Privacy Act 2020 کا خاکہ

Privacy Act 2020 تیرہ Information Privacy Principles (IPPs) کے گرد بنی ہے جو یہ طے کرتے ہیں کہ ادارے ذاتی معلومات کو کیسے جمع کریں، استعمال کریں، محفوظ کریں، اور افشا کریں۔ IPPs کا تصور قانون سے پہلے کا ہے — یہ ۱۹۹۳ء کے قانون سے ماخوذ ہیں — لیکن ان کی تشریح اور نفاذ کو ۲۰۲۰ء میں نمایاں طور پر جدید بنایا گیا۔ یہ قانون ہر اس ادارے پر لاگو ہوتا ہے جو نیوزی لینڈ کے باشندوں کی ذاتی معلومات جمع کرتا یا رکھتا ہو، اور اس کا دائرہ بیرونِ ملک تک پھیلا ہوا ہے: ایک غیر ملکی پبلشر جو نیوزی لینڈ کے زائرین کا ڈیٹا پروسیس کرتا ہے، اسی طرح اس قانون کے دائرے میں آتا ہے جیسے کوئی یورپی ادارہ GDPR کے تحت آتا ہے۔

۲۰۲۰ء کی اصلاح میں سب سے اہم تبدیلی لازمی پرائیویسی خلاف ورزی کی اطلاع کا نظام متعارف کرانا تھا: کوئی بھی خلاف ورزی جو سنگین نقصان کا باعث بن سکتی ہو، اسے OPC اور متاثرہ افراد کو مطلع کرنا ضروری ہے۔ آنلائن پبلشرز کے لیے عملی مطلب یہ ہے کہ کوکی سے متعلق واقعات — رضامندی سے پہلے ٹریکنگ پکسل کا فائر ہونا اور شناخت کنندگان کا کسی تیسرے فریق کو جانا، ایک غلط ترتیب شدہ CMP جس نے رضامندی کے فیصلے ظاہر کیے، کوکی آڈٹ لاگز کو متاثر کرنے والا سیکیورٹی واقعہ — اطلاع کی ذمہ داریاں پیدا کر سکتے ہیں جو پرانے نظام میں موجود نہ تھیں۔

قانون کوکیز اور آنلائن ٹریکنگ کو کس طرح دیکھتا ہے

قانون میں کوکی سے متعلق کوئی مخصوص شق نہیں ہے، جس کی وجہ سے تاریخی طور پر کچھ آپریٹرز یہ سمجھتے رہے کہ کوکیز اس کے دائرے سے باہر ہیں۔ OPC کی ۲۰۲۵ء کی رہنمائی نے اس تشریحی خلاء کو صراحتاً بند کر دیا۔ ایسی کوکیز اور پکسلز جو ذاتی معلومات جمع کرتے ہیں — اور OPC ذاتی معلومات کی تعریف اتنی وسیع رکھتا ہے کہ اس میں ڈیوائس شناخت کنندگان، رویے کے ڈیٹا کے ساتھ مل کر IP ایڈریسز، اور ممکنہ ڈیوائس فنگر پرنٹس شامل ہیں — جمع کرنے اور افشا کرنے کے اصولوں کے تحت اسی طرح آتے ہیں جیسے کوئی اور شناختی سطح آتی ہے۔

آنلائن ٹریکنگ کے لیے سب سے اہم IPPs یہ ہیں:

• IPP 1 (جمع کرنے کا مقصد) — ذاتی معلومات صرف ادارے کے کسی کام سے جڑے قانونی مقصد کے لیے جمع کی جا سکتی ہیں، اور صرف اسی صورت میں جب جمع کرنا اس مقصد کے لیے ضروری ہو۔
• IPP 3 (افراد سے معلومات) — جب ذاتی معلومات براہِ راست فرد سے جمع کی جاتی ہیں تو ادارے کو انہیں مقصد، وصول کنندگان، اور معلومات فراہم نہ کرنے کے نتائج سے آگاہ کرنا ضروری ہے۔
• IPP 4 (جمع کرنے کا طریقہ) — جمع کرنا ناانصافانہ، غیر قانونی، یا ناجائز حد تک مداخلت پسندانہ نہیں ہونا چاہیے۔ بغیر اطلاع کے خفیہ طریقے سے جمع کرنا عموماً ایک خامی ہے۔
• IPP 10 (ذاتی معلومات کا استعمال) — ایک مقصد کے لیے جمع کی گئی معلومات کو رضامندی یا کسی دوسری قانونی بنیاد کے بغیر کسی اور مقصد کے لیے استعمال نہیں کیا جا سکتا۔
• IPP 12 (نیوزی لینڈ سے باہر افشا) — ذاتی معلومات کو غیر ملکی بھیجنے کے لیے یا تو وصول کنندہ کے دائرہ اختیار میں موازنہ کے قابل تحفظات کا ہونا ضروری ہے، یا معاہداتی تحفظات، یا مخصوص رضامندی درکار ہے۔

یہ مجموعہ GDPR کے قانونی بنیاد، شفافیت، مقصد کی حد، اور سرحد پار منتقلی کے قوانین سے عملی طور پر ملتا جلتا ہے، جس میں اصطلاحات نیوزی لینڈ کے فریم ورک کے مطابق ڈھالی گئی ہیں۔ OPC نے صراحت کے ساتھ کہا ہے کہ معیارات ایک جیسے ہیں چاہے قانونی زبان مختلف ہو۔

۲۰۲۵ء کی آنلائن ٹریکنگ رہنمائی میں کیا بدلا

OPC نے ۲۰۲۵ء کے اوائل میں جامع آنلائن ٹریکنگ رہنمائی شائع کی جس میں کوکی بینرز، رضامندی کے ریکارڈز، اور تیسرے فریق کے ڈیٹا شیئرنگ سے متعلق مخصوص توقعات بیان کی گئیں۔ چار نکات کا سب سے زیادہ آپریشنل اثر ہے۔

غیر ضروری ٹریکنگ کے لیے واضح رضامندی

رہنمائی میں کوئی ابہام نہیں کہ اسکرول-بطور-رضامندی، مسلسل استعمال-بطور-رضامندی، اور مضمر رضامندی غیر ضروری ٹریکنگ کے لیے IPP 1 اور IPP 3 کو پورا نہیں کرتی۔ ایک واضح اثباتی عمل ضروری ہے۔ اس نے نیوزی لینڈ کو EDPB Cookie Banner Taskforce کے موقف کے ساتھ ہم آہنگ کر دیا۔

تفصیلی زمرہ جاتی کنٹرول

OPC توقع رکھتا ہے کہ بینرز سختی سے ضروری کوکیز کو تجزیاتی اور مارکیٹنگ کوکیز سے الگ کریں، اور زائر زمروں کو آزادانہ طور پر قبول کر سکے۔ تفصیل کے بغیر سب کو قبول کرنا ایک خامی سمجھا جاتا ہے۔

غیر ملکی منتقلی کی دستاویز کاری

IPP 12 پرانی تشریح سے زیادہ اثردار ہے۔ ایسی کوکیز کے لیے جو ڈیٹا امریکی ایڈ ٹیک وینڈرز کو بھیجتی ہیں، پبلشر کو وہ تحفظات ثابت کرنے کے قابل ہونا چاہیے جن کے تحت منتقلی ہوتی ہے — عام طور پر معاہداتی تحفظات یا، جہاں دستیاب ہو، وصول کنندہ کا مناسبیت کے مساوی درجہ۔ OPC نے اشارہ دیا ہے کہ کسی تحقیقات میں «ہم Google Analytics استعمال کرتے ہیں» اب کافی جواب نہیں رہا۔

Te Reo Maori تک رسائی

۲۰۲۵ء کی رہنمائی میں پرائیویسی انکشافات کے لیے Te Reo Maori تک رسائی کے بارے میں مخصوص زبان شامل ہے۔ OPC نے دو لسانی بینرز کو سخت ضرورت قرار نہیں دیا، لیکن ماوری برادریوں کو سروس دینے والے اداروں کے لیے Te Reo کی دستیابی کو نیک نیتی کی تعمیل کے ایک اہم اشارے کے طور پر نشاندہی کی ہے۔ رہنمائی جاری ہونے کے بعد سے کئی بڑے نیوزی لینڈ پبلشرز دو لسانی بینرز کی طرف منتقل ہو چکے ہیں۔

Office of the Privacy Commissioner کا نفاذی رویہ

OPC تین ساختی طریقوں سے بڑے یورپی ڈیٹا پروٹیکشن اتھارٹیز سے مختلف طرح کام کرتا ہے جو تعمیل کی منصوبہ بندی کے لیے اہم ہیں۔

شکایات پر مبنی ترجیح

OPC فعال معائنوں کی بجائے شکایت پر مبنی تحقیقات کو ترجیح دیتا ہے۔ عملی مطلب یہ ہے کہ OPC تحقیقات میں داخل ہونے کا سب سے عام راستہ صارف کی شکایت ہے، جس کی وجہ سے شکایات کا فوری جواب اور دستاویزی آڈٹ ٹریل خاص طور پر اہم ہو جاتا ہے۔

جرمانوں سے پہلے تعمیل کے نوٹس

۲۰۲۰ء کا قانون OPC کو تعمیل کے نوٹس جاری کرنے کا اختیار دیتا ہے جو مقررہ مدت کے اندر مخصوص اصلاح کا تقاضا کرتے ہیں۔ سول جرمانے موجود ہیں لیکن عام طور پر اسی وقت استعمال ہوتے ہیں جب کوئی نوٹس نظرانداز کیا جائے یا جان بوجھ کر خلاف ورزی ہو۔ نوٹس کے جواب میں نیک نیتی سے اصلاح عام طور پر معاملے کو مالی نتائج کے بغیر ختم کر دیتی ہے۔

غیر ملکی ریگولیٹرز کے ساتھ تعاون

OPC Global Privacy Assembly میں فعال طور پر حصہ لیتا ہے اور EDPB، UK ICO، اور Asia Pacific Privacy Authorities فورم کے ساتھ کام کرنے کے تعلقات رکھتا ہے۔ نیوزی لینڈ اور یورپی ٹریفک پر مشتمل سرحد پار تحقیقات کو بڑھتی ہوئی تعداد میں مربوط طریقہ کار کے ذریعے نمٹایا جا رہا ہے۔

ایک عملی تعمیل چیک لسٹ

نیوزی لینڈ ٹریفک کو سروس دینے والے کسی بھی کوکی بینر کے لیے جواب دینے کے قابل چھ ٹھوس سوالات۔

• کیا پہلی پرت پر واضح مسترد کرنے کا آپشن موجود ہے؟ مسترد کرنے کا راستہ قبول کرنے کی طرح ایک ہی سطح پر ہونا چاہیے، موازنہ کے قابل بصری نمایانی کے ساتھ۔ اسکرول-بطور-رضامندی اور مضمر قبولیت ۲۰۲۵ء کی رہنمائی میں ناکام ہے۔
• کیا زمرے تفصیلی ہیں؟ ضروری، تجزیاتی، اور مارکیٹنگ کوکیز الگ الگ قابلِ کنٹرول ہونی چاہئیں۔ تفصیل کے بغیر صرف سب کو قبول کرنا ایک خامی ہے۔
• کیا غیر ملکی منتقلی دستاویزی ہے؟ ہر اس کوکی کے لیے جو نیوزی لینڈ سے باہر ڈیٹا بھیجتی ہے، وہ IPP 12 طریقہ کار شناخت کریں جو منتقلی کی اجازت دیتا ہے۔
• کیا پرائیویسی نوٹس IPP 3 کے مطابق ہے؟ اس بات کی تصدیق کریں کہ نوٹس مقصد، وصول کنندگان، اور نتائج کی نشاندہی کرتا ہے، اور کوکی بینر اس سے لنک کرتا ہے۔
• کیا رضامندی کا لاگ آڈٹ کے قابل ہے؟ ٹائم اسٹیمپ اور بینر ورژن کے ساتھ رضامندی کے فیصلوں کا ریکارڈ OPC تحقیقات کے جواب کے لیے عملی طور پر ضروری ہے۔
• کیا خلاف ورزی کا ردِعمل تیار ہے؟ اس بات کی تصدیق کریں کہ کوکی سے متعلق واقعات اس خلاف ورزی کی جانچ کے عمل کو شروع کرتے ہیں جو یہ طے کرتا ہے کہ OPC اور افراد کو اطلاع دینی ہے یا نہیں۔

نیوزی لینڈ ملٹی جوریسڈکشن اسٹیک میں کہاں فٹ بیٹھتا ہے

انگریزی بولنے والی دنیا — آسٹریلیا، UK، کینیڈا، امریکہ، اور نیوزی لینڈ — میں کام کرنے والے پبلشرز کے لیے، Privacy Act 2020 مضبوطی سے اس GDPR سے ہم آہنگ دائرے میں آتا ہے جس پر بڑی انگریزی بولنے والی ریاستیں مل کر پہنچی ہیں۔ یورپی معیارات کے مطابق بنائی گئی CMP آرکیٹیکچر معمولی تشکیلاتی تبدیلیوں کے ساتھ نیوزی لینڈ کی تعمیل سنبھال لیتی ہے: Te Reo Maori زبان کی سپورٹ، IPP 12 منتقلی کی دستاویز کاری، اور OPC طرز کی شکایات کا جواب وہ مخصوص اضافے ہیں جن میں سرمایہ کاری کے قابل ہے۔ اسٹریٹجک قدر یہ ہے کہ نیوزی لینڈ کو تاریخی طور پر بین الاقوامی SaaS آپریٹرز کی جانب سے پروڈکٹ لانچ کے لیے «ٹیسٹ مارکیٹ» کے طور پر استعمال کیا جاتا رہا ہے، یعنی یہاں نافذ کیا گیا تعمیل کا رویہ اکثر باقی انگریزی بولنے والی دنیا کے لیے پیش نظارہ ہوتا ہے۔ ابتدا سے صحیح کام کرنا ایک معمول کی لوکلائزیشن مشق کی بجائے ایک اہم آپریشنل فائدہ ہے۔