اگر آپ کا کاروبار اپنے صارفین کے بارے میں کوئی بھی ڈیٹا جمع کرتا ہے — نام، موبائل نمبر، ای میل، لوکیشن یا تصویر — تو آپ ذاتی ڈیٹا کے تحفظ کے قانون (PDPL) کے تابع ہیں۔ یہ قانون 14 ستمبر 2024 سے مکمل طور پر نافذ ہے، اس کی نگرانی سعودی ڈیٹا اور مصنوعی ذہانت اتھارٹی (SDAIA) کرتی ہے، اور خلاف ورزیوں پر 5 ملین SAR تک جرمانہ ہو سکتا ہے۔ یہ رہنما آسان الفاظ میں بتاتا ہے کہ آپ کے کاروبار کو کیا کرنا چاہیے، آپ کے صارفین کے کیا حقوق ہیں، اور غیر ضروری پیچیدگی کے بغیر تیاری کیسے کی جائے۔

ذاتی ڈیٹا کے تحفظ کا قانون کیا ہے؟

یہ شاہی فرمان نمبر (M/19) کے ذریعے جاری کیا گیا ایک سعودی قانون ہے جو یہ طے کرتا ہے کہ مملکت کے اندر ذاتی ڈیٹا کیسے جمع، پروسیس، محفوظ اور شیئر کیا جاتا ہے۔ اس کا مقصد افراد کی رازداری کا تحفظ کرنا اور یہ یقینی بنانا ہے کہ کاروبار ان کے ڈیٹا کو ذمہ داری اور شفافیت کے ساتھ سنبھالیں۔ یہ قانون 14 ستمبر 2023 کو نافذ ہوا، تعمیل کے لیے ایک سال کی رعایتی مدت کے ساتھ جو 14 ستمبر 2024 کو ختم ہوئی، جس کے بعد یہ مکمل طور پر لازم ہو گیا۔

یہ قانون کن پر لاگو ہوتا ہے؟

یہ ہر اس ادارے پر لاگو ہوتا ہے — سرکاری ہو یا نجی — جو کسی بھی ذریعے سے مملکت کے اندر افراد کا ذاتی ڈیٹا پروسیس کرتا ہے۔ اس میں آن لائن اسٹورز، ایپس، کلینکس، ریستوران، رئیل اسٹیٹ کمپنیاں اور ہر وہ کاروبار شامل ہے جس کے پاس صارفین کا ڈیٹا بیس ہو۔ اگر مملکت سے باہر کے ادارے یہاں کے رہائشیوں کا ڈیٹا پروسیس کرتے ہیں تو اس کا دائرہ ان تک بھی پھیلتا ہے۔ مختصراً: اگر آپ کے پاس صارفین کا ڈیٹا ہے تو یہ قانون آپ سے متعلق ہے۔

ڈیٹا کے مالک (آپ کے صارف) کے کیا حقوق ہیں؟

یہ قانون افراد کو ان کے ڈیٹا پر حقوق کا ایک واضح مجموعہ دیتا ہے، جن میں نمایاں یہ ہیں:

  • آگاہ کیے جانے کا حق: یہ جاننا کہ ان کا ڈیٹا کیوں جمع کیا جا رہا ہے اور اسے کیسے استعمال کیا جائے گا۔
  • رسائی کا حق: آپ کے پاس ان کے بارے میں موجود ڈیٹا دیکھنا اور اس کی ایک نقل حاصل کرنا۔
  • درستی کا حق: اپنے ڈیٹا میں ترمیم، تازہ کاری یا اسے مکمل کرنے کی درخواست کرنا۔
  • تلف کرنے کا حق: جب ڈیٹا کی مزید ضرورت نہ رہے تو اسے حذف کرنے کی درخواست کرنا۔

کاروبار (ڈیٹا کنٹرولر) کی ذمہ داریاں کیا ہیں؟

  • پروسیسنگ کی قانونی بنیاد: بغیر جواز کے ڈیٹا جمع نہ کریں؛ بنیادی اصول فرد کی رضامندی حاصل کرنا ہے۔
  • ایک واضح رازداری پالیسی: ایسی پالیسی شائع کریں جو بتائے کہ آپ کیا جمع کرتے ہیں، کیوں، اور اس کی حفاظت کیسے کرتے ہیں۔
  • ڈیٹا کو کم سے کم رکھنا: صرف اتنا ہی جمع کریں جتنا مقصد پورا کرنے کے لیے ضروری ہو — اس سے زیادہ نہیں۔
  • خلاف ورزی کی اطلاع: رازداری کو خطرے میں ڈالنے والے کسی بھی لیک کی اطلاع اتھارٹی کو (اور جہاں ضروری ہو ڈیٹا کے مالک کو) دیں۔
  • سرحد پار منتقلی پر کنٹرول: مملکت سے باہر ذاتی ڈیٹا کی منتقلی کے ضابطے کے مطابق۔

خلاف ورزیوں پر کیا سزائیں ہیں؟

سزائیں خلاف ورزی کی نوعیت کے مطابق بڑھتی جاتی ہیں:

  • حساس ڈیٹا ظاہر یا منتقل کرنا نقصان پہنچانے کی نیت سے یا ذاتی فائدے کے لیے: دو سال تک قید اور/یا 3 ملین SAR تک جرمانہ۔
  • دیگر خلاف ورزیاں: تنبیہ یا 5 ملین SAR تک جرمانہ، جسے بار بار خلاف ورزی کی صورت میں دگنا کیا جا سکتا ہے۔

اس سے بھی اہم بات یہ ہے کہ مالی سزا واحد خطرہ نہیں؛ ڈیٹا لیک کے بعد صارفین کا اعتماد کھو دینا آپ کے کاروبار کو جرمانے سے کہیں زیادہ مہنگا پڑ سکتا ہے۔

اپنے کاروبار کو تعمیل کے لیے کیسے تیار کریں؟

  • اپنے ڈیٹا کو جانیں: یہ معلوم کریں کہ آپ کون سا ڈیٹا جمع کرتے ہیں، وہ کہاں محفوظ ہے اور اس تک کس کی رسائی ہے۔
  • ایک واضح رازداری پالیسی شائع کریں اپنی ویب سائٹ اور ایپ پر، سادہ اور قابلِ فہم زبان میں۔
  • واضح رضامندی نافذ کریں ڈیٹا جمع کرنے سے پہلے، اور بعد میں رضامندی واپس لینے کا اختیار بھی دیں۔
  • محفوظ اسٹوریج: انکرپشن، محدود رسائی کی اجازتیں، اور جس ڈیٹا کی اب ضرورت نہ ہو اسے حذف کرنا۔
  • ایک طریقۂ کار تیار کریں صارفین کی درخواستوں (رسائی، درستی، حذف) کا جواب دینے اور خلاف ورزیوں کی اطلاع دینے کے لیے۔

Origami آپ کی کیسے مدد کرتا ہے

Origami میں ہم پرائیویسی بائی ڈیزائن کے اصول پر سسٹمز اور ایپس بناتے ہیں: حساس ڈیٹا کی انکرپشن، رضامندی کا انتظام، رسائی کا ریکارڈ، اور حذف اور درستی کے بلٹ ان طریقے۔ چاہے آپ نیا سسٹم بنا رہے ہوں یا اپنے موجودہ سسٹم کو ڈیٹا کے تحفظ کی ضروریات کے مطابق ڈھال رہے ہوں، تکنیکی پہلو ہم سنبھالتے ہیں تاکہ آپ اپنے کاروبار کی تعمیل کے بارے میں مطمئن رہیں۔

اکثر پوچھے جانے والے سوالات

کیا یہ قانون چھوٹے کاروباروں پر بھی لاگو ہوتا ہے؟ جی ہاں، حجم کی بنیاد پر کوئی استثنا نہیں؛ افراد کا ڈیٹا پروسیس کرنے والا ہر کاروبار اس قانون کے تابع ہے۔

کیا ویب سائٹ پر رازداری پالیسی کافی ہے؟ رازداری پالیسی ایک اہم قدم ہے لیکن اکیلے کافی نہیں؛ قانون کے تحت ڈیٹا جمع کرنے، اس کی حفاظت، اس تک رسائی دینے اور اسے حذف کرنے میں حقیقی تعمیل درکار ہے۔

اگر میرے صارفین کا ڈیٹا لیک ہو جائے تو میں کیا کروں؟ کمزوری کو فوراً دور کریں، واقعے کو دستاویزی شکل دیں، ضرورت کے مطابق اتھارٹی کو اطلاع دیں، اور جہاں ضروری ہو متاثرہ افراد کو آگاہ کریں۔

اپنے صارفین کے ڈیٹا کا تحفظ اب صرف مسابقتی برتری نہیں رہا؛ یہ ایک قانونی ذمہ داری ہے جس سے غفلت جرمانے اور اعتماد کے نقصان کا باعث بنتی ہے۔

اگر آپ ڈیٹا کے تحفظ کی تعمیل کے لیے اپنے کاروبار کی تیاری کا جائزہ لینا چاہتے ہیں، یا ایسا سسٹم بنانا چاہتے ہیں جو ڈیزائن ہی سے رازداری کا احترام کرے، تو Origami ٹیم کے ساتھ ایک مختصر کال بک کریں یا WhatsApp پر ہم سے رابطہ کریں۔

سرکاری ذرائع