مصری PDPL دراصل کیا تقاضا کرتا ہے

قانون مصری رہائشیوں کے ذاتی ڈیٹا کی پروسیسنگ پر لاگو ہوتا ہے چاہے کنٹرولر یا پروسیسر کہیں بھی قائم ہو، اور مصر میں قائم کنٹرولرز اور پروسیسرز پر چاہے ڈیٹا کے موضوعات کہیں بھی واقع ہوں۔ یہ بیرون ملک دائرہ کار GDPR کے آرٹیکل 3 کی عکاسی کرتا ہے اور اس کا مطلب یہ ہے کہ مصر سے باہر مقیم لیکن مصری قارئین، ایپ انسٹالیشنز یا ادائیگی کرنے والے گاہکوں والا ناشر بلاشک و شبہ دائرہ کار میں آتا ہے۔ ذاتی ڈیٹا کو وسیع پیمانے پر کسی شناخت شدہ یا قابل شناخت قدرتی شخص سے متعلق کسی بھی ڈیٹا کے طور پر بیان کیا گیا ہے، جبکہ حساس ذاتی ڈیٹا — بشمول صحت، بائیومیٹرک، جینیاتی، دماغی صحت، مالی، مذہبی عقیدہ، سیاسی رائے اور مجرمانہ سزا کا ڈیٹا — ایک اعلی رضامندی کی حد اور اضافی تحفظات کے تابع ہے۔

قانون پروسیسنگ کے لیے قانونی بنیادیں قائم کرتا ہے، ڈیٹا موضوع کے حقوق کا معیاری سلیٹ — رسائی، تصحیح، مٹانا، پابندی، اعتراض اور پورٹیبلٹی — کنٹرولر-پروسیسر احتساب فریم ورک، خلاف ورزی کی اطلاع کی ذمہ داریاں، سرحد پار منتقلی کے کنٹرولز، اور معمولی خلاف ورزیوں کے لیے EGP 100,000 سے لے کر سنگین یا بار بار کی خلاف ورزیوں کے لیے EGP 5 ملین تک کے جرمانوں کے ساتھ ایک انتظامی سزا نظام۔ مجرمانہ پابندیاں سب سے سنگین زمروں پر لاگو ہوتی ہیں، بشمول بغیر لائسنس کے سرحد پار منتقلی اور بغیر اجازت کے حساس ڈیٹا کی پروسیسنگ۔

PDPL کوکی رضامندی کو خاص طور پر کیسے ٹریٹ کرتا ہے

EU کی ePrivacy ڈائریکٹیو کے برعکس، PDPL میں کوکیز پر کوئی الگ شق نہیں ہے۔ کوکیز اور اسی طرح کی اسٹوریج اور رسائی ٹیکنالوجیز عام رضامندی فریم ورک کے دائرے میں آتی ہیں: کسی بھی ذاتی ڈیٹا کی پروسیسنگ جو اپنی قانونی بنیاد کے طور پر رضامندی پر انحصار کرتی ہے، ڈیٹا موضوع سے معاہدے کے واضح، رضاکارانہ، مخصوص اور دستاویزی اظہار کی بنیاد پر حاصل کی جانی چاہیے۔ ذاتی ڈیٹا تحفظ مرکز نے ضوابط کے مرحلہ وار آغاز کے دوران جاری کردہ اپنی رہنمائی میں اس بات کی تصدیق کی ہے کہ پہلے سے نشان زد خانے، مسلسل براؤزنگ سے اخذ کردہ مضمر رضامندی، اور بنڈل رضامندی بینرز قانون کے معیار کو پورا نہیں کرتے۔ یہ مصر کو عالمی رجحان کے ساتھ مضبوطی سے ہم آہنگ کرتا ہے اور اس کا مطلب ہے کہ جو عملی موقف ناشرین پہلے سے EEA کے لیے برقرار رکھتے ہیں وہ مصری ٹریفک کے لیے صحیح نقطہ آغاز ہے۔

عملی اثر یہ ہے کہ کوکیز اور کوئی بھی اسی طرح کی ٹیکنالوجی جو سروس فراہم کرنے کے لیے سختی سے ضروری نہیں ہیں، صارف کی فعال رضامندی سے پہلے سیٹ نہیں کی جانی چاہیے۔ سختی سے ضروری کوکیز — سیشن شناخت کار، کارٹ مواد، سیکیورٹی ٹوکنز، لوڈ بیلنسنگ کوکیز — اس بنیاد پر بغیر رضامندی کے سیٹ کی جا سکتی ہیں کہ صارف نے فعال طور پر سروس درخواست کی ہے۔ باقی سب — تجزیاتی، اشتہارات، ذاتی بنانا، A/B ٹیسٹنگ، سیشن ری پلے، اور کوئی بھی تھرڈ پارٹی ٹیگ — کے لیے پیشگی رضامندی ضروری ہے۔

PDPL عملی طور پر GDPR سے کیسے الگ ہوتا ہے

انضمام کی پرت پر تین فرق اہمیت رکھتے ہیں۔ پہلا، PDPL کا تقاضا ہے کہ حساس ذاتی ڈیٹا کی پروسیسنگ کے لیے رضامندی تحریری طور پر یا ایک دستاویزی الیکٹرانک مساوی کے ذریعے حاصل کی جائے جو کنٹرولر درخواست پر پیش کر سکتا ہے — GDPR کی واضح رضامندی کی ضرورت سے زیادہ اعلی شواہداتی معیار۔ دوسرا، PDPL ایک لائسنسنگ نظام نافذ کرتا ہے: کنٹرولرز اور پروسیسرز کو ذاتی ڈیٹا تحفظ مرکز کے ساتھ رجسٹر کرنا ہوگا، اور پروسیسنگ کی بعض اقسام — بشمول سرحد پار منتقلی اور براہ راست مارکیٹنگ — کے لیے الگ آپریشنل لائسنس کی ضرورت ہے۔ تیسرا، PDPL کے سرحد پار منتقلی کے اصولوں میں یا تو مرکز کی طرف سے مناسب تعین، ایک منظور شدہ معاہداتی حفاظت، یا ڈیٹا موضوع کی واضح رضامندی کی ضرورت ہے؛ تعیناتی یا حفاظت کے بغیر دائرہ اختیار کو منتقلی محدود ہے چاہے وصول کنندہ کا اپنا تعمیل رویہ کچھ بھی ہو۔

PDPL کے تحت ایک تعمیل یافتہ کوکی بینر کیسا دکھتا ہے

تکنیکی ضروریات اس چیز سے میل کھاتی ہیں جو ہر جدید CMP پہلے سے تیار کرتی ہے، لیکن لیبلنگ، دستاویزات اور رضامندی کا ریکارڈ مصری خصوصیات کی عکاسی کرنا چاہیے۔ پہلی پرت کا بینر صارف کو ایک حقیقی انتخاب پیش کرنا چاہیے — قبول کریں، رد کریں، منظم کریں — جہاں رد کرنے کا آپشن قبول کرنے کے آپشن سے کم از کم اتنا ہی نمایاں ہو۔ بنڈل رضامندی ممنوع ہے، اس لیے دوسری پرت کو زمرہ جات کے حساب سے آپٹ ان کی اجازت دینی چاہیے جو کم از کم تجزیاتی، اشتہارات اور کسی بھی سرحد پار منتقلی پر منحصر پروسیسنگ کا احاطہ کرے۔ زمرہ جات بطور ڈیفالٹ بند ہونے چاہیے؛ بینر کو اس وقت تک ٹیگز لوڈ نہیں کرنا چاہیے جب تک صارف نے انہیں فعال طور پر آن نہ کر دیا ہو۔

بینر سے پیش کردہ رازداری نوٹس کو کنٹرولر، کنٹرولر کا PDPL لائسنس نمبر اگر قابل اطلاق ہو، جمع کردہ ذاتی ڈیٹا کی اقسام، ہر پروسیسنگ مقصد کے لیے قانونی بنیاد، ڈیٹا برقرار رکھنے کی مدت، وصول کنندگان کی اقسام بشمول مصر سے باہر واقع کوئی بھی ذیلی پروسیسرز، قانون کے تحت ڈیٹا موضوع کے حقوق، اور شکایات کے لیے ذاتی ڈیٹا تحفظ مرکز کی رابطہ معلومات کی شناخت کرنی چاہیے۔ GDPR کے آرٹیکل 13 معیار کو پورا کرنے والا نوٹس کافی حد تک اوورلیپ کرے گا، لیکن مصری لائسنس اور مرکز کے رابطے کی لائنیں واضح طور پر شامل کی جانی چاہیے۔

انضمام کا وہ نمونہ جو ذاتی ڈیٹا تحفظ مرکز کی جائزہ سے گزرتا ہے

حوالہ نفاذ کے چار متحرک حصے ہیں۔ پہلا ایک CMP ہے جو زمرہ جات کے حساب سے، بطور ڈیفالٹ بند آپٹ ان کو سپورٹ کرتا ہے اور صارف کے انتخاب کو ایک منظم رضامندی اسٹرنگ کے ذریعے ظاہر کرتا ہے جسے ناشر برقرار رکھ سکتا ہے۔ دوسرا ایک ٹیگ لوڈنگ پرت ہے — ایک سرور سائیڈ ٹیگ مینیجر یا CMP نیٹیو گیٹ — جو کسی بھی غیر ضروری کوکی کے سیٹ ہونے سے پہلے رضامندی کی حالت کو سختی سے نافذ کرتا ہے۔ تیسرا ایک رضامندی لاگ ہے، جو سرور سائیڈ محفوظ ہے، جو ہر رضامندی ایونٹ کے لیے زمرہ جات کے حساب سے صارف کے انتخاب، ٹائم اسٹامپ، بینر ورژن، اور ایک مختصر یا ہیش شدہ IP شناخت کار ریکارڈ کرتا ہے تاکہ کنٹرولر مرکز کی درخواست پر ریکارڈ پیش کر سکے۔ چوتھا ایک واپسی کا راستہ ہے جو اصل گرانٹ سے کم از کم اتنا ہی آسان ہو — عام طور پر فوٹر میں ایک مستقل بینر دوبارہ کھولنے کا لنک۔

• تجزیاتی ٹیگز — Google Analytics 4, Adobe Analytics, Matomo, Amplitude, Mixpanel, PostHog — صرف تجزیاتی زمرہ دیے جانے کے بعد لوڈ ہونے چاہیے۔ ہر پلیٹ فارم ایک رضامندی گیٹڈ کنفیگریشن کو سپورٹ کرتا ہے جو گیٹ پلٹنے سے پہلے کسی بھی کوکی رائٹ کو روکتا ہے۔
• اشتہاری ٹیگز — Google Ads, Meta Pixel, TikTok Pixel, LinkedIn Insight، پروگرامیٹک ہیڈر بڈرز — کو اسی طرح گیٹ کیا جانا چاہیے، اور جہاں اشتہاری پارٹنر مصر سے باہر ڈیٹا منتقل کرتا ہو وصول کنندہ دائرہ اختیار رازداری نوٹس میں ظاہر ہونا چاہیے۔ ایک عام عالمی سروس فراہم کنندگان کے ذریعے پروسیس کیا گیا انکشاف مرکز کی رہنمائی کے تحت کافی نہیں ہے۔
• سیشن ری پلے اور ہیٹ میپ ٹولز — Hotjar, Microsoft Clarity, FullStory — ایک الگ، سخت گیٹ کے پیچھے ہونے چاہیے کیونکہ مرکز نے EDPB کے اس موقف کے ساتھ خود کو ہم آہنگ کیا ہے کہ ان پٹ فیلڈز کی رینڈرنگ کے لیے واضح اور دانے دار رضامندی درکار ہے۔
• سرحد پار منتقلی کے انکشافات ہر وصول کنندہ دائرہ اختیار کے لیے مخصوص ہونے چاہیے اور منتقلی کی قانونی بنیاد — ایک منظور شدہ معاہداتی حفاظت، ایک مناسب تعین، یا ڈیٹا موضوع کی واضح رضامندی — کا حوالہ دیں۔

2026 کے لیے توثیق، لائسنسنگ اور آڈٹ موقف

2026 میں ایک قابل دفاع مصری تعیناتی چار تکنیکی جانچوں میں پاس ہونی چاہیے۔ پہلا، مصری IP ایڈریس سے سرو کیا گیا ایک صاف براؤزر سیشن بینر پر عمل ہونے سے پہلے صفر غیر ضروری کوکیز پیدا کرے۔ دوسرا، سب کو رد کرنے کا راستہ اسی موقف کا نتیجہ ہونا چاہیے جیسا کہ بغیر کارروائی کے سیشن — کوئی تجزیاتی ٹیگ نہیں، کوئی اشتہاری ٹیگ نہیں، کوئی سیشن ری پلے اسکرپٹ نہیں۔ تیسرا، سب کو قبول کرنے کا فلو صرف وہ ٹیگز پیدا کرے جن پر صارف نے رضامندی دی ہے، اور رضامندی لاگ میں ایک مطابقت رکھنے والا ریکارڈ ہونا چاہیے۔ چوتھا، واپسی کا فلو مزید ٹیگ فائرز کو فوری طور پر روکے، رضامندی والے سیشن کے دوران سیٹ کی گئی کوکیز کو ختم کرے، اور وصول کنندہ پارٹنرز کی ضروری کسی بھی ڈاؤن اسٹریم حذف یا آپٹ آؤٹ سگنلز کو متحرک کرے۔

تکنیکی جانچوں سے آگے، لائسنسنگ اور آڈٹ موقف وہ ہے جو تعیناتی کو قابل دفاع بناتا ہے۔ ایگزیکٹیو ضوابط کی مقررہ حدوں سے اوپر مصری رہائشیوں کے ذاتی ڈیٹا کو پروسیس کرنے والے کنٹرولرز ذاتی ڈیٹا تحفظ مرکز کے ساتھ رجسٹرڈ ہونے چاہیے، اور رجسٹریشن ریکارڈ — رضامندی لاگ، رازداری نوٹس، زیادہ خطرناک پروسیسنگ کے لیے ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ کے نتائج، اور کسی بھی سرحد پار منتقلی کی اجازتوں کے ساتھ — وہ دستاویزات تشکیل دیتا ہے جو مرکز تعمیل جائزہ کے دوران درخواست کر سکتا ہے۔ سرور سائیڈ لاگ کے ساتھ صحیح طریقے سے ترتیب دی گئی CMP، ایک ٹیگ لوڈنگ پرت جو رضامندی کی حالت نافذ کرتی ہے، ایک رازداری نوٹس جو ہر سرحد پار منتقلی کی منزل کا نام لیتا ہے، اور فائل میں لائسنسنگ کاغذات وہی ہے جو مصری PDPL کو ایک ریگولیٹری نامعلوم سے ناشر کے MENA علاقے کے رضامندی موقف کا ایک قابل دفاع حصہ بناتی ہے۔