ای ڈی پی بی نے ڈیٹا کی خلاف ورزیوں کی رپورٹس کے لیے یورپی یونین کا ایک مشترکہ سانچہ پیش کر دیا

یورپی ڈیٹا پروٹیکشن بورڈ نے ذاتی ڈیٹا کی خلاف ورزیوں کی رپورٹنگ کے لیے مشترکہ فارم کے ورژن 1.0 کی منظوری دے دی ہے۔ عیسا انٹرنیشنل کے مطابق یہ تجویز 5 اگست 2026 تک عوامی مشاورت کے لیے کھلی ہے، جس کے بعد توقع ہے کہ ای ڈی پی بی فیصلہ کرے گا کہ قومی نگران ادارے اسے عملی طور پر کب استعمال کرنا شروع کریں گے۔

اس اقدام کا مقصد یورپی یونین کے رکن ممالک میں ڈیٹا تحفظ کے حکام کے زیرِ استعمال مختلف رپورٹنگ فارمیٹس کو تبدیل کرنا ہے۔ اب تک اداروں کو خلاف ورزیوں کی اطلاع دیتے وقت مختلف ساختوں اور تقاضوں کا سامنا رہا ہے، جس میں چیک آفس فار پرسنل ڈیٹا پروٹیکشن سے معاملات بھی شامل ہیں۔ ایک مشترکہ فارم ڈیٹا کنٹرولرز کو کسی واقعے کی تفصیلات پیش کرنے کے لیے ایک واحد فریم ورک فراہم کرے گا۔

یہ سانچہ وسیع ہے۔ اس میں اداروں سے پوچھا گیا ہے کہ کیا ہوا، کب ہوا، کون متاثر ہوا، خطرات کا جائزہ کیسے لیا گیا اور جواب میں کیا اقدامات کیے گئے۔ بیان کردہ مقصد عمل کو زیادہ یکساں اور آسان بنانا ہے، خاص طور پر ان چھوٹے اداروں کے لیے جن کے پاس قانونی امور کی ماہر ٹیمیں موجود نہ ہوں۔ ساتھ ہی، مطلوبہ تفصیلات کی سطح کا مطلب یہ ہے کہ کاروباری اداروں کو واقعات کا قابلِ اعتماد ریکارڈ اور تکنیکی و قانونی معلومات تک فوری رسائی درکار ہوگی۔

مجوزہ فارم میں کیا شامل ہے

دستاویز کو سات وسیع شعبوں میں تقسیم کیا گیا ہے۔ پہلا شعبہ جمع کرائی جانے والی اطلاع کی حیثیت سے متعلق ہے: کسی ادارے کو بتانا ہوگا کہ آیا وہ ابتدائی رپورٹ پیش کر رہا ہے، پہلے سے جمع کرائی گئی رپورٹ کو تازہ کر رہا ہے یا گزشتہ اطلاع واپس لے رہا ہے۔

دوسرے حصے میں ادارے کی شناخت اور کردار درج کیا جاتا ہے۔ اس میں متعلقہ اقتصادی شعبہ شامل ہے، جس کے لیے A سے V تک کی درجہ بندیاں استعمال کی گئی ہیں، نیز متعلقہ ادارے کی قسم بھی شامل ہے۔ فارم میں کنٹرولرز سے یہ بھی تقاضا کیا گیا ہے کہ وہ واقعے سے منسلک پروسیسرز اور کسی بھی مشترکہ کنٹرولرز کی شناخت کریں۔

ٹائم لائن کے حصے میں خلاف ورزی کے وقوع پذیر ہونے اور اس کے دریافت ہونے کی تاریخ اور وقت پوچھا گیا ہے۔ اگر اطلاع قانونی 72 گھنٹے کی مدت کے بعد جمع کرائی جاتی ہے تو ادارے کو تاخیر کی وضاحت کرنا ہوگی۔ اس سے اندرونی طور پر واقعات کے اندراج کے معیار کی اہمیت خاصی بڑھ جاتی ہے، کیونکہ رپورٹنگ کی مدت کا انحصار خلاف ورزی کے پتا چلنے کے وقت اور ادارے کی جانب سے اپنی ذمہ داریوں کے جائزے پر ہوتا ہے۔

مجوزہ فارم میں اداروں سے خلاف ورزی کی نوعیت کی درجہ بندی کرنے کو بھی کہا گیا ہے۔ انہیں بتانا ہوگا کہ آیا رازداری، سالمیت یا دستیابی متاثر ہوئی اور، جہاں یہ معلوم ہو، یہ بھی بتانا ہوگا کہ ذمہ دار اندرونی یا بیرونی بدنیت کردار تھا۔

ایک اور حصہ متاثرہ افراد اور معلومات پر مرکوز ہے۔ اداروں کو ڈیٹا سبجیکٹس کے متعلقہ زمروں، مثلاً ملازمین، صارفین، بچوں یا کمزور افراد، کی شناخت کرنا ہوگی اور متاثرہ ریکارڈز کی تعداد فراہم کرنا ہوگی۔ جہاں اعداد و شمار ابھی یقینی نہ ہوں، فارم تخمینوں کی بنیاد پر ابتدائی اطلاع جمع کرانے کی اجازت دیتا ہے۔ بعد میں فالو اَپ اطلاع کے ذریعے اس رپورٹ میں ترمیم کی جا سکتی ہے۔

شواہد، خطرہ اور سرحد پار واقعات

خطرے کے جائزے والے حصے میں یہ وضاحت درکار ہے کہ ادارے نے افراد پر ممکنہ اثرات کا اندازہ کیسے لگایا۔ اس میں پہلے سے موجود حفاظتی اقدامات کے بارے میں معلومات بھی مانگی گئی ہیں، جن میں خفیہ کاری اور ملٹی فیکٹر تصدیق جیسے اقدامات شامل ہیں۔

آخری شعبہ یورپی اقتصادی خطے کے ایک سے زیادہ ممالک تک پھیلے واقعات اور معاون دستاویزات سے متعلق ہے۔ عیسا انٹرنیشنل کی جانب سے شناخت کردہ مثالوں میں خطرے کے جائزے، متاثرہ افراد کو بھیجے گئے پیغامات، فِشنگ ای میلز اور رینسم ویئر کے نوٹس شامل ہیں۔ ان تقاضوں کا مطلب ہے کہ اطلاع صرف واقعے کی مختصر وضاحت تک محدود نہیں؛ حکام ایسی دستاویزات بھی طلب کر سکتے ہیں جن سے ظاہر ہو کہ ادارے نے اس کی تحقیقات کیسے کیں اور اس کا جواب کیسے دیا۔

ذمہ داری ڈیٹا کنٹرولر پر برقرار رہ سکتی ہے، حتیٰ کہ جب خلاف ورزی کسی بیرونی سروس فراہم کنندہ کے ہاں واقع ہو۔ مجوزہ فارم میں پروسیسرز اور مشترکہ کنٹرولرز کا ریکارڈ رکھنے کا تقاضا اسی طرح ذمہ داریوں کی تقسیم کی عکاسی کرتا ہے۔ کوئی کمپنی یہ فرض نہیں کر سکتی کہ ڈیٹا پروسیسنگ کو آؤٹ سورس کرنے سے اس کی اپنی رپورٹنگ کی ذمہ داریاں ختم ہو جاتی ہیں۔

فارم اس بات کو بھی تسلیم کرتا ہے کہ کنٹرولر 72 گھنٹوں کے اندر متاثرہ افراد کی درست تعداد سے واقف نہ ہو۔ دستیاب تخمینوں کی بنیاد پر ایک نامکمل اطلاع جمع کرائی جا سکتی ہے، جس کے بعد تحقیقات سے زیادہ حتمی اعداد و شمار سامنے آنے پر اضافی معلومات فراہم کی جا سکتی ہیں۔ اس سے اداروں کو ہر حقیقت کے ثابت ہونے کا انتظار کیے بغیر ابتدائی مدت پوری کرنے کا راستہ ملتا ہے۔

ابھی نفاذ کی تاریخ مقرر نہیں

مشاورت کی آخری تاریخ 5 اگست 2026 ہے۔ جب تک ای ڈی پی بی اگلے اقدامات طے نہیں کرتا، مضمون میں اس حتمی تاریخ کی نشاندہی نہیں کی گئی جس دن مشترکہ سانچہ قومی حکام یا اداروں کے لیے لازمی ہو جائے گا۔ لہٰذا کاروباری اداروں کے پاس یہ جائزہ لینے کا وقت ہے کہ ان کے خلاف ورزی سے نمٹنے کے طریقۂ کار مجوزہ فارم میں طلب کی گئی معلومات کو کس طرح ریکارڈ کرتے ہیں۔

عیسا انٹرنیشنل کا کہنا ہے کہ وہ گاہکوں کے لیے خلاف ورزی کی اطلاعات مکمل نہیں کرتا، افشا ہونے والے ڈیٹا کا دستی ریکارڈ نہیں رکھتا اور نہ ہی کسٹوڈین کے لین دین کی رپورٹس میں مطابقت پیدا کرتا ہے۔ کمپنی اپنے کردار کو اسٹریٹجک تعمیل کی نگرانی کے طور پر بیان کرتی ہے اور کہتی ہے کہ تکنیکی تحقیقات اور رپورٹنگ ماہرینِ معلوماتی سلامتی اور قانونی مشیروں کے ذمے ہونی چاہیے۔

ناشر مجوزہ فارم کو ڈیجیٹل خطرات کی زیادہ منظم نگرانی کی جانب وسیع تر تبدیلی کا حصہ قرار دیتا ہے۔ اداروں کے لیے عملی نتیجہ یہ ہے کہ خلاف ورزی کی تیاری صرف بحران کے دوران عجلت میں کیے جانے والے کام پر منحصر نہیں ہو سکتی۔ اگر مشترکہ رپورٹنگ کا طریقہ آگے بڑھتا ہے تو درست ٹائم لائنز، پروسیسرز کی ذمہ داری کی واضح تعیین، دستاویزی خطرے کے جائزے اور محفوظ رکھے گئے شواہد سب درکار ہو سکتے ہیں۔

عیسا انٹرنیشنل کے مضمون میں کہا گیا ہے کہ اس کی معلومات عمومی نوعیت کی ہیں، شخصی نوعیت کا مشورہ نہیں، اور خبردار کیا گیا ہے کہ قوانین تبدیل ہو سکتے ہیں۔ اس میں سفارش کی گئی ہے کہ کسی مخصوص معاملے میں اس تجویز پر انحصار کرنے سے قبل اہل مشیروں اور سرکاری ذرائع سے موجودہ رہنمائی حاصل کی جائے۔