قانون 21.719 حقیقت میں کیا مطالبہ کرتا ہے

قانون چلی میں موجود افراد کے ذاتی ڈیٹا کی پروسیسنگ پر قابل اطلاق ہے، قطع نظر اس کے کہ کنٹرولر یا پروسیسر کہاں قائم ہے، اور چلی میں موجود کنٹرولرز اور پروسیسرز پر قابل اطلاق ہے، قطع نظر اس کے کہ ڈیٹا سبجیکٹس کہاں ہیں۔ اس لیے علاقائی دائرہ کار وسیع ہے اور چلی کے قارئین کی خدمت کرنے والے زیادہ تر پبلشرز کو شامل کرتا ہے؛ سب سے عام سرحدی کیس — چلی کے انفراسٹرکچر کے بغیر لیکن چلی کے وزیٹرز کے ساتھ غیر چلی پبلشر — اس بات کے حوالے سے حل کیا جاتا ہے کہ آیا کنٹرولر نے فعال طور پر چلی میں خدمات ہدایت کی تھیں۔ ذاتی ڈیٹا کو وسیع طور پر کسی بھی معلومات کے طور پر تعریف کیا جاتا ہے جو شناخت شدہ یا قابل شناخت قدرتی شخص سے متعلق ہو؛ حساس ذاتی ڈیٹا — جس میں نسلی اصل، سیاسی رائے، مذہبی عقیدہ، ٹریڈ یونین رکنیت، صحت، جنسی زندگی، جنسی رجحان اور بائیومیٹرک ڈیٹا سے متعلق ڈیٹا شامل ہے — اعلی رضامندی کی حد اور اضافی طریقہ کار کے تحفظات کے تابع ہے۔

قانون GDPR کے Article 6 کیٹلاگ کی طرز پر ماڈل کردہ پروسیسنگ کی قانونی بنیادیں قائم کرتا ہے لیکن عوامی مفاد اور عدالتی پروسیسنگ کے لیے چلی سے مخصوص اضافے کے ساتھ؛ ڈیٹا سبجیکٹ حقوق کا معیاری سیٹ — رسائی، درستگی، حذف، اعتراض، پورٹیبلٹی، اور خودکار فیصلہ سازی کو بلاک کرنے کا چلی سے مخصوص حق؛ اعلی خطرے کی زمروں کے لیے ڈیٹا پروٹیکشن آفیسر کی لازمی تقرری کے ساتھ کنٹرولر-پروسیسر احتساب فریم ورک؛ آگاہی کے 72 گھنٹوں کے اندر نئے Personal Data Protection Agency کو خلاف ورزی کی اطلاع کی ذمہ داریاں؛ ایجنسی کی مناسبیت کے تعین یا منظور شدہ معاہداتی حفاظتی تدابیر پر منحصر سرحد پار منتقلی کنٹرول؛ اور خلاف ورزی کی سنگینی کے مطابق درجہ بند اور سب سے سنگین خلاف ورزیوں کے لیے UTM 5,000 تک پہنچنے والے انتظامی جرمانے کا نظام۔

قانون 21.719 کوکی رضامندی کے ساتھ کیسے سلوک کرتا ہے

قانون 21.719 میں کوکیز کے بارے میں کوئی الگ ePrivacy طرز کی دفعہ نہیں ہے؛ کوکیز اور اس طرح کی اسٹوریج-اور-رسائی ٹیکنالوجیز عمومی رضامندی فریم ورک میں آتی ہیں۔ معیار یہ ہے کہ ایک تصدیقی عمل سے ثابت شدہ صریح، رضاکارانہ، مخصوص، باخبر اور غیر مبہم رضامندی — GDPR نے جو مطالبات کا خاندان عالمی معیار کے طور پر قائم کیا اور جسے چلی نے اپنی طریقہ کار کی تہہ کے ساتھ درآمد کیا ہے۔ قانون کے قائم کردہ نئے آزاد ریگولیٹر Personal Data Protection Agency نے گریس مدت کے نفاذ کے دوران ابتدائی رہنمائی جاری کی جو تصدیق کرتی ہے کہ پہلے سے چیک کردہ خانے، مسلسل براؤزنگ سے اخذ کردہ مضمر رضامندی، اور بنڈل رضامندی بینر قانون کی حد کو پورا نہیں کرتے۔ یہ چلی کو عالمی رفتار کے ساتھ مضبوطی سے ہم آہنگ کرتا ہے اور اس کا مطلب ہے کہ پبلشرز جو رویہ پہلے سے EEA کے لیے برقرار رکھتے ہیں وہ چلی ٹریفک کے لیے صحیح نقطہ آغاز ہے۔

عملی اثر یہ ہے کہ کوکیز اور اس طرح کی ٹیکنالوجیز جو وزیٹر کی فعال طور پر درخواست کردہ سروس فراہم کرنے کے لیے سخت ضروری نہیں ہیں، انہیں وزیٹر کی رضامندی سے پہلے سیٹ نہیں کیا جا سکتا۔ سخت ضروری کوکیز — سیشن شناخت کنندہ، کارٹ مواد، سیکیورٹی ٹوکن، لوڈ بیلنسنگ کوکیز — اس بنیاد پر سیٹ کی جا سکتی ہیں کہ وزیٹر نے فعال طور پر سروس کی درخواست کی۔ باقی سب کچھ — تجزیاتی، اشتہار بازی، ذاتی کاری، A/B ٹیسٹنگ، سیشن ری پلے، اور کوئی بھی تھرڈ پارٹی ٹیگ — پہلے سے رضامندی کی ضرورت ہے۔

قانون 21.719 عملاً GDPR سے کہاں مختلف ہے

چلی ٹریفک کے لیے CMP ترتیب دیتے وقت تین فرق اہم ہیں۔ پہلا، قانون واضح طور پر خودکار فیصلہ سازی — پروفائلنگ سمیت — کو بلاک کرنے کے حق کو تسلیم کرتا ہے جو GDPR کے Article 22 کے ہم پلہ سے وسیع تر ہے اور جب بھی پروسیسنگ ڈیٹا سبجیکٹ پر اہم اثرات پیدا کرتی ہے تو قابل اطلاق ہے، اہم اثرات کی حد یورپی عمل سے زیادہ فراخدلی سے تشریح کی جاتی ہے۔ وزیٹرز کو تجارتی زمروں میں تقسیم کرنے والے ذاتی کاری انجن چلانے والے پبلشرز کے لیے، اس حق کا مطلب یہ ہے کہ تجزیاتی رضامندی دیے جانے کے بعد بھی خودکار پروفائلنگ سے آپٹ آؤٹ راستہ دستیاب ہونا چاہیے۔ دوسرا، قانون کا سرحد پار منتقلی نظام ایجنسی کو منزل کی دائرہ اختیار کی نشاندہی کرنے کی ضرورت ہے؛ غیر نامزد دائرہ اختیاروں کو منتقلی کے لیے یا تو ڈیٹا سبجیکٹ کی صریح رضامندی، ایجنسی کی منظور شدہ معاہداتی حفاظتی تدابیر، یا تنگ استثنیات میں سے ایک کی ضرورت ہے۔ تیسرا، قانون بائیومیٹرک ڈیٹا اور جینیاتی ڈیٹا کی پروسیسنگ پر GDPR بیس لائن سے زیادہ سخت معیار لاگو کرتا ہے، ان زمروں کے لیے الگ اجازت ٹریک کی ضرورت ہے جسے بائیومیٹرک تصدیق یا اسی طرح کی پروسیسنگ چلانے والے پبلشرز کو اپنے آرکیٹیکچر میں شامل کرنا ہوگا۔

قانون 21.719 کے تحت تعمیل شدہ کوکی بینر کیسا نظر آتا ہے

تکنیکی ضروریات اس چیز سے ملتی ہیں جو ہر جدید CMP پہلے ہی تیار کرتا ہے، لیکن لیبلنگ، دستاویزات اور رضامندی لاگ کو چلی سے مخصوص مواد کی عکاسی کرنی چاہیے۔ پہلی پرت بینر کو وزیٹر کو حقیقی انتخاب پیش کرنا چاہیے — قبول کریں، مسترد کریں، انتظام کریں — جہاں مسترد کرنے کا آپشن کم از کم قبول کرنے کے آپشن جتنا نمایاں ہو۔ بنڈل رضامندی ممنوع ہے، اس لیے دوسری پرت کو کم از کم تجزیاتی، اشتہار بازی، خودکار فیصلہ سازی اور کسی بھی سرحد پار منتقلی پر منحصر پروسیسنگ کا احاطہ کرتے ہوئے زمرے کے مطابق آپٹ ان کی اجازت دینی چاہیے۔ زمرے ڈیفالٹ بند پر ہونے چاہئیں؛ بینر کو ٹیگز لوڈ نہیں کرنے چاہئیں جب تک کہ وزیٹر انہیں تصدیقی طور پر آن نہ کر دے۔

بینر سے ظاہر ہونے والی پرائیویسی نوٹس کو کنٹرولر، قابل اطلاق ہونے پر ایجنسی کے ساتھ کنٹرولر کی رجسٹریشن، جمع کردہ ذاتی ڈیٹا کی زمرہ بندی، ہر پروسیسنگ مقصد کی قانونی بنیاد، ڈیٹا برقراری مدت، چلی سے باہر واقع کسی بھی ذیلی پروسیسر سمیت وصول کنندگان کی زمرہ بندی، خودکار فیصلہ سازی آپٹ آؤٹ سمیت قانون کے تحت ڈیٹا سبجیکٹ کے حقوق، جہاں DPO تقرری لازمی ہو DPO کی رابطہ تفصیلات، اور شکایات کے لیے ایجنسی کی رابطہ تفصیلات کی شناخت کرنی چاہیے۔ GDPR کے Article 13 معیار کو پورا کرنے والی نوٹس کافی حد تک ہم آہنگ ہے لیکن خودکار فیصلہ سازی آپٹ آؤٹ اور ایجنسی رابطہ لائنوں کو واضح طور پر شامل کرنا ضروری ہے۔

ایجنسی جائزے سے گزرنے والا انضمام کا نمونہ

حوالہ نفاذ کے چار متحرک حصے ہیں۔ پہلا ایک CMP ہے جو الگ خودکار فیصلہ سازی ٹوگل سمیت زمرے کے مطابق ڈیفالٹ بند آپٹ ان کو سپورٹ کرتا ہے اور ایک منظم رضامندی سٹرنگ کے ذریعے وزیٹر کی پسند ظاہر کرتا ہے جسے پبلشر محفوظ رکھ سکتا ہے۔ دوسرا ایک ٹیگ لوڈنگ پرت ہے — سرور سائیڈ ٹیگ مینیجر یا CMP نیٹیو گیٹ — جو کوئی بھی غیر ضروری کوکی سیٹ کیے جانے سے پہلے رضامندی کی حالت کو سختی سے نافذ کرتا ہے۔ تیسرا سرور سائیڈ پر محفوظ رضامندی لاگ ہے جو ہر رضامندی واقعہ کے لیے وزیٹر کی زمرے کے مطابق پسند، ٹائم اسٹیمپ، بینر ورژن، وزیٹر نے جو زبان ورژن دیکھی، اور ایک مختصر یا ہیش IP شناخت کنندہ ریکارڈ کرتا ہے تاکہ کنٹرولر ایجنسی کی درخواست پر ریکارڈ تیار کر سکے۔ چوتھا ایک واپسی کا راستہ ہے جو کم از کم اصل منظوری جتنا آسان ہو — فوٹر میں بینر دوبارہ کھولنے کا مستقل لنک اور ایک ہسپانوی زبان پرائیویسی حقوق صفحہ جو خودکار فیصلہ سازی آپٹ آؤٹ کو ایک الگ سہولت کے طور پر دکھاتا ہے۔

• تجزیاتی ٹیگز — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog, Heap — صرف تجزیاتی زمرہ دیے جانے کے بعد لوڈ ہونے چاہئیں۔ ہر پلیٹ فارم رضامندی گیٹڈ کنفیگریشن کو سپورٹ کرتا ہے جو گیٹ کے پلٹنے سے پہلے کوئی بھی کوکی لکھنے سے روکتا ہے۔
• اشتہار ٹیگز — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight, پروگرامیٹک ہیڈر بڈرز — بھی اسی طرح گیٹڈ ہونے چاہئیں، اور جہاں اشتہاری پارٹنر چلی سے باہر ایجنسی کی نامزد نہ کردہ دائرہ اختیار میں ڈیٹا منتقل کرتا ہے وصول کنندہ دائرہ اختیار اور منتقلی کی بنیاد پرائیویسی نوٹس میں ظاہر ہونی چاہیے۔
• سیشن ری پلے اور ہیٹ میپ ٹولز — Hotjar, Microsoft Clarity, FullStory, Contentsquare — ایک الگ، سخت تر گیٹ کے پیچھے ہونے چاہئیں کیونکہ ایجنسی بین الاقوامی رہنمائی کے ساتھ ہم آہنگ ہے جو انپٹ فیلڈز کی رینڈرنگ کو صریح اور تفصیلی رضامندی کی ضرورت والے زمرے کے طور پر نشاندہی کرتی ہے۔
• خودکار فیصلہ سازی اور پروفائلنگ — ذاتی کاری انجن، متحرک قیمت گذاری، وزیٹرز کو تجارتی زمروں میں تقسیم کرنے والے سفارش نظام — ایک الگ آپٹ آؤٹ ٹوگل سے گیٹڈ ہونے چاہئیں جسے وزیٹر تجزیاتی یا مارکیٹنگ رضامندی سے آزادانہ طور پر کام میں لا سکتا ہے، اور آپٹ آؤٹ خودکار فیصلے لگانے والے ہر ڈاون اسٹریم سسٹم تک پھیلنا چاہیے۔

2026 کے لیے تصدیق، رجسٹریشن اور آڈٹ موقف

2026 میں قابل دفاع چلی تعیناتی کو چار تکنیکی جانچوں سے گزرنا ہوگا۔ پہلا، چلی IP ایڈریس سے فراہم کردہ صاف براؤزر سیشن بینر پر کوئی کارروائی کیے جانے سے پہلے صفر غیر ضروری کوکیز پیدا کرے۔ دوسرا، سب کو مسترد کرنے کا راستہ کوئی کارروائی نہیں سیشن جیسے رویے میں نتیجہ دے — کوئی تجزیاتی ٹیگ نہیں، کوئی اشتہاری ٹیگ نہیں، کوئی سیشن ری پلے اسکرپٹ نہیں، کوئی خودکار پروفائلنگ نہیں۔ تیسرا، سب کو قبول کرنے کا بہاؤ صرف وہ ٹیگز پیدا کرے جن کے لیے وزیٹر نے رضامندی دی ہے، اور رضامندی لاگ میں ایک مماثل ریکارڈ ہونا چاہیے۔ چوتھا، واپسی کا بہاؤ فوری طور پر مزید ٹیگ فائرنگ روکے، رضامندی سیشن کے دوران سیٹ کوکیز ختم کرے، وزیٹر کو متاثر کرنے والی خودکار فیصلہ سازی کو غیر فعال کرے، اور وصول کنندہ پارٹنرز کی ضرورت والے ڈاون اسٹریم حذف یا آپٹ آؤٹ سگنلز شروع کرے۔

تکنیکی جانچوں سے آگے، رجسٹریشن اور آڈٹ موقف تعیناتی کو قابل دفاع بناتا ہے۔ ایجنسی کی متعین حدوں سے زیادہ چلی باشندوں کے ذاتی ڈیٹا کی پروسیسنگ کرنے والے کنٹرولرز کو متعلقہ رجسٹریشن اور اطلاعات مکمل کرنی ہوں گی؛ رجسٹریشن ریکارڈ — رضامندی لاگ، پرائیویسی نوٹس، پروفائلنگ سمیت اعلی خطرے کی پروسیسنگ کے لیے ڈیٹا پروٹیکشن امپیکٹ اسیسمنٹ کے نتائج، DPO تقرری دستاویزات، اور سرحد پار منتقلی کی اجازتوں کے ساتھ — وہ دستاویزات تشکیل دیتا ہے جو ایجنسی تعمیل جائزے کے دوران طلب کر سکتی ہے۔ سرور سائیڈ لاگ کے ساتھ درست طریقے سے ترتیب دیا گیا CMP، رضامندی حالت نافذ کرنے والی ٹیگ لوڈنگ پرت، ہر سرحد پار منتقلی منزل کا نام لینے والی پرائیویسی نوٹس، خودکار فیصلہ سازی آپٹ آؤٹ سہولت، اور فائل میں رجسٹریشن دستاویزات — یہ وہ چیز ہے جو قانون 21.719 کو ایک ریگولیٹری نامعلوم سے پبلشر کے لاطینی امریکہ رضامندی موقف کے قابل دفاع حصے میں تبدیل کرتی ہے۔