زیادہ تر ٹیمیں قانون کو غلط کیوں پڑھتی ہیں
DPDP Act, 2023 ایک فرض پر مبنی قانون ہے۔ یہ بتاتا ہے کہ ایک Data Fiduciary کو کیا کرنا چاہیے — نوٹس دینا، رضامندی لینا، ڈیٹا محفوظ رکھنا، حقوق کا جواب دینا، خلاف ورزیوں کی اطلاع دینا۔ 13 نومبر 2025 کو مطلع کردہ Rules بتاتے ہیں کہ وہ کام کیسے کرنے ہیں، اور کس معیار پر۔
صرف Act پڑھنے سے درست اصول ملتے ہیں لیکن غلط باریکی۔ صرف Rules پڑھنے سے میکانکی تفصیل ملتی ہے، مگر وہ اصول نہیں جو اس میکانکیت کو قابلِ دفاع بناتے ہیں۔
سب سے اہم جوڑے
یہاں وہ سات Section-Rule جوڑے ہیں جو ہر پیشہ ور کو زبانی یاد ہونے چاہئیں:
1. Section 5 (نوٹس) ↔ Rule 3 (نوٹس کا مواد)
Section 5 کہتا ہے کہ آپ کو نوٹس دینا ہوگا۔ Rule 3 اس کی شکل اور کم از کم مواد متعین کرتا ہے: ذاتی ڈیٹا کی تفصیلی فہرست، مقاصد کی تفصیلی فہرست، رضامندی واپس لینے کا لنک، حقوق استعمال کرنے کا لنک، Data Protection Board تک پہنچنے کا راستہ۔ Rule 3 کے بغیر آپ کا نوٹس 'تعمیل کرنے والا' ہو سکتا ہے مگر بے کار۔ دونوں مل کر یہ واقعی کام کرتا ہے۔
2. Section 6 (رضامندی) ↔ Rule 4 (Consent Manager رجسٹریشن)
Section 6 رضامندی کا معیار مقرر کرتا ہے — آزاد، مخصوص، باخبر، غیر مشروط، غیر مبہم۔ Consent Managers (ثالثوں کا ایک نیا ماحول) DPBI کے ساتھ کیسے رجسٹر ہوتے ہیں، یہ Rule 4 کنٹرول کرتا ہے۔ اگر آپ کا کاروباری ماڈل رضامندی کے بنیادی ڈھانچے سے جڑتا ہے — اور کئی fintech، AA سے متعلق یا کراس پلیٹ فارم کاروبار جڑتے ہیں — تو Rule 4 اہم ہے۔
3. Section 8(5)-(6) (سیکیورٹی اور خلاف ورزی) ↔ Rules 6 اور 7
Act کہتا ہے کہ آپ کو معقول سیکیورٹی اقدامات کرنے ہوں گے اور ذاتی ڈیٹا کی خلاف ورزیوں کی اطلاع Board (اور متاثرہ Data Principals) کو دینی ہوگی۔ Rule 6 سات حفاظتی زمرے متعین کرتا ہے — انکرپشن، رسائی کنٹرول، لاگنگ وغیرہ۔ Rule 7 خلاف ورزی کی اطلاع کی شکل اور وقت متعین کرتا ہے۔ مل کر یہ آپ کی سیکیورٹی اور خلاف ورزی کی بنیادی لکیر بناتے ہیں۔
4. Section 9 (بچے) ↔ Rule 10 (قابلِ تصدیق والدین کی رضامندی)
قابلِ تصدیق والدین کی رضامندی کے بغیر بچوں کے ڈیٹا کی پروسیسنگ Section 9 ممنوع قرار دیتا ہے، اور بچوں کی ٹریکنگ، رویے کی نگرانی یا ہدفی اشتہار بازی بھی ممنوع کرتا ہے۔ عملی طور پر 'قابلِ تصدیق' کا کیا مطلب ہے، یہ Rule 10 متعین کرتا ہے — جواب: خود ساختہ عمر کا گیٹ نہیں۔ صارف کے سامنے آنے والی خدمات کے لیے پورے ڈھانچے میں یہی سب سے زیادہ عملی بوجھ والی پابندی ہے۔
5. Section 10 (SDF) ↔ Rules 12 اور 13
مقدار، حساسیت، شعبہ جاتی خطرے اور دیگر معیارات کی بنیاد پر Significant Data Fiduciaries نامزد کرنے کی گنجائش Section 10 مرکزی حکومت کو دیتا ہے۔ Rules 12-13 اضافی پابندیاں متعین کرتے ہیں: DPIAs، سالانہ آزاد آڈٹ، بورڈ رپورٹنگ کے ساتھ بھارت میں مقیم DPO، وقفے وقفے سے خطرے کا جائزہ۔ اگر آپ اہل ہو سکتے ہیں تو ابھی تیاری شروع کریں — اطلاع کے بعد آپ کو منتقلی کا وقت نہیں ملتا۔
6. Sections 11-14 (حقوق) ↔ Rules 14 اور 15
Act، Data Principals کے لیے چار حقوق پیدا کرتا ہے: رسائی، درستگی، مٹانا، شکایت کا ازالہ۔ جواب کے لیے 90 دن کا SLA Rule 14 مقرر کرتا ہے۔ Data Protection Board تک اپیل کا راستہ Rule 15 کنٹرول کرتا ہے۔ عملی اوزار کے بغیر — DSAR پورٹل، شناخت کی تصدیق، سسٹم میپنگ — کسی بھی بامعنی مقدار پر SLA پورا کرنا ناممکن ہے۔
7. Section 16 (سرحد پار) ↔ SDFs کے لیے Rule 13(4)
جہاں مرکزی حکومت ملکی پابندی کی اطلاع جاری کرے، اس کے سوا Section 16 فی الحال سرحد پار منتقلی کی اجازت دیتا ہے۔ SDFs کا کچھ ذاتی ڈیٹا بھارت کے اندر ہی رہے، یہ مطالبہ کرنے کی اضافی گنجائش Rule 13(4) حکومت کو دیتا ہے۔ ڈیفالٹ کھلا ہے؛ مستقبل مشروط ہے۔ اپنے بہاؤ ابھی نقشہ بند کریں۔
مؤثر مطالعے کی ترتیب
اگر آپ اس ڈھانچے میں نئے ہیں تو اس ترتیب سے پڑھیں:
- Act کے Sections 4-9 (بنیادی فرائض)
- Rules 3, 6, 7, 10, 14 (ان فرائض کی عملی تفصیل)
- Act کا Section 10 + Rules 12-13 (SDF تیاری)
- Act کے Sections 27-28 (Data Protection Board)
- Schedule of Penalties (غلطی کی قیمت)
ابھی کیا مرحلہ وار آ رہا ہے
Phase 1 ابھی ہے: نوٹس، رضامندی، سیکیورٹی، خلاف ورزی کی رپورٹنگ اور حقوق کے ڈھانچے پہلے سے فعال ہونے چاہئیں۔ Phase 2 — تقریباً نومبر 2026 میں متوقع — Consent Manager ماحول کو فعال کرتا ہے۔ Phase 3، 13 مئی 2027 کو، SDF ٹرگرز، مکمل شکایت اور آڈٹ نظام، جرمانے کے نفاذ کے باضابطہ آغاز سمیت بنیادی پابندیاں لاتا ہے۔
قانون ساتھ پڑھیں۔ عمل درآمد ساتھ بنائیں۔ Phase 3 کا انتظار نہ کریں۔