Data Privacy Act کا خاکہ

Data Privacy Act Section 11 میں پانچ عمومی اصولوں کے گرد ڈھانچہ بنا ہے — شفافیت، جائز مقصد، تناسب، اور مناسب ہینڈلنگ — اور Section 12 میں قانونی پروسیسنگ کے معیار کے لیے ایک زیادہ تفصیلی فریم ورک۔ قانونی بنیادیں جی ڈی پی آر کی عکاسی کرتی ہیں: رضامندی، معاہدہ، قانونی ذمہ داری، اہم مفادات، عوامی فعل، اور جائز مفاد۔ قانون Section 6 کے تحت علاقائی دائرہ اختیار سے باہر پہنچ رکھتا ہے: یہ کنٹرولر کہاں قائم ہے اس سے قطع نظر فلپائنی شہری یا باشندے کے بارے میں ذاتی معلومات کی پروسیسنگ پر لاگو ہوتا ہے، اور فلپائنی ٹریفک کو سرو کرنے والے آف شور پبلشرز کو پکڑتا ہے۔

دو ساختی خصوصیات آپریشنل طور پر اہم ہیں۔ پہلا، قانون “ذاتی معلومات” اور “حساس ذاتی معلومات” کے درمیان فرق کرتا ہے (Section 3، پیراگراف (g) اور (l)) اور بعد والے پر سخت پروسیسنگ قوانین لاگو کرتا ہے — صحت، تعلیم، مالی معلومات، اور حکومت کی طرف سے جاری کردہ شناخت کنندگان سبھی Section 3(l) کے تحت حساس کے طور پر اہل ہوتے ہیں۔ دوسرا، Section 21 مقررہ حد سے زیادہ ذاتی معلوماتی کنٹرولرز اور پروسیسرز کو NPC کے ساتھ رجسٹر کرنے اور ڈیٹا پروٹیکشن آفیسر (DPO) مقرر کرنے کی ضرورت کرتا ہے۔ NPC نے غیر رجسٹرڈ کنٹرولرز کو فعال طور پر زیر عتاب لایا ہے۔

Data Privacy Act کوکیز اور آن لائن ٹریکنگ کے ساتھ کیسے برتاؤ کرتا ہے

قانون میں کوکی مخصوص فراہمی نہیں ہے۔ رضامندی اور معلوماتی ذمہ داریاں قانون کی دفعات 11، 12 اور 16 اور آن لائن ٹریکنگ اور رویاتی اشتہارات پر NPC کی 2024 ایڈوائزری سے آتی ہیں۔ ایڈوائزری ایک مفید دستاویز ہے کیونکہ یہ توقعات کو واضح طور پر بیان کرتی ہے بجائے انہیں عام فریم ورک سے اخذ کرنے کے لیے چھوڑنے کے۔

غیر ضروری ٹریکنگ کے لیے تصدیقی رضامندی

NPC کا موقف یہ ہے کہ رضامندی آزادانہ طور پر دی گئی، مخصوص، باخبر، اور تحریری یا الیکٹرانک ریکارڈ سے ثابت ہونی چاہیے۔ 2024 ایڈوائزری نے اسکرول-بطور-رضامندی اور استعمال جاری رکھنا-بطور-رضامندی کو Section 3(b) کی “مخصوص” اور “باخبر” شرطوں کو پورا نہ کرنے کے طور پر مسترد کیا ہے۔ پہلے سے ٹک لگائے گئے خانوں کو واضح طور پر ناقص سمجھا جاتا ہے۔

تفصیلی زمرہ کنٹرول

ایڈوائزری توقع کرتی ہے کہ بینرز صارف کو آزادانہ طور پر زمرہ جات قبول کرنے اور مسترد کرنے کی اجازت دیں۔ تفصیل کے بغیر بنڈل تمام قبول کریں رضامندی Section 11(d) کے تحت تناسب کے اصول کو پورا نہیں کرتی، جو تقاضا کرتی ہے کہ پروسیسنگ “مناسب، متعلقہ، موزوں، ضروری، اور غیر ضروری نہ ہو” — ایک ہی بنڈل رضامندی کو ضرورت سے زیادہ سمجھا جاتا ہے جب علیحدگی تکنیکی طور پر آسان ہو۔

DPO اور رجسٹریشن کی ضرورت

رجسٹریشن کی حد سے زیادہ کنٹرولرز کے لیے، DPO نامزدگی ایک بامعنی آپریشنل ضرورت ہے، محض کاغذی کارروائی نہیں۔ NPC نے خاص طور پر BPO اور فنٹیک شعبوں میں کئی نفاذ کارروائیوں میں مناسب طریقے سے نامزد DPO کی غیر موجودگی کا حوالہ دیا ہے۔

سرحد پار منتقلی (Section 21)

قانون کا سرحد پار فریم ورک آؤٹ سورسنگ معاہدوں پر NPC Circular 16-02 اور وسیع تر احتساب کے اصول کے ذریعے نافذ کیا جاتا ہے۔ غیر فلپائنی وصول کنندگان کو منتقلی کے لیے یا تو مناسب معاہداتی حفاظت یا مخصوص رضامندی درکار ہے۔ NPC نے نمونہ معاہداتی دفعات جاری کی ہیں؛ عملی آپریشنل توقع GDPR کے Chapter V کو مادے میں ٹریک کرتی ہے چاہے قانونی زبان مختلف ہو۔

NPC کا نفاذی رویہ

NPC جنوب مشرقی ایشیا میں سب سے زیادہ عوامی طور پر فعال ڈیٹا پروٹیکشن اتھارٹیز میں سے ایک رہی ہے۔ تین نمونے اس کے نفاذی نقطہ نظر کو شکل دیتے ہیں۔

اعلی مرئیت والے خلاف ورزی کے معاملات

NPC نے بڑے پیمانے پر خلاف ورزی کی تحقیقات کو ترجیح دی ہے — 2016 COMELEC ووٹر رجسٹری لیک سب سے اہم رہا — اور ان معاملات کو وسیع تر منظم برادری کے لیے توقعات طے کرنے کے لیے استعمال کیا ہے۔ خلاف ورزی کی تحقیقات کے دوران عوامی بیانات اکثر ایسی ضروریات کو بیان کرتے ہیں جو سخت قانونی متن سے آگے جاتی ہیں۔

BPO اور فنٹیک پر توجہ

فلپائن دنیا کی سب سے بڑی BPO اور کانٹیکٹ سینٹر اکانومیز میں سے ایک ہے، اور NPC نے تاریخی طور پر ان شعبوں پر نفاذ مرکوز کیا ہے۔ فلپائنی صارفین کو نشانہ بنانے والے اشتہار سے سہارا یافتہ کاروبار چلانے والے پبلشرز کے لیے، سامعین کے ارد گرد ریگولیٹری ماحول BPO تعمیل کے موقف سے تشکیل پاتا ہے یہاں تک کہ جب پبلشر خود اس شعبے میں نہ ہو۔

ASEAN ریگولیٹرز کے ساتھ ہم آہنگی

NPC ASEAN ڈیٹا مینجمنٹ فریم ورک ورک اسٹریم میں حصہ لیتا ہے اور Singapore PDPC، Thailand PDPC، انڈونیشیا کی ابھرتی ہوئی اتھارٹی، اور EU کے EDPB کے ساتھ کام کرنے کے تعلقات برقرار رکھتا ہے۔ فلپائنی اور یورپی ٹریفک پر مشتمل سرحد پار تحقیقات تیزی سے مربوط طریقہ کار کے ذریعے نمٹائی جاتی ہیں۔

عملی تعمیل چیک لسٹ

فلپائنی ٹریفک کو سرو کرنے والے کسی بھی کوکی بینر کے لیے جواب دینے کے لیے چھ ٹھوس سوالات۔

• کیا کنٹرولر NPC رجسٹرڈ ہے؟ اگر پروسیسنگ رجسٹریشن کی حد سے تجاوز کرتی ہے، تو تصدیق کریں کہ NPC رجسٹریشن موجودہ ہے اور DPO نامزدگی فائل پر ہے۔
• کیا پہلی پرت میں واضح رد ہے؟ رد کرنے کا راستہ قبولیت کے ساتھ ایک ہی سطح پر بیٹھنا چاہیے، قابل موازنہ نمایاں ہونے کے ساتھ۔ اسکرول-بطور-رضامندی 2024 ایڈوائزری کو پورا نہیں کرتی۔
• کیا زمرہ جات تفصیلی ہیں؟ ضروری، تجزیاتی، اور مارکیٹنگ کو الگ الگ کنٹرول کیا جانا ضروری ہے۔
• کیا حساس معلومات خاص طور پر محفوظ ہے؟ کسی بھی کوکی کے لیے جو صحت، مالی، یا حکومتی شناختی ملتی جلتی ڈیٹا کیپچر کرتی ہے، عام مارکیٹنگ رضامندی سے الگ واضح آپٹ ان کی تصدیق کریں۔
• کیا سرحد پار منتقلی دستاویز ہے؟ ہر غیر فلپائنی منزل اور منتقلی کی اجازت دینے والی حفاظت کی شناخت کریں (معاہداتی دفعات، واضح رضامندی، یا استثناء)۔
• کیا رضامندی لاگنگ آڈٹ گریڈ ہے؟ Section 3(b) تقاضا کرتا ہے کہ رضامندی “تحریری، الیکٹرانک یا ریکارڈ کیے گئے ذرائع سے ثابت ہو” — لاگنگ اختیاری نہیں ہے۔

کثیر دائرہ اختیار اسٹیک میں فلپائن کہاں فٹ بیٹھتا ہے

فلپائن سنگاپور، تھائی لینڈ، اور انڈونیشیا کے ساتھ چار سب سے زیادہ آپریشنل طور پر اہم ASEAN ڈیٹا پروٹیکشن نظاموں میں سے ایک ہے۔ قانون کی 2012 کی تاریخ کا مطلب یہ ہے کہ یہ جی ڈی پی آر سے پہلے کا ہے، لیکن NPC کی سرکلر سے چلنے والی جدیدیت نے آپریشنل معیار کو یورپی اصولوں کے ساتھ مستقل طور پر ہم آہنگ کیا ہے۔ پین-ASEAN آپریشنز کی طرف تعمیر کرنے والے پبلشرز کے لیے، فلپائن دوسرے تین کے ساتھ ایک ایسی مارکیٹ کے طور پر کھڑا ہے جہاں یورپی معیارات پر تعمیر کردہ CMP آرکیٹیکچر دو مخصوص اضافے کے ساتھ زیادہ تر تعمیل کو سنبھالتا ہے: NPC رجسٹریشن جہاں حدیں لاگو ہوتی ہیں، اور حساس معلومات رضامندی کی پرت جو فلپائن کے فریم ورک کو ڈھیلے علاقائی متبادل سے ممتاز کرتی ہے۔ ریگولیٹری فریم ورک کی انگریزی زبان کی نوعیت — ASEAN میں غیر معمولی — فلپائن کو آف شور آپریٹرز کے لیے غیر معمولی طور پر قابل رسائی تعمیل ہدف بناتی ہے جن کے پاس مقامی قانونی مشیر نہیں ہے۔