو جائزو وٺون ٿا، ڊيٽا تحفظ جي اثر جي جائزي کي انجام ڏيون ٿا ۽ رازداري جي نوٽيسن کي اپڊيٽ ڪريون ٿا. اسين AP پاران جاچ هيٺ تنظيمن جي مدد پڻ ڪريون ٿا يا جن کي هلندڙ آخري تاريخ جي خلاف ڊيٽا جي ڀڃڪڙي کي اطلاع ڏيڻ گهرجي.

ڇا توهان کي پڪ ناهي ته ڪنهن خاص ڊيٽا جي وهڪري کي جائز قرار ڏئي سگهجي ٿو، يا ڇا توهان ڪنهن اهڙي انتظام ۾ داخل ٿي رهيا آهيو جنهن ۾ ذاتي ڊيٽا تنظيمن جي وچ ۾ منتقل ٿيندو؟ شيئرنگ شروع ٿيڻ کان اڳ پوزيشن کي ڏسڻ جي قيمت آهي. پڪ ناهي ته توهان ڪٿي بيٺا آهيو؟ اسان کي پنهنجي صورتحال بابت ٻڌايو. اسان توهان کي هڪ ڪم ڪندڙ ڏينهن اندر توهان جي اختيارن بابت ٻڌائينداسين.