عمانی PDPL دراصل کیا چاہتا ہے

قانون عمان میں موجود افراد کے ذاتی ڈیٹا کی پروسیسنگ پر لاگو ہوتا ہے قطع نظر اس کے کہ کنٹرولر یا پروسیسر کہاں قائم ہے۔ ذاتی ڈیٹا کو وسیع پیمانے پر کسی بھی ایسے ڈیٹا کے طور پر تعریف کیا گیا ہے جو براہ راست یا بالواسطہ کسی قدرتی شخص کی شناخت کرتا ہو؛ حساس ذاتی ڈیٹا کے لیے رضامندی کی اعلی حد ضروری ہے۔

قانون GDPR پر مبنی پروسیسنگ کی قانونی بنیادیں، ڈیٹا سبجیکٹس کے معیاری حقوق — رسائی، اصلاح، منتقلی، حذف، تحدید اور اعتراض — اعلی خطرے والی زمروں کے لیے DPO کی لازمی تقرری کے ساتھ کنٹرولر-پروسیسر احتساب کا ڈھانچہ، 72 گھنٹوں کے اندر وزارت کو خلاف ورزی کی اطلاع دینے کی ذمہ داریاں اور سرحد پار منتقلی کے کنٹرولز قائم کرتا ہے۔

PDPL کوکی رضامندی کو کیسے ہینڈل کرتا ہے

عمانی PDPL میں کوکیز کے بارے میں کوئی علیحدہ ePrivacy طرز کی دفعہ نہیں ہے؛ کوکیز عمومی رضامندی کے ڈھانچے میں آتی ہیں۔ معیار ایک واضح، رضاکارانہ، مخصوص اور باخبر معاہدہ ہے جو ایک اثباتی عمل سے ظاہر ہو۔ وزارت نے اپنی جاری کردہ ہدایات میں تصدیق کی ہے کہ پہلے سے ٹک کیے گئے خانے، مسلسل براؤزنگ سے اخذ شدہ مضمر رضامندی، اور بنڈل رضامندی کے بینر قانون کی حد کو پورا نہیں کرتے۔

عملی اثر یہ ہے کہ کوکیز جو سروس فراہم کرنے کے لیے سختی سے ضروری نہیں ہیں، صارف کی رضامندی سے پہلے سیٹ نہیں کی جا سکتیں۔ سختی سے ضروری کوکیز — سیشن آئیڈینٹیفائرز، کارٹ مواد، سیکیورٹی ٹوکنز — سیٹ کی جا سکتی ہیں۔ باقی سب — اینالیٹکس، اشتہار، پرسنلائزیشن، A/B ٹیسٹنگ، سیشن ریپلے — کو پہلے سے رضامندی درکار ہے۔

عمانی PDPL عملی طور پر GDPR سے کیسے مختلف ہے

CMP کو جوڑتے وقت تین فرق اہم ہیں۔ پہلا، PDPL کو حساس ذاتی ڈیٹا کی پروسیسنگ اور سرحد پار منتقلی کے لیے وزارت کا اجازت نامہ درکار ہے۔ دوسرا، خلاف ورزی کی اطلاع کی کھڑکی سختی سے 72 گھنٹے پر مقرر ہے۔ تیسرا، PDPL حساس ذاتی ڈیٹا یا بڑے پیمانے پر پروسیس کرنے والے کنٹرولرز کے لیے DPO کی لازمی تقرری عائد کرتا ہے۔

PDPL کے تحت ایک تعمیل شدہ کوکی بینر کیسا دکھتا ہے

پہلی پرت کے بینر کو صارف کو ایک حقیقی انتخاب پیش کرنا چاہیے — قبول کریں، مسترد کریں، منظم کریں — جہاں مسترد کرنے کا اختیار کم از کم قبول کرنے کے اختیار کی طرح نمایاں ہو۔ بنڈل رضامندی ممنوع ہے؛ دوسری پرت کو کم از کم اینالیٹکس، اشتہار اور سرحد پار منتقلی پر منحصر کسی بھی پروسیسنگ کو شامل کرتے ہوئے فی زمرہ آپٹ-ان کی اجازت دینی چاہیے۔ زمروں کو بطور ڈیفالٹ بند ہونا چاہیے۔

بینر سے قابل رسائی پرائیویسی نوٹس میں کنٹرولر، وزارت کا اجازت نامہ نمبر، جمع کیے گئے ذاتی ڈیٹا کے زمرے، ہر پروسیسنگ مقصد کی قانونی بنیاد، ڈیٹا کی برقراری کی مدت، عمان سے باہر کے ذیلی پروسیسرز سمیت وصول کنندگان کے زمرے، ڈیٹا سبجیکٹ کے حقوق، DPO کی رابطہ تفصیلات اور شکایات کے لیے وزارت کی رابطہ تفصیلات شامل ہونی چاہییں۔

وزارت کے جائزے سے گزرنے والا انضمام پیٹرن

حوالہ نفاذ کے چار متحرک حصے ہیں: فی زمرہ ڈیفالٹ-آف آپٹ-ان کی حمایت کرنے والا CMP؛ ٹیگ لوڈنگ پرت؛ سرور سائڈ محفوظ رضامندی لاگ؛ اور کم از کم اصل اجازت جتنا آسان واپسی کا راستہ۔

• اینالیٹکس ٹیگز — Google Analytics 4، Adobe Analytics، Matomo، Amplitude، Mixpanel، PostHog، Heap — صرف اینالیٹکس زمرہ منظور ہونے کے بعد لوڈ ہونے چاہییں۔
• اشتہار ٹیگز — Google Ads، Meta Pixel، TikTok Pixel، LinkedIn Insight — کو اسی طرح کنٹرول کیا جانا چاہیے۔
• سیشن ریپلے اور ہیٹ میپ ٹولز — Hotjar، Microsoft Clarity، FullStory، Contentsquare — ایک علیحدہ، سخت گیٹ کے پیچھے ہونے چاہییں۔
• سرحد پار منتقلی کے انکشافات ہر وصول کنندہ دائرہ اختیار کے لیے مخصوص ہونے چاہییں اور وزارت کے اجازت نامے کا حوالہ دینا چاہیے۔

2026 کے لیے توثیق، اجازت نامہ اور آڈٹ پوزیشن

2026 میں قابل دفاع عمانی تعیناتی کو چار تکنیکی جانچ پاس کرنی ہوگی: عمانی IP ایڈریس سے سرو ہونے والے صاف براؤزر سیشن کو بینر پر کارروائی سے پہلے صفر غیر ضروری کوکیز پیدا کرنی چاہیں؛ سب مسترد راستے کا نتیجہ بغیر کارروائی والے سیشن جیسی پوزیشن میں ہونا چاہیے؛ سب قبول فلو کو صرف وہی ٹیگز پیدا کرنے چاہییں جن پر صارف نے رضامندی دی ہو؛ اور واپسی فلو کو فوری طور پر مزید ٹیگ فائرنگ روکنی چاہیے۔ رضامندی لاگ، پرائیویسی نوٹس، DPO تقرری کی دستاویزات اور سرحد پار منتقلی کی اجازتیں وہ دستاویزات بناتی ہیں جو وزارت تعمیل کے جائزے کے دوران مانگ سکتی ہے۔