ریاستی پرائیویسی کے جال میں میری لینڈ کیوں نمایاں ہے

2021 کے بعد منظور ہونے والے امریکی ریاستوں کے زیادہ تر پرائیویسی قوانین ایک جانے پہچانے سانچے پر چلتے ہیں: صارف کے حقوق کا ایک مجموعہ، ٹارگٹڈ اشتہارات اور فروخت سے آپٹ آؤٹ، حساس ڈیٹا کے لیے واضح رضامندی، اور ریاستی اٹارنی جنرل کی جانب سے نفاذ۔ مئی 2024 میں دستخط شدہ میری لینڈ آن لائن ڈیٹا پرائیویسی ایکٹ (MODPA) اس سانچے کو اپناتا ہے مگر اس کے کئی اہم حصوں کو سخت کر دیتا ہے۔ اشتہار پر مبنی پبلشرز کے لیے یہ فرق نظریاتی نہیں — یہ طے کرتے ہیں کہ آپ کیا جمع کر سکتے ہیں، کیا کبھی فروخت نہیں کر سکتے، اور کم عمر وزیٹرز کے ساتھ کیسا سلوک کرتے ہیں۔

یہ قانون 1 اکتوبر 2025 کو نافذ ہوا، اور 1 اپریل 2026 سے ذاتی ڈیٹا کی پروسیسنگ سرگرمیوں پر لاگو ہوتا ہے۔ اگر آپ کے میری لینڈ کے وزیٹرز ہیں تو یہ اب آپ کے معمول کے آپریٹنگ ماحول کا حصہ ہے، روڈ میپ کی کوئی آئندہ شق نہیں۔

قانون کن پر لاگو ہوتا ہے

MODPA ان کاروباروں کا احاطہ کرتا ہے جو میری لینڈ میں کام کرتے ہیں یا اپنی مصنوعات اور خدمات میری لینڈ کے رہائشیوں کو ہدف بناتے ہیں اور جنہوں نے گزشتہ کیلنڈر سال میں یا تو:

• کم از کم 35,000 میری لینڈ صارفین کے ذاتی ڈیٹا کو کنٹرول یا پروسیس کیا (سوائے اس ڈیٹا کے جو محض ادائیگی کا لین دین مکمل کرنے کے لیے پروسیس ہوا)، یا
• کم از کم 10,000 صارفین کے ذاتی ڈیٹا کو کنٹرول یا پروسیس کیا اور ذاتی ڈیٹا کی فروخت سے مجموعی آمدنی کا 20% سے زیادہ حاصل کیا۔

یہ حدیں کئی دوسری ریاستوں سے کم ہیں۔ میری لینڈ کی آبادی تقریباً ساٹھ لاکھ ہے، لہٰذا قومی رسائی رکھنے والی درمیانے سائز کی مواد کی سائٹ عام ٹریفک سے 35,000 صارفین کی حد پار کر سکتی ہے، خاص طور پر جب کوکی IDs اور ڈیوائس شناخت کنندگان کو ذاتی ڈیٹا گنا جائے۔

پبلشرز کے لیے سب سے اہم شقیں

مطلوبہ خدمت سے جڑی ڈیٹا کی کم سے کم جمع کاری

کئی ریاستی قوانین کاروبار کو وہ سب جمع کرنے دیتے ہیں جس کا وہ اپنے پرائیویسی نوٹس میں انکشاف کرے۔ MODPA اس کے برعکس ذاتی ڈیٹا کی جمع کاری کو اس تک محدود کرتا ہے جو صارف کی مطلوبہ مصنوعات یا خدمت فراہم کرنے یا برقرار رکھنے کے لیے معقول حد تک ضروری اور متناسب ہو۔ حساس ڈیٹا کے لیے معیار اونچا ہے: جمع کاری اور پروسیسنگ اس مقصد کے لیے سختی سے ضروری ہونی چاہیے۔ عملاً، یہ پبلشرز کو ہر ٹیگ اور ڈیٹا پوائنٹ کو اس کے مقابل جواز دینے پر مجبور کرتا ہے جس کے لیے قاری آیا ہے، نہ کہ اس کے مقابل جو نوٹس میں اتفاقاً لکھا ہے۔

حساس ڈیٹا کی فروخت نہیں

دوسری جگہوں پر حساس ڈیٹا بیچنے کے لیے عموماً واضح رضامندی درکار ہوتی ہے۔ میری لینڈ اس سے آگے جا کر حساس ڈیٹا کی فروخت پر مکمل پابندی لگاتا ہے۔ حساس ڈیٹا میں صحت کی معلومات، درست جغرافیائی مقام، نسلی یا قومی اصل، مذہبی عقائد، جنسی رجحان، بایومیٹرک اور جینیاتی ڈیٹا، اور ایسے صارف کا ڈیٹا شامل ہے جس کا بچہ ہونا معلوم ہو۔ صحت، تندرستی اور مقامی خبروں کے پبلشرز کو چاہیے کہ نقشہ بنائیں کہ ان کے مواد سے آڈینس کے کون سے حصے اخذ کیے جا سکتے ہیں اور یقینی بنائیں کہ ان میں سے کوئی بھی پارٹنرز تک ایسے انداز میں نہ پہنچے جو فروخت کے مترادف ہو۔

نابالغوں کے لیے سخت قواعد

MODPA ذاتی ڈیٹا بیچنے یا اسے ٹارگٹڈ اشتہارات کے لیے پروسیس کرنے کی ممانعت کرتا ہے جب کاروبار کو معلوم تھا یا اسے معلوم ہونا چاہیے تھا کہ صارف کی عمر 18 سال سے کم ہے۔ “معلوم ہونا چاہیے تھا” کا معیار کئی دوسری ریاستوں کے حقیقی علم کے امتحانات سے وسیع ہے۔ نوعمر مواد والی سائٹس — گیمنگ، ہوم ورک میں مدد، موسیقی، کھیل — کو عمر کے سگنلز اور ان حصوں کو ملنے والے اشتہاری تجربات کے بارے میں قابلِ دفاع طریقہ درکار ہے۔

آپٹ آؤٹ اور عالمگیر سگنلز

صارفین ٹارگٹڈ اشتہارات، ذاتی ڈیٹا کی فروخت اور بعض پروفائلنگ سے آپٹ آؤٹ کر سکتے ہیں۔ کاروباروں کو عالمگیر آپٹ آؤٹ میکانزم جیسے Global Privacy Control براؤزر سگنل کا بھی احترام کرنا ہوگا۔ اگر آپ کی سائٹ ابھی GPC نہیں پڑھتی اور اسے متعلقہ پروسیسنگ کے آپٹ آؤٹ میں نہیں بدلتی، تو میری لینڈ اس خلا کو پُر کرنے کی ایک اور وجہ ہے۔

نفاذ

MODPA کو میری لینڈ اٹارنی جنرل کا کنزیومر پروٹیکشن ڈویژن نافذ کرتا ہے۔ ایکٹ کے تحت نجی دعویٰ کا کوئی حق نہیں ہے۔ ابتدائی مدت کے لیے ڈویژن کارروائی سے پہلے کاروباروں کو خلاف ورزی درست کرنے کا موقع دے سکتا ہے، لیکن یہ صوابدیدی اور عارضی ہے، اس لیے اس پر بھروسا کرنے کی حکمتِ عملی نہیں بنائی جا سکتی۔

عملی ایکشن پلان

1. حدیں چیک کریں۔ اینالیٹکس سے میری لینڈ میں اپنی رسائی کا اندازہ لگائیں اور صرف لاگ اِن صارفین نہیں بلکہ ڈیوائس سطح کے شناخت کنندگان بھی شامل کریں۔
2. کم سے کم جمع کاری کا جائزہ چلائیں۔ ہر ٹیگ، SDK اور ڈیٹا فیلڈ کی فہرست بنائیں اور ریکارڈ کریں کہ ہر ایک قاری کی کس مطلوبہ خدمت کی معاونت کرتا ہے۔ جس کا جواز نہ دے سکیں اسے ہٹا دیں۔
3. حساس زمروں کا آڈٹ کریں۔ ان مواد کے شعبوں کی نشاندہی کریں جو حساس نتائج پیدا کر سکتے ہیں اور یقینی بنائیں کہ وہ حصے کبھی فروخت یا فروخت کے لیے شیئر نہ ہوں۔
4. عمر کے سگنلز کا جائزہ لیں۔ فیصلہ کریں کہ نوعمروں سے بھرپور حصوں کو کیسے سنبھالا جائے اور کیا وہاں ٹارگٹڈ اشتہارات بند کیے جائیں۔
5. GPC اور آپٹ آؤٹ لنک کو جوڑیں۔ یقینی بنائیں کہ GPC سگنل یا آپٹ آؤٹ لنک پر کلک اشتہاری پارٹنرز کو بھیجے جانے والے سگنلز میں جھلکتا ہے، مثلاً IAB GPP سٹرنگ کے ذریعے۔
6. اپنا پرائیویسی نوٹس اپ ڈیٹ کریں۔ ڈیٹا کے زمرے، مقاصد، تیسرے فریق اور حقوق استعمال کرنے کا طریقہ ایسی زبان میں بیان کریں جو قاری سمجھ سکے۔

FlexyConsent کیسے مدد کرتا ہے

FlexyConsent امریکی نیشنل سیکشن اور 16 امریکی ریاستی قوانین کے ساتھ IAB Global Privacy Platform (GPP) v1.1 کو سپورٹ کرتا ہے، تاکہ آپٹ آؤٹ انتخابات آپ کے اشتہاری پارٹنرز کو اس معیاری فارمیٹ میں پہنچائے جا سکیں جس کی وہ توقع رکھتے ہیں۔ وہی بینر، 57 زبانوں میں، امریکی، EU اور دیگر وزیٹرز کو مختلف تجربات دکھا سکتا ہے، اور ہر پلان، بشمول مفت پلان، مکمل فیچر سیٹ شامل کرتا ہے۔

اہم نکات

• MODPA 1 اکتوبر 2025 کو نافذ ہوا، اور 1 اپریل 2026 سے پروسیسنگ سرگرمیوں پر لاگو ہوتا ہے۔
• حدیں کم ہیں: 35,000 میری لینڈ صارفین، یا 10,000 کے ساتھ ڈیٹا کی فروخت سے آمدنی کا 20% سے زیادہ۔
• جمع کاری مطلوبہ خدمت کے لیے معقول حد تک ضروری چیزوں تک، اور حساس ڈیٹا کے لیے سختی سے ضروری چیزوں تک محدود ہے۔
• حساس ڈیٹا بالکل نہیں بیچا جا سکتا، اور 18 سال سے کم عمر افراد کو ٹارگٹ نہیں کیا جا سکتا جب آپ کو ان کی عمر معلوم تھی یا معلوم ہونی چاہیے تھی۔
• GPC جیسے عالمگیر آپٹ آؤٹ سگنلز کا احترام کریں اور آپٹ آؤٹ کو GPP کے ذریعے آگے منتقل کریں۔