ٽئين پارٽين سان ذاتي ڊيٽا شيئر ڪرڻ: انتظام ڪرڻ لاءِ 7 GDPR خطرا

توهان صرف GDPR تحت ذاتي ڊيٽا شيئر ڪري سگهو ٿا جيڪڏهن توهان وٽ آرٽيڪل 6 تحت قانوني بنياد آهي، لکت ۾ طئي ڪيو آهي ته وصول ڪندڙ پروسيسر آهي يا ڪنٽرولر، ۽ حصيداري بابت لاڳاپيل ماڻهن کي ٻڌايو آهي. مکيه استثنا يورپي اقتصادي علائقي (EEA) کان ٻاهر منتقلي ۽ اعليٰ خطري واري پروسيسنگ آهن، جيڪي باب V ۽ آرٽيڪل 35 GDPR تحت اضافي گهرجون آڻين ٿيون.

هالينڊ ۾، ڊچ ڊيٽا پروٽيڪشن اٿارٽي ( Autoriteit Persoonsgegevens , AP) ڊچ لاڳو ڪندڙ ايڪٽ ( Uitvoeringswet AVG , UAVG) سان گڏ GDPR لاڳو ڪري ٿي. ڪلائوڊ فراهم ڪندڙ، پگهار بيورو، قرض جمع ڪندڙ يا گروپ ڪمپني ڏانهن هر وهڪري هڪ الڳ پروسيسنگ آپريشن آهي جنهن کي پنهنجي جواز جي ضرورت آهي. هيٺ اسان ست خطرا بيان ڪيا آهن جيڪي عملي طور تي ٻيهر اچن ٿا، انهن جي پويان دفعات ۽ توهان هر هڪ بابت ڇا ڪري سگهو ٿا.

خطرو 1: ڇا توهان ڪنهن صحيح قانوني بنياد کان سواءِ ڊيٽا شيئر ڪري رهيا آهيو؟

ذاتي ڊيٽا جي هر ظاهر ڪرڻ لاءِ آرٽيڪل 6(1) GDPR ۾ ڇهن قانوني بنيادن مان هڪ جي ضرورت آهي. تجارتي سبب انهن مان هڪ ناهي.

ڇهه بنياد مڪمل آهن: رضامندي، معاهدي جي ڪارڪردگي، قانوني ذميواري، اهم مفاد، عوامي ڪم ۽ جائز مفاد. آرٽيڪل 5(1)(a) شامل ڪري ٿو ته پروسيسنگ قانوني، منصفانه ۽ شفاف هجڻ گهرجي، تنهن ڪري هڪ بنياد جيڪو ڪڏهن به ڪنهن کي نه ٻڌايو ويو هو اڃا تائين هڪ خلا ڇڏي ٿو.

جائز مفاد ڇو هڪ ڦندو آهي؟

جائز مفاد اهو بنياد آهي جيڪو اڪثر ڀائيوارن سان حصيداري لاءِ استعمال ٿيندو آهي، ۽ اڪثر ڪري غلط استعمال ٿيندو آهي. ان لاءِ ٽن مرحلن واري ٽيسٽ جي ضرورت آهي:

• دلچسپي جائز هجڻ گهرجي؛
• ان جي خدمت لاءِ شيئرنگ ضروري هجڻ گهرجي؛
• دلچسپي کي لاڳاپيل ماڻهن جي حقن ۽ آزادين کان مٿانهون نه ٿيڻ گهرجي.

شيئرنگ شروع ٿيڻ کان اڳ توهان کي هي ٽيسٽ ڪرڻ ۽ رڪارڊ ڪرڻ گهرجي، ڇاڪاڻ ته آرٽيڪل 5(2) GDPR ثبوت جو بار ڪنٽرولر (احتساب) تي وجهي ٿو. شڪايت اچڻ کان پوءِ لکيل تشخيص تمام گهٽ قيمت رکي ٿي.

رضامندي ۽ مقصد جي حد بابت ڇا؟

ملازمن جي رضامندي تمام گهٽ صحيح هوندي آهي، ڇاڪاڻ ته طاقت جي عدم توازن جو مطلب آهي ته اها آزاديءَ سان نه ڏني ويندي آهي (آرٽيڪل 7(4) ۽ تلاوت 43 GDPR). آرٽيڪل 5(1)(b) جي تحت مقصد جي حد شيئرنگ تي پڻ لاڳو ٿئي ٿي: خدمت پهچائڻ لاءِ گڏ ڪيل ڊيٽا صرف مارڪيٽنگ لاءِ پارٽنر ڏانهن نه ٿو وڃي سگهي. جتي نئون مقصد اصل سان مطابقت نه رکي، توهان کي هڪ نئين بنياد جي ضرورت آهي.

ڇا ڪجي: ڊيٽا توهان جي تنظيم مان نڪرڻ کان اڳ بنياد جي سڃاڻپ ڪريو، ان کي لکو ۽ چيڪ ڪريو ته توهان جو رازداري نوٽيس اڳ ۾ ئي شيئرنگ کي بيان ڪري ٿو. رضامندي آزادانه طور تي ڏني وڃي، مخصوص، باخبر، غير واضح ۽ واپس وٺڻ ۾ آسان هجي جيترو ڏيڻ (آرٽيڪل 4(11) ۽ 7(3) GDPR).

خطرو 2: ڇا توهان ڪنٽرولر ۽ پروسيسر جا ڪردار غلط رکيا آهن؟

هڪ ڪنٽرولر پروسيسنگ جا مقصد ۽ ذريعا طئي ڪندو آهي؛ هڪ پروسيسر صرف ڪنٽرولر جي دستاويزي هدايتن تي عمل ڪندو آهي (آرٽيڪل 4(7) ۽ (8) GDPR). اهم ڳالهه اها آهي ته ڪير اصل ۾ فيصلو ڪري ٿو، نه ته معاهدو پارٽين کي ڇا سڏي ٿو.

عام غلطي اها آهي ته هر سپلائر کي پروسيسر جو ليبل لڳايو وڃي. پر هيٺ ڏنل مان ڪو به صرف هدايتن تي عمل نٿو ڪري:

• هڪ SaaS فراهم ڪندڙ جيڪو پنهنجي پراڊڪٽ کي بهتر بڻائڻ لاءِ گراهڪ ڊيٽا استعمال ڪري ٿو؛
• هڪ اڪائونٽنٽ جيڪو پيشه ورانه قاعدن سان پابند هجي؛
• هڪ بينڪ جيڪا ادائيگي ڪري رهي آهي؛
• هڪ اشتهاري پليٽ فارم جيڪو پنهنجي سامعين جي پروفائل ٺاهيندو آهي.

هر هڪ پروسيسنگ جي گهٽ ۾ گهٽ حصي لاءِ هڪ ڪنٽرولر آهي. جتي ٻه تنظيمون گڏيل طور تي مقصد ۽ وسيلا طئي ڪن ٿيون، اهي آرٽيڪل 26 GDPR تحت گڏيل ڪنٽرولر آهن. انهن کي هڪ انتظام ۾ پنهنجون ذميواريون مقرر ڪرڻ گهرجن ۽ ان جي جوهر کي لاڳاپيل ماڻهن تائين پهچائڻ گهرجي.

يورپي يونين جي عدالت انصاف گڏيل ڪنٽرول کي ڪيتري وسيع طريقي سان بيان ڪري ٿي؟

وڏي پيماني تي. فيشن آئي ڊي (سي-40/17) ۾ ، عدالت انصاف جو فيصلو ڏنو ته هڪ ويب سائيٽ آپريٽر جيڪو ٽئين پارٽي سوشل پلگ ان کي شامل ڪري ٿو، اهو زائرين جي ڊيٽا جي گڏ ڪرڻ ۽ منتقلي لاءِ هڪ گڏيل ڪنٽرولر هو، جيتوڻيڪ ان کي بعد ۾ ڊيٽا تائين ڪا به رسائي نه هئي. مقصدن تي جزوي اثر ڪافي آهي، ۽ نتيجو هڪ خلاف ورزي جي گڏيل ذميواري آهي جيڪا توهان نه ڪئي.

ڇا ڪجي: ڊيٽا جي وهڪري جو نقشو ٺاهيو ۽ هر وهڪري لاءِ رڪارڊ ڪريو، ڪير فيصلو ڪري ٿو ته ڊيٽا ڇو ۽ ڪيئن پروسيس ڪئي وڃي ٿي. پروسيسرز لاءِ آرٽيڪل 28 تحت پروسيسنگ معاهدي ۽ آرٽيڪل 26 تحت هڪ گڏيل ڪنٽرولر انتظام استعمال ڪريو جتي ٻئي ڌريون فيصلو ڪن.

خطرو 3: ڇا توهان جو ڊيٽا پروسيسنگ معاهدو غائب يا ناقص آهي؟

جيڪڏهن ڪو پروسيسر توهان لاءِ ذاتي ڊيٽا سنڀاليندو آهي، ته آرٽيڪل 28(3) GDPR کي هڪ تحريري معاهدي جي ضرورت آهي. ان کان سواءِ، توهان پروسيسنگ شروع ٿيڻ کان ئي خلاف ورزي ۾ آهيو، جيتوڻيڪ ڪو به ڊيٽا ڪڏهن به ليڪ نه ٿئي.

مواد قانون طرفان مقرر ڪيل آهي. هڪ تعميل ڪندڙ ڊيٽا پروسيسنگ معاهدي ۾ پروسيسنگ جو موضوع، مدت، نوعيت ۽ مقصد، ذاتي ڊيٽا جا قسم ۽ ماڻهن جا درجا، ۽ ڪنٽرولر جا حق ۽ ذميداريون بيان ڪيون ويون آهن. ان کي پروسيسر کي پڻ پابند ڪرڻ گهرجي:

• صرف دستاويزي هدايتن تي عمل ڪريو؛
• پنهنجي عملي تي رازداري لاڳو ڪرڻ؛
• آرٽيڪل 32 جي گهربل حفاظتي اپاءَ وٺڻ؛
• ڊيٽا جي موضوع جي درخواستن ۽ ڀڃڪڙي جي اطلاع ۾ مدد؛
• مصروفيت جي آخر ۾ ڊيٽا کي ختم ڪرڻ يا واپس ڪرڻ؛
• تعميل جو مظاهرو ڪرڻ لاءِ گهربل معلومات فراهم ڪريو، ۽ آڊٽ جي اجازت ڏيو.

ذيلي پروسيسر شقون اڪثر ناڪام ڇو ٿينديون آهن؟

آرٽيڪل 28(2) ۽ (4) جي تحت، پروسيسر کي ڪنهن به ذيلي پروسيسر لاءِ توهان جي اڳوڻي مخصوص يا عام تحريري اجازت جي ضرورت آهي. هڪ عام اجازت سان، ان کي توهان کي ارادي تبديلين جي خبر ڏيڻ گهرجي ۽ توهان کي اعتراض ڪرڻ جو موقعو ڏيڻ گهرجي؛ هڪ شق جيڪا ان کي ڪنهن کي به شامل ڪرڻ جي اجازت ڏئي ٿي جيڪا ان کي پسند آهي، ان معيار تي پورو نه لهي.

ڇا ڪجي: هڪ ٽيمپليٽ مان ڪم ڪريو جيڪو آرٽيڪل 28(3) جي شق جي مطابق شق جي پيروي ڪري ۽ سپلائر جي پنهنجي شرطن تي ڀروسو ڪرڻ بدران موجوده معاهدن جو جائزو وٺو. ڊگهي عرصي وارا لاڳاپا غير دستاويزي ٿيڻ جو سڀ کان وڌيڪ امڪان آهن.

خطرو 4: ڇا توهان EEA کان ٻاهر ڊيٽا بغير ڪنهن حفاظتي قدم جي منتقل ڪري رهيا آهيو؟

EEA کان ٻاهر منتقلي صرف هڪ مناسب فيصلي (آرٽيڪل 45 GDPR) يا مناسب حفاظتي اپائن (آرٽيڪل 46) جي بنياد تي اجازت ڏني وئي آهي، عام طور تي ڪميشن جي معياري معاهدي جي شقن (SCCs) يا پابند ڪارپوريٽ قاعدن. آرٽيڪل 49 ۾ ڏنل توهين، جهڙوڪ واضح رضامندي، ڪڏهن ڪڏهن منتقلي لاءِ آهن ۽ هڪ ساختي ڊيٽا جي وهڪري جي حمايت نٿا ڪري سگهن.

منتقلي تڏهن ٿيندي آهي جڏهن ڊيٽا EEA کان ٻاهر رسائي لائق هوندو آهي، نه رڳو جڏهن ان کي اتي ڪاپي ڪيو ويندو آهي. ٻاهرين ملڪ ۾ والدين ڪمپني پاران ريموٽ ايڊمنسٽريشن هڪ منتقلي آهي، جيتوڻيڪ سرور فرينڪفرٽ ۾ رهن ٿا.

Schrems II ۽ ڊيٽا پرائيويسي فريم ورڪ جو توهان لاءِ ڇا مطلب آهي؟

Schrems II (C-311/18) ۾ ، انصاف جي عدالت EU-US پرائيويسي شيلڊ کي رد ڪري ڇڏيو ۽ چيو ته معياري معاهدي جون شقون پاڻ ۾ ڪافي نه آهن. برآمد ڪندڙ کي اهو جائزو وٺڻ گهرجي ته ڇا منزل ملڪ جو قانون شقن کي ڪمزور ڪري ٿو ۽ جتي اهو ڪري ٿو اتي اضافي قدم شامل ڪريو؛ ته منتقلي جي اثر جي تشخيص (TIA) اڃا تائين هر آرٽيڪل 46 منتقلي لاءِ گهربل آهي.

ڪميشن جولاءِ 2023 ۾ EU-US ڊيٽا پرائيويسي فريم ورڪ (DPF) لاءِ هڪ مناسب فيصلو اختيار ڪيو، ۽ 3 سيپٽمبر 2025 تي جنرل ڪورٽ ان جي منسوخي لاءِ هڪ ڪارروائي کي رد ڪري ڇڏيو ( Latombe , T-553/23). فريم ورڪ تحت تصديق ٿيل آمريڪي تنظيم ڏانهن منتقلي، ان جي سرٽيفڪيشن جي احاطي ۾ ڊيٽا لاءِ، مناسبيت تي ڀروسو ڪري سگهي ٿي؛ ٻين آمريڪي وصول ڪندڙن ڏانهن منتقلي نه ٿي سگهي. عدالت انصاف ۾ اپيل ممڪن آهي، تنهن ڪري سرٽيفڪيشن چيڪ ڪريو ۽ فال بيڪ کي برقرار رکو.

ڇا ڪجي: پنهنجي سپلائي چين ۾ ٽئين ملڪ جي منتقلي جي فهرست ٺاهيو، جنهن ۾ ذيلي پروسيسرز ۽ سپورٽ انتظام شامل آهن. جتي ڪافي حد تائين لاڳو نه ٿئي، موجوده SCC استعمال ڪريو، TIA کي دستاويز ڪريو ۽ EEA ۾ رکيل چابين سان انڪرپشن جهڙا ضمني قدم رڪارڊ ڪريو. AP آرٽيڪل 58(2)(j) GDPR جي تحت منتقلي کي معطل ڪرڻ جو حڪم ڏئي سگهي ٿو.

خطرو 5: ڇا توهان ڊيٽا تحفظ جي اثر جي تشخيص کي ڇڏي رهيا آهيو؟

آرٽيڪل 35 GDPR لاءِ ڊيٽا پروٽيڪشن امپيڪٽ اسيسمينٽ (DPIA) جي ضرورت آهي جتي پروسيسنگ جي نتيجي ۾ فردن لاءِ وڏو خطرو هجڻ جو امڪان آهي. ڊيٽا شيئر ڪرڻ اڪثر تنظيمن جي توقع کان جلد ان حد کي پار ڪري ويندو آهي.

آرٽيڪل 35(3) ٽن ڪيسن جو ذڪر ڪري ٿو: قانوني يا ساڳئي طرح اهم اثرن سان منظم ۽ وسيع خودڪار تشخيص، خاص ڪيٽيگريز يا مجرمانه ڊيٽا جي وڏي پيماني تي پروسيسنگ، ۽ عوامي علائقي جي وڏي پيماني تي منظم نگراني. اي پي آپريشن جي هڪ فهرست پڻ شايع ڪري ٿو جنهن لاءِ ڊي پي آءِ اي هميشه گهربل آهي. ڊيٽا سيٽ کي گڏ ڪرڻ، تجزياتي فراهم ڪندڙ سان صحت جي ڊيٽا شيئر ڪرڻ يا ملازمن جي نگراني ڪرڻ اڪثر ڪري پاڻ ئي حد پار ڪندو.

ڊي پي آءِ اي ۾ ڇا هجڻ گهرجي؟

آرٽيڪل 35(7) جي تحت، هڪ DPIA پروسيسنگ ۽ ان جي مقصدن کي بيان ڪري ٿو، ضرورت ۽ تناسب جو جائزو وٺي ٿو، لاڳاپيل ماڻهن لاءِ خطرن جي سڃاڻپ ڪري ٿو ۽ انهن کي حل ڪرڻ جا قدم بيان ڪري ٿو. جتي هڪ وڏو بقايا خطرو رهي ٿو، آرٽيڪل 36 پروسيسنگ شروع ٿيڻ کان اڳ AP جي اڳواٽ صلاح مشوري جي ضرورت آهي.

ڇا ڪجي: آرٽيڪل 35(3) ۽ اي پي لسٽ جي خلاف هر نئين ڊيٽا شيئرنگ انتظام جي اسڪريننگ ڪريو، ۽ جيڪڏهن توهان وٽ آهي ته پنهنجي ڊيٽا پروٽيڪشن آفيسر کي شامل ڪريو. پروسيسنگ تبديل ٿيڻ تي DPIA جو دورو ڪريو؛ گهربل DPIA کي انجام ڏيڻ ۾ ناڪامي پاڻ ۾ هڪ خلاف ورزي آهي.

خطرو 6: ڇا توهان ماڻهن کي شيئرنگ بابت تمام گهٽ ٻڌائي رهيا آهيو؟

شفافيت هڪ الڳ ذميواري آهي، جنهن جي توهان ڀڃڪڙي ڪري سگهو ٿا جيتوڻيڪ جتي شيئرنگ پاڻ قانوني هجي. آرٽيڪل 13 ۽ 14 GDPR توهان کي مقصدن، قانوني بنيادن ۽ وصول ڪندڙن يا وصول ڪندڙن جي درجابندي بيان ڪرڻ جي ضرورت آهي.

هڪ جملو جيڪو چوي ٿو ته ڊيٽا "قابل اعتماد ڀائيوارن سان شيئر ڪري سگهجي ٿو" ڪنهن به شيءِ جي سڃاڻپ نٿو ڪري. زمرن کي صحيح طور تي نالو ڏيو، جهڙوڪ هوسٽنگ فراهم ڪندڙ، پگهار منتظمين يا ڪريڊٽ ريفرنس ايجنسيون. EEA کان ٻاهر منتقلي لاءِ، آرٽيڪل 13(1)(f) ۽ 14(1)(f) نوٽيس کي اهو چوڻ ۽ انحصار ڪيل حفاظت جي سڃاڻپ ڪرڻ جي ضرورت آهي.

جڏهن توهان پاڻ ڊيٽا گڏ نه ڪيو ته ڪهڙو اضافي لاڳو ٿيندو؟

آرٽيڪل 14 جي تحت، نوٽيس ۾ ڊيٽا جي درجابندي ۽ انهن جي ذريعن کي پڻ بيان ڪرڻ گهرجي. توهان کي اهو مناسب وقت اندر ۽ گهٽ ۾ گهٽ هڪ مهيني اندر، يا جيڪڏهن اهو جلد اچي ته ان شخص سان پهرين رابطي تي مهيا ڪرڻ گهرجي. هالينڊ ۾ رازداري پاليسي تي اسان جو صفحو مڪمل مواد بيان ڪري ٿو.

ڇا ڪجي: نئين وصول ڪندڙ کي ڊيٽا حاصل ڪرڻ کان اڳ نوٽيس کي اپڊيٽ ڪريو، ايندڙ سالياني جائزي تي نه. آرٽيڪل 12(1) نوٽيسن کي مختصر، سمجھڻ لائق ۽ صاف ۽ سادي ٻولي ۾ هجڻ جي ضرورت آهي.

خطرو 7: ڇا توهان تخلص واري ڊيٽا کي گمنام سمجهي رهيا آهيو؟

ان تنظيم لاءِ جيڪا ڪنجي رکي ٿي، تخلص وارو ڊيٽا ذاتي ڊيٽا رهي ٿو. صرف صحيح گمنامي ڊيٽا کي GDPR کان ٻاهر وٺي ٿي.

آرٽيڪل 4(5) GDPR تخلص کي ڊيٽا جي پروسيسنگ جي طور تي بيان ڪري ٿو ته جيئن ان کي هاڻي ڪنهن شخص سان ڳنڍيل نه ڪري سگهجي بغير اضافي معلومات جي جيڪا الڳ رکيل هجي. تلاوت 26 تصديق ڪري ٿو ته اهڙو ڊيٽا GDPR اندر رهي ٿو جيڪو ان کي ٻيهر سڃاڻي سگهي ٿو. تنهن ڪري، گراهڪن جي نمبرن سان نالن کي تبديل ڪرڻ سان قانوني بنياد، پروسيسنگ معاهدي يا توهان جي طرفان رازداري نوٽيس جي ضرورت ختم نه ٿيندي آهي.

ڇا فرضي ڊيٽا وصول ڪندڙ لاءِ غير ذاتي ٿي سگهي ٿو؟

ممڪن طور تي. EDPS بمقابلہ SRB (C-413/23 P، 4 سيپٽمبر 2025) ۾ ، عدالت انصاف جو فيصلو ڏنو ته فرضي ڊيٽا وصول ڪندڙ لاءِ ذاتي ڊيٽا نه هجڻ گهرجي جيڪو لاڳاپيل ماڻهن کي معقول طور تي ٻيهر سڃاڻي نٿو سگهي. عدالت اهو پڻ چيو ته ظاهر ڪندڙ ڪنٽرولر کي اڃا تائين انهن ماڻهن کي وصول ڪندڙ بابت جمع ڪرڻ وقت آگاهي ڏيڻ گهرجي.

ڇا ڪجي: وصول ڪندڙ پاران استعمال ٿيندڙ ممڪن ذريعن جو جائزو وٺو، جنهن ۾ ٻيا ڊيٽاسيٽ شامل آهن جيڪي ان وٽ آهن؛ هڪ پوسٽ ڪوڊ، پيدائش جي تاريخ ۽ ٽرانزيڪشن جي تاريخ اڪثر ڪري ٻيهر سڃاڻپ جي اجازت ڏئي ٿي. دستاويز ڪريو ته چاٻي کي ڪيئن الڳ رکيو ويو آهي. آرٽيڪل 32 تخلص کي هڪ سيڪيورٽي ماپ طور نامزد ڪري ٿو، جيڪو توهان جي حق ۾ شمار ٿئي ٿو جيڪڏهن خلاف ورزي جو جائزو ورتو وڃي.

هالينڊ ۾ قانون لاڳو ڪرڻ جو طريقو ڪهڙو نظر اچي ٿو؟

آرٽيڪل 58 GDPR جي تحت، اي پي ڊيڄاري سگهي ٿو، ملامت ڪري سگهي ٿو، تعميل جو حڪم ڏئي سگهي ٿو، پروسيسنگ تي پابندي لڳائي سگهي ٿو ۽ منتقلي کي معطل ڪري سگهي ٿو، ۽ آرٽيڪل 83 ڏنڊ جي اجازت ڏئي ٿو. هڪ ڪاروبار لاءِ جيڪو هڪ خاص ڊيٽا جي وهڪري تي منحصر آهي، پابندي اڪثر ڪري ڏنڊ کان وڌيڪ نقصانڪار هوندي آهي.

آرٽيڪل 83 ۾ ٻہ درجا آهن، هر هڪ ۾ گذريل مالي سال ۾ مقرر وڌ ۾ وڌ يا عالمي سالياني ٽرن اوور جو سيڪڙو، جيڪو به وڌيڪ هجي:

• هيٺيون درجو: 10 ملين يورو يا 2٪ تائين، مثال طور گم ٿيل پروسيسنگ معاهدي يا DPIA لاءِ (آرٽيڪل 25 کان 39).
• اعليٰ درجو: اصولن، قانوني بنيادن، ڊيٽا موضوع جي حقن ۽ منتقلي جي ضابطن جي ڀڃڪڙي لاءِ 20 ملين يورو يا 4٪ تائين.

آرٽيڪل 82 GDPR ڪنهن به شخص کي جيڪو مادي يا غير مادي نقصان برداشت ڪري ٿو، ڪنٽرولر يا پروسيسر کان معاوضي جو حق ڏئي ٿو. هالينڊ ۾، فائونڊيشن وڌندڙ طور تي اجتماعي ڪارروائي ۾ وڏي پئماني تي نقصان جي آبادڪاري جي قانون تحت اهڙين دعوائن کي اجتماعي طور تي آڻيندي آهي ( Wet afwikkeling massaschade in collectieve actie , WAMCA, Article 3:305a BW).

جيڪڏهن غير قانوني شيئرنگ ڊيٽا جي ڀڃڪڙي جو سبب بڻجي ٿي، ته آرٽيڪل 33 جي ضرورت آهي ته اي پي کي بغير ڪنهن دير جي اطلاع ڏني وڃي ۽، جتي ممڪن هجي، 72 ڪلاڪن اندر، جيستائين ڀڃڪڙي جو خطرو پيدا ٿيڻ جو امڪان نه هجي. آرٽيڪل 34 جي تحت توهان کي متاثر ٿيل ماڻهن کي پڻ اطلاع ڏيڻ گهرجي جيڪڏهن انهن لاءِ خطرو وڌيڪ آهي. هر ڀڃڪڙي کي اندروني طور تي دستاويز ڪريو، بشمول اهي جيڪي توهان اطلاع نه ٿا ڏيو.

جڏهن تنظيم ڊيٽا شيئر ڪري رهي آهي ته توهان کي ڇا چيڪ ڪرڻ گهرجي؟

ڪنٽرولر جي حيثيت سان، توهان مکيه ذميواري کڻندا آهيو ۽ آرٽيڪل 5(2) GDPR جي تحت تعميل ثابت ڪرڻ جي قابل هجڻ گهرجي. ڊيٽا توهان جي تنظيم مان نڪرڻ کان اڳ انهن نقطن کي چيڪ ڪريو:

• آرٽيڪل 6 جي تحت قانوني بنياد جي سڃاڻپ ڪئي وئي آهي ۽، جائز مفادن لاءِ، توازن جو امتحان فائل تي آهي.
• وصول ڪندڙ جو ڪردار آرٽيڪل 30 جي تحت توهان جي پروسيسنگ سرگرمين جي رڪارڊ ۾ درج ٿيل آهي.
• آرٽيڪل 28 تحت هڪ پروسيسنگ معاهدو يا آرٽيڪل 26 تحت هڪ انتظام تي دستخط ٿيل آهي.
• EEA کان ٻاهر ڪا به منتقلي ڪافي يا SCCs ۽ TIA تي منحصر آهي.
• هڪ DPIA اسڪريننگ ڪئي وئي آهي ۽ دستاويز ڪئي وئي آهي.
• توهان جي رازداري نوٽيس ۾ وصول ڪندڙ يا ان جي ڪيٽيگري جو نالو ڏنل آهي.

ڊيٽا وصول ڪندڙ جي حيثيت ۾ توهان کي ڇا چيڪ ڪرڻ گهرجي؟

هڪ پروسيسر يا وصول ڪندڙ ڪنٽرولر جي حيثيت سان، توهان جون پنهنجون ذميواريون آهن ۽ آرٽيڪل 83 GDPR جي تحت سڌو سنئون جرمانو ٿي سگهي ٿو. ڊيٽا قبول ڪرڻ کان اڳ انهن نقطن کي چيڪ ڪريو:

• ڇا توهان صرف هدايتن (پروسيسر) تي عمل ڪريو ٿا يا ڊيٽا کي پنهنجي مقصدن لاءِ استعمال ڪريو ٿا (ڪنٽرولر).
• ڇا پروسيسنگ معاهدي ۾ هدايتون توهان جي ڊيٽا سان اصل ۾ ڪيل ڪم سان ملن ٿيون.
• ڇا توهان جا ذيلي پروسيسر آرٽيڪل 28(2) تحت تحريري طور تي اختيار ٿيل آهن.
• ڇا توهان جا حفاظتي اپاءَ آرٽيڪل 32 سان ملن ٿا ۽ توهان بغير ڪنهن دير جي ڪنٽرولر کي خلاف ورزين جي اطلاع ڏئي سگهو ٿا (آرٽيڪل 33(2)).
• ڇا توهان آرٽيڪل 30(2) جي تحت پروسيسنگ جو پنهنجو رڪارڊ رکو ٿا؟

GDPR ڊيٽا شيئرنگ سان اسان توهان لاءِ ڇا ڪري سگهون ٿا؟

اسان جي آئي ٽي قانون ٽيم سپلائر، گروپ ۽ پارٽنر انتظامن جي ڊيٽا تحفظ واري پاسي کي سنڀاليندي آهي. خاص طور تي:

• اسين توهان جي ڊيٽا جي وهڪري جو نقشو ٺاهيندا آهيون ۽ هر وصول ڪندڙ لاءِ اهو طئي ڪندا آهيون ته اهو پروسيسر آهي، گڏيل ڪنٽرولر آهي يا آزاد ڪنٽرولر آهي.
• اسين آرٽيڪل 28 تحت پروسيسنگ معاهدن ۽ آرٽيڪل 26 تحت گڏيل ڪنٽرولر انتظامن جو مسودو تيار ڪندا آهيون يا انهن جو جائزو وٺندا آهيون.
• اسين EEA کان ٻاهر منتقلي جو جائزو وٺون ٿا، DPF سرٽيفڪيشن چيڪ ڪريون ٿا ۽ منتقلي جي اثر جي تشخيص جو مسودو تيار ڪريون ٿا.
• اسين DPIA اسڪريننگ ۽ DPIA پاڻ ڪندا آهيون يا ان جو جائزو وٺندا آهيون.
• اسان توهان جي رازداري نوٽيس کي اپڊيٽ ڪريون ٿا ته جيئن وصول ڪندڙن ۽ منتقلي جا نالا صحيح طور تي هجن.
• اسين توهان کي 72 ڪلاڪن جي آخري تاريخ اندر اي پي جاچ يا خلاف ورزي جي اطلاع ۾ مدد ڪندا آهيون.

خلاصو

• ذاتي ڊيٽا جي هر شيئرنگ کي آرٽيڪل 6 GDPR جي تحت قانوني بنياد جي ضرورت آهي؛ هڪ تجارتي سبب ڪافي ناهي.
• هر وصول ڪندڙ لاءِ اهو طئي ڪريو ته اهو پروسيسر آهي، هڪ گڏيل ڪنٽرولر آهي يا هڪ آزاد ڪنٽرولر آهي، ۽ ان کي دستاويز ڪريو.
• آرٽيڪل 28 تحت پروسيسنگ معاهدو پروسيسرز لاءِ لازمي آهي؛ ان کان سواءِ توهان پهرين ڏينهن کان ئي خلاف ورزي ۾ آهيو.
• EEA کان ٻاهر منتقلي لاءِ مناسبيت (جهڙوڪ DPF سرٽيفڪيشن) يا حفاظتي اپائن سان گڏ منتقلي جي اثر جي تشخيص جي ضرورت آهي.
• تخلص ڪيل ڊيٽا ان شخص لاءِ ذاتي ڊيٽا رهي ٿو جيڪو چاٻي رکي ٿو، ۽ توهان جي رازداري نوٽيس ۾ وصول ڪندڙن جا نالا واضح طور تي هجڻ گهرجن.

وچان وچان سوال ڪرڻ