جولائی 2026 کے آغاز میں سعودی ڈیٹا اینڈ آرٹیفیشل انٹیلیجنس اتھارٹی (SDAIA) نے ڈیٹا کنٹرولر کے طور پر رجسٹرڈ اداروں کو PDPL تعمیل کی تصدیق کا فارم بھیجنا شروع کیا۔ یہ کوئی رسمی کارروائی نہیں ہے۔ یہ ایک سرکاری مطالبہ ہے کہ آپ کا کاروبار دستاویزات اور شواہد کے ساتھ ثابت کرے کہ وہ ذاتی ڈیٹا کے تحفظ کے قانون (PDPL) کے مطابق ذاتی ڈیٹا جمع، پراسیس اور محفوظ کرتا ہے۔ عملی نتیجہ: گاہکوں یا ملازمین کا ڈیٹا سنبھالنے والے ہر ادارے کو ابھی اپنے شواہد اکٹھے کر لینے چاہئیں، کیونکہ اس جائزے کے دوران سامنے آنے والی کوئی بھی کمی اسے 5 ملین SAR تک کی سزاؤں کے خطرے میں ڈال سکتی ہے۔

تعمیل کی تصدیق کا فارم کیا ہے؟

یہ ایک سرکاری دستاویز ہے — جس پر 7 جولائی 2026 کی تاریخ درج ہے — جو SDAIA اپنے رجسٹرڈ ڈیٹا کنٹرولرز کو بھیجتی ہے اور ان سے کہتی ہے کہ وہ بیان کریں اور ثابت کریں کہ وہ PDPL کی تعمیل کیسے کرتے ہیں۔ سیدھے الفاظ میں: یہ کہنا کہ آپ تعمیل کرتے ہیں اب کافی نہیں؛ آپ کو وہ پالیسیاں، ریکارڈ اور کنٹرولز پیش کرنے ہوں گے جو اسے ثابت کریں۔ یہ فارم آپ کی ڈیٹا گورننس کے پورے دورِ حیات کا احاطہ کرتا ہے، ڈیٹا جمع کیے جانے کے لمحے سے لے کر اس کے تلف کیے جانے کے لمحے تک۔

فارم اصل میں کیا مانگتا ہے؟

فارم نو بنیادی شعبوں میں شواہد طلب کرتا ہے۔ ہر ایک کا سطر بہ سطر جائزہ لینا مفید ہے:

  • جمع کرنا، پراسیسنگ اور ذخیرہ: آپ ذاتی ڈیٹا کیسے جمع کرتے ہیں، اسے کہاں محفوظ کرتے ہیں اور کیسے پراسیس کرتے ہیں۔
  • گورننس کے فریم ورک اور پالیسیاں: ڈیٹا کی رازداری اور تحفظ کے لیے تحریری، منظور شدہ پالیسیاں۔
  • پراسیسنگ کی قانونی بنیاد: ہر پراسیسنگ سرگرمی کی جائز بنیاد (رضامندی، معاہدہ، قانونی ذمہ داری وغیرہ)۔
  • تیسرے فریق کا انتظام: آپ ان پراسیسرز اور وینڈرز کی نگرانی کیسے کرتے ہیں جن کے ساتھ آپ ڈیٹا شیئر کرتے ہیں۔
  • ڈیٹا رکھنے کی مدت اور تلفی: طے شدہ مدتیں اور ڈیٹا کی ضرورت ختم ہونے پر محفوظ طریقے سے حذف کرنے کا عمل۔
  • ڈیٹا کے مالکان کے حقوق: ایک ایسا نظام جو افراد کو اپنے ڈیٹا تک رسائی، اس کی درستی اور اسے حذف کرنے کی سہولت دے۔
  • سرحد پار ڈیٹا کی منتقلی: ڈیٹا کو مملکت سے باہر لے جانے کے لیے کنٹرولز اور حفاظتی اقدامات۔
  • واقعات سے نمٹنا: ڈیٹا کی خلاف ورزیوں سے نمٹنے اور ان کی اطلاع دینے کا منصوبہ۔
  • ڈیٹا پروٹیکشن آفیسر (DPO): آپ کے ادارے میں تعمیل کی نگرانی کون کرتا ہے۔

ابھی کیوں؟ SDAIA نفاذ سخت کر رہی ہے

یہ فارم اچانک سامنے نہیں آیا۔ PDPL ستمبر 2023 سے قابلِ نفاذ ہے، اور گزشتہ ایک سال میں SDAIA کی خصوصی کمیٹیوں نے خلاف ورزی کے مرتکب پائے گئے اداروں کے خلاف 48 فیصلے جاری کیے — فیصلوں کی پہلی ٹھوس لہر۔ واضح رجحانات بار بار سامنے آئے: قانونی بنیاد کے بغیر ڈیٹا جمع اور پراسیس کرنا، کمزور تکنیکی اور انتظامی حفاظتی اقدامات، اور پیشگی رضامندی کے بغیر مارکیٹنگ پیغامات بھیجنا (یہ خلاف ورزی ریٹیل، ٹیلی کام اور مالیاتی خدمات میں عام ہے)۔ تصدیقی فارم بھیجنا اگلا منطقی قدم ہے: شکایات پر ردِعمل دینے سے آگے بڑھ کر اداروں سے فعال طور پر تعمیل ثابت کرنے کا مطالبہ۔

سزائیں: عدم تعمیل کی قیمت کیا ہے؟

خطرہ مالی بھی ہے اور قانونی بھی۔ جرمانے فی خلاف ورزی 5 ملین SAR تک پہنچتے ہیں اور دوبارہ خلاف ورزی پر دگنے ہو سکتے ہیں۔ سب سے سنگین معاملات میں — جیسے نقصان پہنچانے کی نیت سے یا ذاتی فائدے کے لیے حساس ڈیٹا ظاہر کرنا — معاملہ قید سمیت فوجداری ذمہ داری تک پہنچ جاتا ہے۔ اس میں بالواسطہ نقصان بھی شامل کریں: گاہکوں کا اعتماد کھونا، رکے ہوئے سودے اور ساکھ کو نقصان۔ پیغام واضح ہے: تعمیل اب اختیاری نہیں اور نہ ہی اسے ٹالا جا سکتا ہے۔

اپنے کاروبار کو کیسے تیار کریں: ایک عملی چیک لسٹ

شروع کرنے کے لیے فارم آنے کا انتظار نہ کریں۔ ابھی ان اقدامات سے آغاز کریں:

  • ایک ڈیٹا میپ بنائیں: آپ کون سا ذاتی ڈیٹا جمع کرتے ہیں، کہاں سے، وہ کہاں رہتا ہے اور کس کو اس تک رسائی ہے۔
  • ہر پراسیسنگ سرگرمی کی قانونی بنیاد کو دستاویزی شکل دیں، اور گاہک کی رضامندی کو ایسے طریقے سے ریکارڈ کریں جسے ثابت کیا جا سکے۔
  • رازداری، ڈیٹا رکھنے اور حذف کرنے کی پالیسیاں لکھیں — اور یقینی بنائیں کہ وہ منظور شدہ ہوں اور حقیقت میں نافذ ہوں، صرف کاغذ پر نہیں۔
  • وینڈرز اور سروس فراہم کنندگان کے معاہدوں کا جائزہ لیں تاکہ یقینی ہو کہ ان میں ڈیٹا کے تحفظ اور منتقلی کی شقیں موجود ہیں۔
  • ڈیٹا کے مالکان کی درخواستوں (رسائی، درستی، حذف) کو قانونی مدت کے اندر وصول کرنے اور ان کا جواب دینے کا واضح طریقۂ کار بنائیں۔
  • جوابدہی کے ایک واضح نقطے کے طور پر ایک ڈیٹا پروٹیکشن آفیسر مقرر کریں، چاہے جز وقتی ہی کیوں نہ ہو۔
  • واقعات سے نمٹنے کا ایک منصوبہ بنائیں تاکہ خلاف ورزی ہونے پر سب کو معلوم ہو کہ کون کیا کرے گا۔

تکنیکی پہلو: جہاں کاروبار اصل میں ناکام ہوتے ہیں

زیادہ تر کمیاں نیت کی نہیں ہوتیں — وہ سسٹمز کی ہوتی ہیں۔ بہت سے اداروں کے پاس تحریری رازداری پالیسی ہوتی ہے، لیکن ان کے سسٹمز اسے نافذ نہیں کرتے: گاہکوں کا ڈیٹا بے شمار اسپریڈشیٹس اور فائلوں میں کاپی ہوتا رہتا ہے، مدت ختم ہونے پر اسے حذف کرنے کا کوئی خودکار طریقہ نہیں ہوتا، اور کوئی لاگ نہیں ہوتا جو دکھائے کہ کس نے کب کس چیز تک رسائی حاصل کی۔ یہیں تعمیل ایک دستاویز سے انجینئرنگ میں بدل جاتی ہے۔ عملی طور پر اس کا مطلب ہے: رسائی کے کنٹرولز، حساس ڈیٹا کی انکرپشن، ہر عمل کا ثبوت دینے والے آڈٹ لاگز، خودکار طور پر ڈیٹا رکھنا اور حذف کرنا، ایک انٹرفیس جو ڈیٹا کے مالکان کو اپنے حقوق استعمال کرنے دے، اور مملکت سے باہر کسی بھی منتقلی پر تکنیکی کنٹرولز۔ فارم انہی صلاحیتوں کے بارے میں پوچھتا ہے، اور ایک دیانت دار جواب کے لیے وعدے کی نہیں، ایک سسٹم کی ضرورت ہوتی ہے۔

Origami کیسے مدد کرتی ہے

ایک ٹیکنالوجی کمپنی کے طور پر ہم تعمیل کو ایک قابلِ حل انجینئرنگ مسئلہ سمجھتے ہیں۔ ہم اداروں کو PDPL کی ضروریات کو ان کے سسٹمز کے اندر حقیقی کنٹرولز میں بدلنے میں مدد دیتے ہیں: درست ڈیٹا میپس، رضامندی کا انتظام، ڈیٹا رکھنے اور حذف کرنے کی خودکار پالیسیاں، آڈٹ لاگز، ڈیٹا کے مالکان کی درخواستوں کے انتظام کے لیے ڈیش بورڈز، اور سرحد پار منتقلی کے کنٹرولز۔ مقصد یہ ہے کہ تصدیقی فارم کو آپ کا جواب محض الفاظ نہ ہو، بلکہ ایک ایسا سسٹم ہو جو SDAIA کے پوچھنے پر ہر بار آپ کی تعمیل خود بخود ثابت کرے۔

خلاصہ

تعمیل کی تصدیق کا فارم بھیجا جانا اس بات کا اشارہ ہے کہ رعایتی مدت ختم ہو چکی ہے اور SDAIA تعمیل کے فعال ثبوت کا مطالبہ کرنے کی طرف بڑھ رہی ہے۔ جو کاروبار ابھی اپنا ڈیٹا اور سسٹمز تیار کر لیں گے وہ اس فارم کو معمول کا کام سمجھیں گے؛ جو ٹالیں گے وہ اپنی کمیاں بدترین ممکنہ لمحے میں دریافت کر سکتے ہیں — خود جائزے کے دوران۔ آج ہی اپنے ڈیٹا میپ سے آغاز کریں۔

ذرائع

  • سعودی ڈیٹا اینڈ آرٹیفیشل انٹیلیجنس اتھارٹی (SDAIA) — ضوابط اور پالیسیاں: sdaia.gov.sa
  • Clyde & Co — SDAIA's PDPL Compliance Verification Form (جولائی 2026): clydeco.com
  • IAPP — سعودی عرب کی ڈیٹا پروٹیکشن اتھارٹی نفاذ سخت کر رہی ہے: iapp.org