GDPR کیا ہے؟ ایپ بنانے والوں کے لیے سادہ رہنما
GDPR (General Data Protection Regulation) یورپی یونین کا بنیادی ڈیٹا تحفظ قانون ہے۔ یہ طے کرتا ہے کہ ادارے ذاتی ڈیٹا، یعنی کسی شناخت شدہ زندہ شخص سے متعلق کوئی بھی معلومات، کیسے جمع، استعمال، محفوظ اور شیئر کریں، اور لوگوں کو ان کے اپنے ڈیٹا پر حقوق دیتا ہے، جیسے اسے دیکھنے یا حذف کرانے کا حق۔ یہ 25 مئی 2018 سے نافذ ہے، اور یورپ سے باہر کے کاروباروں پر بھی لاگو ہو سکتا ہے اگر وہ وہاں کے لوگوں کو خدمات دیں۔
قانونی مشورہ نہیں۔ یہ گائیڈ بنیادی باتیں سمجھنے اور بہتر سوال پوچھنے میں مدد کے لیے ایک عمومی وضاحت ہے۔ یہ آپ کی صورتحال کے بارے میں مشورے کا متبادل نہیں۔ مستند تفصیل کے لیے European Commission کے ڈیٹا تحفظ صفحات اور European Data Protection Board کی چھوٹے کاروباروں کے لیے گائیڈ دیکھیں۔
AI سے بنانے میں یہ کیوں اہم ہے
AI بلڈرز ڈیٹا جمع کرنا آسان بنا دیتے ہیں۔ ایک پرامپٹ سے آپ کو سائن اَپ فارم، رابطہ فارم، analytics، فائل uploads اور ایک ایڈمن ڈیش بورڈ مل جاتا ہے جو ہر صارف کی فہرست دکھاتا ہے۔ ان میں سے ہر ایک ذاتی ڈیٹا جمع کرتا ہے، اور GDPR ان سب کی پرواہ کرتا ہے۔
اچھی خبر یہ ہے کہ GDPR جو کچھ مانگتا ہے اس کا زیادہ تر حصہ اچھی پروڈکٹ پریکٹس بھی ہے:
- صرف وہی جمع کریں جو واقعی ضروری ہو۔
- لوگوں کو بتائیں کہ آپ ان کے ڈیٹا کے ساتھ کیا کرتے ہیں۔
- اسے محفوظ رکھیں۔
- جب ضرورت نہ رہے تو حذف کریں۔
- لوگوں کو اپنا ڈیٹا دیکھنے، درست کرنے یا ہٹانے دیں۔
ان کو شروع سے ڈیزائن میں شامل کرنا، لانچ کے بعد جوڑنے سے بہت آسان ہے۔ شروع میں ہی AI بلڈر سے درست سوال پوچھنا بعد میں ایک تکلیف دہ دوبارہ تعمیر سے بچاتا ہے۔
روزمرہ کی ایک مثال
ذاتی ڈیٹا کو ان سامان کی طرح سوچیں جو لوگ آپ کے پاس چھوڑ جاتے ہیں، جیسے کوٹ چیک کاؤنٹر پر، مگر معلومات کے لیے۔ GDPR اس کوٹ کاؤنٹر کے گھر کے اصول ہیں:
- صرف وہی لیں جو شخص نے چھوڑنے پر راضی ہو، کسی ایسی وجہ سے جو وہ سمجھتا ہو۔
- جیبیں ٹٹول کر دوسرے مقاصد کے لیے کچھ نہ نکالیں۔
- کمرے کو بند رکھیں۔
- جب مانگا جائے، یا جب ضرورت نہ رہے، تو چیزیں واپس کریں یا پھینک دیں۔
- اگر کچھ چوری ہو جائے تو درست لوگوں کو فوری بتائیں۔
جب تک چیزیں آپ کی دیکھ بھال میں ہیں، ان کے ذمہ دار آپ ہیں، چاہے آپ نے کمرہ چلانے کے لیے کسی اور کو رکھا ہو۔
بنیادی تصورات
ذاتی ڈیٹا کیا ہے
European Commission ذاتی ڈیٹا کی تعریف یوں کرتا ہے: کوئی بھی معلومات جو کسی شناخت شدہ یا قابلِ شناخت زندہ فرد سے متعلق ہو۔ یہ وسیع ہے۔ اس میں نام، ای میل ایڈریس، گھر کا پتہ، IP ایڈریس، cookie IDs اور تصاویر شامل ہیں۔ ڈیٹا جسے “pseudonymised” کیا گیا ہو، جیسے ناموں کی جگہ کوڈ لگانا، پھر بھی ذاتی ڈیٹا ہو سکتا ہے اگر اسے کسی شخص تک واپس جوڑا جا سکے۔
کچھ زمرے اضافی تحفظ حاصل کرتے ہیں، جن میں صحت کا ڈیٹا، بایومیٹرک ڈیٹا، نسلی یا قومی اصل، اور سیاسی رائے شامل ہیں۔
یہ کس پر لاگو ہوتا ہے
Commission کے مطابق GDPR ان اداروں پر لاگو ہوتا ہے جو یورپی یونین میں قائم ہیں، اور ان اداروں پر بھی جو یونین سے باہر ہیں مگر یونین کے لوگوں کو سامان یا خدمات (ادا شدہ یا مفت) پیش کرتے ہیں یا ان کے رویے کی نگرانی کرتے ہیں۔ یورپی صارفین والا امریکی یا متحدہ عرب امارات کا اسٹارٹ اپ اس کے دائرے میں آ سکتا ہے۔ برطانیہ کا اپنا ورژن ہے، UK GDPR، جو اس پر قریب سے مبنی ہے۔
اصول
GDPR چند اصولوں پر بنا ہے۔ سادہ الفاظ میں:
| اصول | آپ کی ایپ کے لیے اس کا مطلب |
|---|---|
| قانونی جواز، منصفانہ اور شفافیت | پروسیسنگ کی درست وجہ ہو، اور لوگوں کو صاف بتائیں کہ آپ کیا کرتے ہیں۔ |
| مقصد کی حد | ڈیٹا صرف انہی وجوہات کے لیے استعمال کریں جن کے لیے جمع کیا گیا، نئی حیران کن وجوہات کے لیے نہیں۔ |
| ڈیٹا کی کمی (minimisation) | وہ فیلڈز جمع نہ کریں جن کی ضرورت نہ ہو۔ |
| درستگی | ڈیٹا درست رکھیں اور لوگوں کو درست کرنے دیں۔ |
| ذخیرے کی حد | ڈیٹا ہمیشہ کے لیے نہ رکھیں؛ جب ضرورت نہ ہو تو حذف کریں۔ |
| سالمیت اور رازداری | لیک اور غیر مجاز رسائی سے محفوظ رکھیں۔ |
| جوابدہی | دکھا سکیں کہ آپ کیسے مطابقت رکھتے ہیں۔ |
قانونی بنیادیں
ڈیٹا کے استعمال کے ہر طریقے کے لیے آپ کو ایک قانونی وجہ درکار ہے، جسے “lawful basis” کہتے ہیں۔ GDPR چھ گنواتا ہے: رضامندی، معاہدے کی ادائیگی، قانونی ذمہ داری، حیاتی مفادات، عوامی کام، اور جائز مفادات۔ رضامندی ان میں سے صرف ایک ہے۔ مثلاً آرڈر کو ڈیلیور کرنے کے لیے اس کی پروسیسنگ عموماً معاہدے سے متعلق ہوتی ہے، رضامندی سے نہیں۔ کون سی بنیاد موزوں ہے، یہ ایک فیصلہ ہے جسے سرکاری رہنمائی سے جانچنا چاہیے۔
لوگوں کے حقوق
Commission افراد کے لیے یہ حقوق گنواتا ہے:
- یہ جاننے کا حق کہ ان کا ڈیٹا کیسے استعمال ہوتا ہے
- اپنے ڈیٹا تک رسائی کا حق
- اسے درست کرانے کا حق
- اسے حذف کرانے کا حق
- پروسیسنگ محدود کرانے کا حق
- ڈیٹا منتقلی (portability)، یعنی اسے قابلِ استعمال شکل میں حاصل کرنے کا حق
- اعتراض کا حق
- خودکار فیصلوں اور پروفائلنگ سے متعلق حقوق
ڈیٹا کی خلاف ورزیاں
اگر ذاتی ڈیٹا لیک ہو اور اس خلاف ورزی سے لوگوں کے حقوق اور آزادیوں کو خطرہ ہو، تو ادارے کو عموماً بلاتاخیر، اور جہاں ممکن ہو 72 گھنٹوں کے اندر، اپنے ڈیٹا تحفظ ادارے کو مطلع کرنا ہوتا ہے، جس لمحے اسے پتہ چلے۔ کچھ صورتوں میں متاثرہ لوگوں کو بھی بتانا ہوگا۔
ایک عملی مثال: یوگا اسٹوڈیو کی بکنگ ایپ
فرض کریں آپ جرمنی میں گاہکوں والے یوگا اسٹوڈیو کے لیے بکنگ ایپ بنا رہے ہیں۔ یہ دیکھیں کہ GDPR اسے کیسے شکل دیتا ہے۔
کم جمع کریں۔ سائن اَپ فارم نام، ای میل اور ایک اختیاری فون نمبر مانگتا ہے۔ پہلے مسودے میں تاریخِ پیدائش اور گھر کا پتہ بھی تھا؛ ایپ میں ان میں سے کوئی استعمال نہیں ہوتا، اس لیے انہیں ہٹا دیا گیا۔
صحت کے ڈیٹا کو احتیاط چاہیے۔ اسٹوڈیو چوٹوں کے بارے میں پوچھنا چاہتا ہے۔ یہ صحت کا ڈیٹا ہے، ایک خاص زمرہ جس پر سخت قواعد ہیں۔ اسٹوڈیو فیصلہ کرتا ہے کہ یہ ذمہ داری ذاتی طور پر نمٹائی جائے، تاکہ ایپ اسے جمع ہی نہ کرے۔
شفاف رہیں۔ ایک پرائیویسی پالیسی بتاتی ہے کہ کیا جمع ہوتا ہے، کیوں، کتنی دیر رکھا جاتا ہے، اس کے ساتھ اور کون پروسیس کرتا ہے (ہوسٹنگ فراہم کنندہ، ای میل سروس، ادائیگی فراہم کنندہ)، اور اسٹوڈیو سے کیسے رابطہ کیا جائے۔
مارکیٹنگ الگ ہے۔ کلاس بک کرنے سے کوئی نیوز لیٹر کے لیے سائن اَپ نہیں ہو جاتا۔ اس کے لیے ایک الگ، غیر نشان زد چیک باکس ہے۔
پروڈکٹ کے اندر حقوق۔ گاہک اپنی پروفائل دیکھ اور بدل سکتے ہیں، اپنی بکنگ کی تاریخ ڈاؤن لوڈ کر سکتے ہیں، اور اپنے اکاؤنٹ کے صفحے سے حذف کی درخواست کر سکتے ہیں۔
ذخیرہ۔ غیر فعال اکاؤنٹس ایک طے شدہ مدت کے بعد نشان زد ہوتے ہیں اور اگر گاہک جواب نہ دے تو ہٹا دیے جاتے ہیں۔ مدت اسٹوڈیو طے کرتا ہے۔
Cookies۔ لاگ اِن کی cookie ضروری ہے۔ Analytics صرف زائر کے قبول کرنے کے بعد لوڈ ہوتا ہے۔ دیکھیں cookies کیا ہیں۔
سیکیورٹی۔ پاس ورڈز hash ہوتے ہیں، ایڈمن ایریا کے لیے two-factor authentication درکار ہے، اور صرف مالک گاہکوں کی فہرستیں برآمد کر سکتا ہے۔
عام اصطلاحات کی وضاحت
| اصطلاح | مطلب |
|---|---|
| ذاتی ڈیٹا | کسی شناخت شدہ یا قابلِ شناخت زندہ شخص کے بارے میں کوئی بھی معلومات۔ |
| پروسیسنگ | ذاتی ڈیٹا کے ساتھ کیا گیا ہر کام: جمع کرنا، ذخیرہ، استعمال، شیئر، حذف۔ |
| Data subject | وہ شخص جس کے بارے میں ڈیٹا ہے۔ |
| Controller | وہ ادارہ جو طے کرتا ہے کہ ڈیٹا کیوں اور کیسے پروسیس ہو، عموماً آپ، ایپ کے مالک۔ |
| Processor | وہ کمپنی جو controller کی جانب سے ڈیٹا پروسیس کرتی ہے، جیسے ہوسٹنگ یا ای میل فراہم کنندہ۔ |
| Data Processing Agreement (DPA) | controller اور processor کے درمیان معاہدہ جو بتاتا ہے کہ ڈیٹا کیسے سنبھالا جائے گا۔ |
| Lawful basis | پروسیسنگ کی قانونی وجہ، جیسے رضامندی یا معاہدہ۔ |
| رضامندی | آزادانہ، مخصوص، باخبر اور واضح “ہاں”؛ پہلے سے نشان زد باکس شمار نہیں ہوتے۔ |
| Special category data | حساس ڈیٹا جیسے صحت یا بایومیٹرکس، سخت قواعد کے ساتھ۔ |
| Supervisory authority | کسی ملک کا ڈیٹا تحفظ ریگولیٹر۔ |
عام غلطیاں اور غلط فہمیاں
- “ہم یورپی یونین میں نہیں ہیں، اس لیے یہ لاگو نہیں ہوتا۔” یہ آپ کے صارفین کہاں ہیں اس کی بنیاد پر لاگو ہو سکتا ہے۔
- “GDPR کا مطلب ہر چیز کے لیے رضامندی ہے۔” رضامندی چھ قانونی بنیادوں میں سے ایک ہے، اور اکثر درست نہیں ہوتی۔
- “کوکی بینر ہمیں مطابق بنا دیتا ہے۔” cookies صرف ایک چھوٹا حصہ ہیں۔ ڈیٹا جمع کرنا، سیکیورٹی، حقوق اور ذخیرہ زیادہ اہم ہیں۔
- “ہمارا ہوسٹ GDPR پر پورا اترتا ہے، اس لیے ہم بھی۔” فراہم کنندگان مدد کرتے ہیں، مگر آپ طے کرتے ہیں کہ آپ کی ایپ کیا جمع کرتی ہے اور کیا کرتی ہے۔
- “شاید کام آ جائے” کے لیے جمع کرنا۔ ہر اضافی فیلڈ زیادہ چیز ہے جس کی حفاظت، وضاحت اور حذف کرنا ہے۔
- کسی دوسری سائٹ کی پرائیویسی پالیسی نقل کرنا۔ وہ بیان کرنی چاہیے جو آپ کی ایپ واقعی کرتی ہے۔
- حذف کو ناممکن بنانا۔ اگر کوئی ڈویلپر کے بغیر صارف کو حذف نہ کر سکے، تو رسائی کی درخواستیں ہنگامی صورتحال بن جاتی ہیں۔
اپنے AI بلڈر سے کیا مانگیں
- “اس ایپ کے جمع کردہ ہر ذاتی ڈیٹا کی فہرست دو، وہ کہاں محفوظ ہے، اور اس کی کیا ضرورت ہے۔”
- “وہ فارم فیلڈز ہٹاؤ جو ہم استعمال نہیں کرتے۔”
- “ایک اکاؤنٹ صفحہ شامل کرو جہاں صارفین اپنا ڈیٹا دیکھ، بدل اور ڈاؤن لوڈ کر سکیں، اور حذف کی درخواست کر سکیں۔”
- “ایک ایڈمن عمل بناؤ جو کسی صارف اور اس کے متعلقہ ریکارڈز کو مکمل طور پر حذف کرے، یا وہ ریکارڈز جو ہمیں رکھنے ہیں ان کو گمنام کرے۔”
- “مارکیٹنگ سائن اَپ کو ایک الگ، غیر نشان زد چیک باکس کے طور پر رکھو۔”
- “رضامندی سے پہلے analytics یا مارکیٹنگ اسکرپٹس لوڈ نہ کرو۔”
- “ہر تیسری پارٹی سروس کی فہرست دو جو صارف کا ڈیٹا وصول کرتی ہے، تاکہ میں اسے پرائیویسی پالیسی میں شامل کر سکوں۔”
- “ایڈمن ایکسپورٹس کو صرف مالک کے کردار تک محدود کرو اور لاگ کرو کہ کس نے کیا برآمد کیا۔”
پھر terms of service اور پرائیویسی پالیسی کیسے لکھیں اور cookie consent کیسے شامل کریں پڑھیں۔
GDPR اور Mythex
Mythex آپ کو بنیادی ڈھانچہ دیتا ہے، کسی مطابقت کا سرٹیفکیٹ نہیں۔ آپ کی ایپ کا ڈیٹا، جب آپ انہیں فعال کریں، اپنے پروجیکٹ ڈیٹابیس اور فائل اسٹوریج میں رہتا ہے، آپ کوڈ کے مالک ہیں، اور Pro پر اگر آپ کو منتقل ہونا ہو تو پروجیکٹ برآمد کر سکتے ہیں۔ آپ کی ایپ کیا جمع کرتی ہے، کتنی دیر رکھتی ہے، اور لوگ اپنے حقوق کیسے استعمال کرتے ہیں، یہ فیصلے آپ کے ہیں، اور آپ انہیں ایجنٹ سے بنوانے کو کہتے ہیں۔ docs کا صفحہ ڈیٹا کی ملکیت بتاتا ہے کہ Mythex کیا ہوسٹ کرتا ہے، اور آپ کی بنائی ہوئی ایپس کی سیکیورٹی ایسی مطابقت کے دعوے سے خبردار کرتی ہے جو آپ کے پاس نہیں۔ اگر آپ کو مخصوص تفصیلات درکار ہوں، جیسے ڈیٹا کہاں ہوسٹ ہوتا ہے یا data processing agreement، تو لانچ سے پہلے Mythex سپورٹ سے پوچھیں۔
سوالات
سادہ الفاظ میں GDPR کیا ہے؟
General Data Protection Regulation (GDPR) یورپی یونین کا بنیادی ڈیٹا تحفظ قانون ہے۔ یہ طے کرتا ہے کہ ادارے لوگوں کے بارے میں معلومات کیسے جمع، استعمال، محفوظ اور شیئر کریں، اور ان لوگوں کو اپنے ڈیٹا پر حقوق دیتا ہے۔ یہ 25 مئی 2018 سے نافذ ہے۔
کیا GDPR یورپ سے باہر کے کاروباروں پر بھی لاگو ہوتا ہے؟
ہو سکتا ہے۔ European Commission کے مطابق یہ یورپی یونین سے باہر کے اداروں پر لاگو ہوتا ہے جو یونین کے لوگوں کو سامان یا خدمات پیش کریں، چاہے مفت ہی ہوں، یا ان کے رویے کی نگرانی کریں۔ صرف یہ اہم نہیں کہ آپ کہاں واقع ہیں؛ یہ بھی اہم ہے کہ آپ کے صارفین کون ہیں۔
کیا ای میل ایڈریس ذاتی ڈیٹا ہے؟
ہاں۔ ذاتی ڈیٹا وہ کوئی بھی معلومات ہے جو کسی شناخت شدہ یا قابلِ شناخت زندہ شخص سے متعلق ہو۔ نام، ای میل ایڈریس، IP ایڈریس اور cookie IDs سب شمار ہو سکتے ہیں۔
کیا GDPR پر پورا اترنے والا ہوسٹ استعمال کرنے سے میری ایپ خودبخود مطابق ہو جاتی ہے؟
نہیں۔ ہوسٹ مطابقت میں مدد کر سکتا ہے، مگر آپ طے کرتے ہیں کہ آپ کی ایپ کون سا ڈیٹا جمع کرتی ہے، کیوں، کتنی دیر رکھتی ہے اور اسے کون دیکھتا ہے۔ یہ فیصلے آپ کو درست کرنے ہوتے ہیں۔
کیا یہ گائیڈ قانونی مشورہ ہے؟
نہیں۔ یہ ایک عمومی وضاحت ہے جو بہتر سوال پوچھنے میں مدد دیتی ہے۔ اپنی مخصوص صورتحال کے لیے یورپی یونین یا اپنے ملک کے ڈیٹا تحفظ ادارے کی سرکاری رہنمائی دیکھیں، یا کسی مستند مشیر سے بات کریں۔