ڈیٹا پروٹیکشن ایکٹ 2019 کا خاکہ

کینیائی DPA کی ساخت Section 25 میں آٹھ اصولوں پر مبنی ہے جو GDPR Article 5 سے قریبی ہم آہنگی رکھتے ہیں: قانونی حیثیت، مقصد کی محدودیت، ڈیٹا کو کم سے کم رکھنا، درستگی، ذخیرہ کی محدودیت، سالمیت، احتساب، اور ایک کینیائی اضافہ جو آئینی حق رازداری کی صراحت سے تصدیق کرتا ہے۔ Section 30 میں قانونی بنیادیں GDPR کی عکاسی کرتی ہیں: رضامندی، معاہدہ، قانونی ذمہ داری، اہم مفادات، عوامی مفاد، اور جائز مفاد۔ یہ ایکٹ ان تمام ڈیٹا کنٹرولرز یا پروسیسرز پر لاگو ہوتا ہے جو کینیا میں موجود ڈیٹا سبجیکٹس کے ذاتی ڈیٹا کی پروسیسنگ کرتے ہیں، بشمول بیرون ملک پبلشرز جو کینیائی وزیٹرز کو سروس دیتے ہیں۔

ایکٹ کی دو ساختی خصوصیات آپریشنل طور پر اہم ہیں۔ پہلی یہ کہ مخصوص حدود سے اوپر کے کنٹرولرز اور پروسیسرز کو ODPC کے ساتھ رجسٹر ہونا لازمی ہے، اور کمشنر غیر رجسٹرڈ آپریٹرز کے خلاف کارروائی میں واضح طور پر سرگرم رہے ہیں۔ دوسری یہ کہ جہاں پروسیسنگ کا دائرہ مقررہ حدود سے تجاوز کرے — جس میں زیادہ تر اشتہار حمایت یافتہ پبلشرز اور SaaS آپریٹرز شامل ہیں — وہاں ایکٹ ایک DPO کی تقرری لازمی قرار دیتا ہے۔

DPA کوکیز اور آن لائن ٹریکنگ کو کس طرح دیکھتا ہے

DPA میں کوکی سے مخصوص کوئی شق نہیں ہے؛ رضامندی اور معلومات کی ذمہ داریاں ایکٹ کے Section 25، Section 30، اور Section 32 سے پیدا ہوتی ہیں۔ ODPC کی ڈیجیٹل مارکیٹنگ اور رویاتی اشتہارات پر 2024 Guidance Note نے آن لائن ٹریکنگ کے لیے مخصوص توقعات بیان کی ہیں جن کے خلاف کینیائی ٹریفک کو سروس دینے والے پبلشرز کو ڈیزائن کرنا ہوگا۔

غیر ضروری کوکیز کے لیے واضح رضامندی

ODPC کا موقف بالکل واضح ہے: اسکرول-بطور-رضامندی اور استعمال-جاری-رکھنا-بطور-رضامندی Section 32 کی آزادانہ طور پر دی گئی اور واضح رضامندی کی شرائط پوری نہیں کرتے۔ غیر ضروری کوکیز کے لیے واضح مثبت عمل لازمی ہے۔ یہ تشریح EDPB کوکی بینر ٹاسک فورس کے موقف کے قریبی مطابق ہے۔

تفصیلی زمرہ کنٹرولز

2024 Guidance Note میں صراحت ہے کہ بینرز کو صارف کو زمرے آزادانہ طور پر قبول کرنے اور مسترد کرنے کی اجازت دینی چاہیے۔ اسی سطح پر مساوی “سب مسترد کریں” کے بغیر یکجا “سب قبول کریں” کو نقص سمجھا جاتا ہے، اور تجزیاتی یا مارکیٹنگ کوکیز کو لازمی کے طور پر غلط لیبل کرنا بھی ایسا ہی ہے۔

بچوں کا ڈیٹا اور رضامندی کی اہلیت

DPA رضامندی کے مقاصد کے لیے 18 سال سے کم عمر کے ڈیٹا سبجیکٹس کو بچے سمجھتا ہے، اور پروسیسنگ کے لیے والدین کی اجازت لازمی ہے۔ ان پبلشرز کے لیے جن کے ناظرین میں کینیائی نابالغ شامل ہو سکتے ہیں، کوکی رضامندی فریم ورک کو ایک ایسا راستہ درکار ہے جو بالغ اہلیت کو فرض نہ کرے۔

سرحد پار منتقلی کے قوانین

Section 48 کینیا سے باہر منتقلی کو منظم کرتی ہے۔ منتقلی کئی طریقہ کار میں سے ایک کے تحت ہو سکتی ہے: کمشنر کی طرف سے مناسبیت کا تعین، مناسب حفاظتی اقدامات (بشمول ODPC SCCs)، صریح رضامندی، یا مخصوص مستثنیات۔ ODPC اس بات پر تیزی سے صریح ہو رہا ہے کہ “ہم Google Analytics استعمال کرتے ہیں” سرحد پار منتقلی کی تحقیقات کے جواب میں کافی نہیں ہے؛ پبلشر کو بہاؤ کی اجازت دینے والے اصل طریقہ کار کی شناخت کرنے کے قابل ہونا چاہیے۔

ODPC کا نفاذ موقف

ODPC 2022 سے افریقہ کا سب سے سرگرم ڈیٹا پروٹیکشن ریگولیٹر رہا ہے، دونوں مطلق کیس حجم اور اپنے اقدامات کی نمایاں صلاحیت کے اعتبار سے۔ تین نمونے اس کے نفاذ کے طریقہ کار کو شکل دیتے ہیں۔

واضح ابتدائی جرمانے

ODPC نے 2022 سے متعدد فن ٹیک، ڈیجیٹل قرض دہی، اور کریڈٹ بیورو آپریٹرز پر انتظامی جرمانے عائد کیے، ایکٹ کے تحت مالیاتی علاج کے لیے نظیر قائم کی۔ ان مقدمات کے گرد مواصلات جان بوجھ کر عوامی رکھے گئے، یہ اشارہ دیتے ہوئے کہ نفاذ حقیقی ہے نہ کہ محض رسمی۔

فن ٹیک اور قرض پر سیکٹرل توجہ

فن ٹیک اور ڈیجیٹل کریڈٹ سیکٹر — جو کینیا میں ملک کی مجموعی معیشت کے سلسلے میں غیر معمولی طور پر بڑا ہے — کو سب سے زیادہ مرکوز ODPC توجہ ملی ہے۔ فن ٹیک صارفین کو ہدف بنانے والے اشتہار حمایت یافتہ کاروبار چلانے والے پبلشرز کے لیے ناظرین کے گرد ریگولیٹری ماحول بہت سے قابل موازنہ مارکیٹوں کے مقابلے میں زیادہ سنگین ہے۔

علاقائی ریگولیٹرز کے ساتھ تعاون

ODPC African Network of Data Protection Authorities میں حصہ لیتا ہے اور EDPB اور نائیجیرین NDPC کے ساتھ کام کرنے والے تعلقات برقرار رکھتا ہے۔ کینیائی اور یورپی ٹریفک سے متعلق سرحد پار تحقیقات مربوط طریقہ کار کے ذریعے نمٹائی جاتی ہیں۔

عملی تعمیل چیک لسٹ

کینیائی ٹریفک کو سروس دینے والے کسی بھی کوکی بینر کے لیے جواب دینے کے لیے چھ ٹھوس سوالات۔

• کیا کنٹرولر ODPC کے ساتھ رجسٹرڈ ہے؟ اگر پبلشر کی پروسیسنگ رجسٹریشن کی حد سے تجاوز کرتی ہے، تو تصدیق کریں کہ رجسٹریشن موجودہ ہے اور رجسٹریشن سرٹیفکیٹ فائل میں ہے۔
• کیا پہلی پرت پر واضح رد کرنے کا بٹن ہے؟ رد کرنے کا راستہ قبول کرنے کے ساتھ ایک ہی سطح پر ہونا چاہیے، قابل موازنہ نمایاں کے ساتھ۔
• کیا زمرے تفصیلی ہیں؟ ضروری، تجزیاتی، اور مارکیٹنگ کوکیز الگ الگ کنٹرول کی جانی چاہئیں۔
• کیا عمر کو مدنظر رکھنے والا راستہ فراہم کیا گیا ہے؟ ان ناظرین کے لیے جن میں کینیائی نابالغ شامل ہو سکتے ہیں، رضامندی فلو کو ایک قابل دفاع عمر گیٹ یا والدین کی اجازت کا مرحلہ درکار ہے۔
• کیا سرحد پار منتقلی دستاویز شدہ ہیں؟ کینیا کے باہر ہر منزل کے لیے Section 48 طریقہ کار کی نشاندہی کریں جو منتقلی کی اجازت دیتا ہے (مناسبیت، ODPC SCCs، مستثنیٰ)۔
• کیا رضامندی لاگنگ آڈٹ گریڈ ہے؟ ٹائم اسٹیمپ، بینر ورژن، انتخاب، اور قانونی بنیاد مانگ پر قابل بازیافت ہونی چاہیے۔

کینیا کثیر دائرہ اختیار اسٹیک میں کہاں فٹ بیٹھتا ہے

کینیا افریقہ کے چار سب سے آپریشنل طور پر اہم ڈیٹا پروٹیکشن نظاموں میں سے ایک ہے — نائیجیریا، جنوبی افریقہ، اور مصر کے ابھرتے ہوئے فریم ورک کے ساتھ — اور اس کے 2019 کے سر فہرست آغاز نے براعظم پر سب سے پختہ نفاذ موقف میں تبدیل ہوا ہے۔ پان افریقی آپریشنز کی طرف تعمیر کرنے والے پبلشرز کے لیے، کینیائی DPA وہ ڈی فیکٹو ٹیمپلیٹ ہے جو نئے علاقائی قوانین نے استعمال کی ہے: رجسٹریشن کی ضروریات، حدود سے اوپر لازمی DPOs، GDPR طرز کی قانونی بنیادیں، اور سرحد پار منتقلی کے قوانین جو علاقائی موافقتوں کے ساتھ GDPR کے Chapter V کی عکاسی کرتے ہیں۔ کینیا کے لیے تعمیل کا کام یورپی معیار کے متوازی ہے جس میں تین معنی خیز اضافے ہیں: ODPC رجسٹریشن، عمر کو مدنظر رکھنے والی رضامندی کی اہلیت، اور سرحد پار منتقلی کے لیے ODPC SCCs۔ یورپی معیار پر بنی ایک CMP زیادہ تر کام کا احاطہ کرتی ہے؛ کینیائی اضافے آپریشنل پرتیں ہیں جو اوپر ہیں، نہ کہ آرکیٹیکچرل ری بلڈز۔