GDPR Consent — جوہر، تقاضے اور رضامندی کا حصول

GDPR Consent کیا ہے؟

GDPR Consent ذاتی ڈیٹا کی پروسیسنگ کے لیے ایک قانونی بنیاد ہے، جو یورپی یونین کے جنرل ڈیٹا پروٹیکشن ریگولیشن کے آرٹیکل 4(11) اور آرٹیکل 7 میں بیان کی گئی ہے۔ یہ ضابطہ 25 مئی 2018 کو نافذ ہوا اور پرانی ہدایت 95/46/EC کی جگہ لے کر تمام EU رکن ممالک کے لیے یکساں ڈیٹا تحفظ کے معیارات قائم کیے۔

GDPR کے مطابق، رضامندی آزادانہ ہونی چاہیے — صارف کے پاس انکار کے منفی نتائج کے بغیر حقیقی انتخاب ہونا چاہیے۔ اگر رضامندی سے انکار کے نتیجے میں کسی ایسی سروس تک رسائی سے انکار کیا جاتا ہے جس کے لیے ڈیٹا پروسیسنگ کی ضرورت نہیں ہے، تو ایسی رضامندی مجبوری اور باطل سمجھی جاتی ہے۔ آرٹیکل 7(4) براہ راست بتاتا ہے کہ متعلقہ معاہدے کی شرائط معاہدے کی تکمیل کو اس ڈیٹا کی پروسیسنگ کی رضامندی حاصل کرنے پر مشروط نہیں کر سکتیں جو اس معاہدے کے لیے ضروری نہیں ہے۔

باخبر — دوسرا کلیدی عنصر: ڈیٹا کے موضوع کو سمجھنا چاہیے کہ کون سا مخصوص ڈیٹا جمع کیا جا رہا ہے، کس مقصد کے لیے، کون اسے پروسیس کرے گا اور یہ کتنی دیر تک محفوظ رہے گا۔ یورپی ڈیٹا پروٹیکشن بورڈ (EDPB) رہنما خطوط 05/2020 میں اس بات پر زور دیتا ہے کہ معلومات پیچیدہ قانونی الفاظ کے بغیر سادہ زبان میں فراہم کی جانی چاہئیں۔ عملی طور پر پتہ چلتا ہے کہ اگر پرائیویسی پالیسی میں مبہم یا عام الفاظ ہوں تو رضامندی باطل سمجھی جاتی ہے۔

غیر مبہم کا مطلب ہے کہ رضامندی ایک فعال عمل — خانے میں نشان لگانا، بٹن دبانا یا فارم پر دستخط کرنا — کے ذریعے ظاہر کی جانی چاہیے۔ بے عملی، خاموشی یا پہلے سے نشان زدہ خانے غیر مبہم ہونے کی ضرورت کو پورا نہیں کرتے۔ Planet49 GmbH مقدمے (C-673/17) میں، یورپی یونین کی عدالت انصاف نے تصدیق کی کہ رضامندی صارف کی بے عملی سے قیاس نہیں کی جا سکتی۔

GDPR کے تحت کون سا ڈیٹا آتا ہے

ذاتی ڈیٹا GDPR کے تحت کسی شناخت شدہ یا قابل شناخت قدرتی شخص سے متعلق کوئی بھی معلومات ہے۔ اس میں نہ صرف واضح شناخت کنندگان — نام، پتہ، ای میل، فون — بلکہ IP پتے، کوکی شناخت کنندگان، اشتہاری آلہ شناخت کنندگان (IDFA, GAID)، بائیو میٹرک ڈیٹا، جغرافیائی محل وقوع اور جینیاتی معلومات بھی شامل ہیں۔

GDPR کا آرٹیکل 9 ڈیٹا کے خصوصی زمروں کو اجاگر کرتا ہے جن کی پروسیسنگ واضح رضامندی کے بغیر ممنوع ہے: نسلی یا نسلی اصل، سیاسی آراء، مذہبی عقائد، ٹریڈ یونین کی رکنیت، جینیاتی اور بائیو میٹرک ڈیٹا، صحت کا ڈیٹا اور جنسی رجحان۔ ایسے زمروں کے لیے رضامندی کی سخت ترین شکل درکار ہے — علیحدہ، تفصیلی اور عام سیاق و سباق سے قیاس نہ کی گئی۔

GDPR Consent کب لازمی ہے

GDPR Consent اس وقت درکار ہے جب ڈیٹا پروسیسنگ دیگر قانونی بنیادوں — معاہدے کی ضرورت (آرٹیکل 6(1)(b))، جائز مفاد (آرٹیکل 6(1)(f)) یا قانونی ذمہ داری کی تعمیل (آرٹیکل 6(1)(c)) — پر مبنی نہ ہو سکے۔ عملی طور پر، رضامندی مارکیٹنگ مواصلات، اشتہاری مقاصد کے لیے ٹریکنگ، غیر لازمی ڈیٹا کے جمع کرنے اور سروس کے کام کرنے کے لیے سختی سے ضروری نہ ہونے والی کوکیز کے استعمال کے لیے ضروری ہے۔

IAPP-EY سالانہ گورننس رپورٹ (2024) کے مطابق، 67% کمپنیاں جہاں ممکن ہو جائز مفاد کی طرف منتقلی کے بڑھتے ہوئے رجحان کے باوجود، موبائل ایپلیکیشنز میں ڈیٹا پروسیسنگ کے لیے بنیادی قانونی بنیاد کے طور پر رضامندی کا استعمال کرتی ہیں۔ اس کی وجہ یہ ہے کہ رضامندی صارف کے ساتھ سب سے شفاف تعلق فراہم کرتی ہے، لیکن ساتھ ہی ریکارڈ رکھنے اور رضامندی کے انتظام پر سب سے بڑی ذمہ داریاں عائد کرتی ہے۔

رضامندی کے لیے GDPR کے بنیادی تقاضے

GDPR کا آرٹیکل 7 درست رضامندی کے لیے چھ شرائط قائم کرتا ہے، جن میں سے ہر ایک کو بیک وقت پورا کیا جانا چاہیے۔ کم از کم ایک شرط کی خلاف ورزی رضامندی کو باطل اور ڈیٹا پروسیسنگ کو غیر قانونی بنا دیتی ہے۔ آئیے EDPB رہنما خطوط اور فقہ کو مدنظر رکھتے ہوئے ہر شرط کا تفصیل سے جائزہ لیں۔

رضامندی کی آزادی کی خلاف ورزی اس وقت ہوتی ہے جب کنٹرولر اور ڈیٹا کے موضوع کے درمیان طاقت کا عدم توازن ہو۔ EDPB براہ راست بتاتا ہے کہ آجر ملازمین کی رضامندی پر بھروسہ نہیں کر سکتے کیونکہ ملازمت کے تعلقات میں انحصار ہوتا ہے۔ اسی طرح، سرکاری حکام عوامی خدمات فراہم کرتے وقت شہریوں سے رضامندی کا مطالبہ نہیں کر سکتے۔

تخصیص کے لیے ہر پروسیسنگ مقصد کے لیے علیحدہ رضامندی درکار ہے۔ اگر کوئی ایپلیکیشن تجزیہ، اشتہار کی ذاتی سازی اور سروس کی بہتری کے لیے ڈیٹا جمع کرتی ہے — تو ہر مقصد کے لیے علیحدہ خانہ درکار ہے۔ متعدد مقاصد کو ایک رضامندی میں یکجا کرنا تخصیص کی ضرورت کی خلاف ورزی کرتا ہے اور رضامندی کو باطل کر دیتا ہے۔

ثبوت سب سے زیادہ تکنیکی طور پر چیلنجنگ ضرورت ہے۔ آرٹیکل 7(1) براہ راست بتاتا ہے کہ کنٹرولر رضامندی حاصل کرنے کا ثبوت دینے کا بوجھ برداشت کرتا ہے۔ عملی طور پر، اس کا مطلب ہے صارف کے تمام اعمال کا نوشتہ رکھنا: کس نے، کب، کن مقاصد کے لیے رضامندی دی، پرائیویسی پالیسی کا کون سا ورژن دکھایا گیا اور صارف نے اسے کیسے واپس لیا۔

موبائل ایپلیکیشن میں رضامندی کا جمع کرنا کیسے نافذ کریں

موبائل ایپلیکیشن میں GDPR Consent کو نافذ کرنے کے لیے قانونی تقاضوں کو تکنیکی نفاذ کے ساتھ یکجا کرنے والی جامع حکمت عملی کی ضرورت ہے۔ اہم آلہ ایک رضامندی انتظامی پلیٹ فارم (CMP) ہے جو رضامندی کی زندگی کے دورانیے کا انتظام کرتا ہے: درخواست ظاہر کرنا، انتخاب ریکارڈ کرنا، ڈیٹا محفوظ کرنا اور اشتہاری اور تجزیاتی SDKs کے ساتھ ہم آہنگی کرنا۔

Google UMP SDK کا استعمال

Google Android اور iOS کے لیے User Messaging Platform (UMP) SDK فراہم کرتا ہے، جو AdMob، Google Analytics اور دیگر Google خدمات کے ساتھ ضم ہوتا ہے۔ UMP SDK صارف کے جغرافیائی محل وقوع اور GDPR تقاضوں کی بنیاد پر خود بخود رضامندی ظاہر کرنے کی ضرورت کا تعین کرتا ہے۔ آئیے Android کے لیے Kotlin میں انضمام دیکھتے ہیں:

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

رضامندی کا فارم لوڈ کرنے کے بعد، اسے صارف کو دکھایا جانا چاہیے۔ UMP SDK دو قسم کے فارموں کو سپورٹ کرتا ہے: ذاتی نوعیت کے اشتہار کے لیے رضامندی حاصل کرنے کے لیے اور بعد میں انتخاب کا انتظام کرنے کے لیے۔ نتیجہ کی کارروائی میں تمام ممکنہ نتائج کو مدنظر رکھنا چاہیے — صارف رضامندی دے سکتا ہے، انکار کر سکتا ہے یا بغیر انتخاب کیے فارم بند کر سکتا ہے۔

رضامندی کا ذخیرہ اور تصدیق

ثبوت کی ضرورت کو پورا کرنے کے لیے، نہ صرف رضامندی کی حقیقت بلکہ اس کے حصول کا سیاق و سباق بھی محفوظ کرنا ضروری ہے۔ ذخیرہ کرنے کے لیے کم از کم ڈیٹا سیٹ میں شامل ہے: صارف یا آلہ شناخت کنندہ، ٹائم زون کے ساتھ ٹائم اسٹیمپ، پرائیویسی پالیسی کا ورژن، مخصوص پروسیسنگ مقاصد اور استعمال کردہ رضامندی کا طریقہ کار۔

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

یورپی ڈیٹا پروٹیکشن بورڈ (EDPB) سفارشات 01/2023 میں اس بات پر زور دیتا ہے کہ رضامندی کے ریکارڈ پورے ڈیٹا پروسیسنگ کی مدت اور اس کے ختم ہونے کے تین سال بعد تک رکھے جانے چاہئیں۔ موبائل ایپلیکیشنز کے لیے، اس کا مطلب ہے ریکارڈ کا سرور سائیڈ ذخیرہ، نہ کہ صرف مقامی ذخیرہ، کیونکہ صارف ایپلیکیشن دوبارہ انسٹال کر سکتا ہے یا آلہ تبدیل کر سکتا ہے۔

GDPR دیگر پرائیویسی ریگولیٹرز سے کیسے مختلف ہے

GDPR دنیا کا واحد پرائیویسی ریگولیٹر نہیں ہے، لیکن یہ بہت سے قومی ڈیٹا تحفظ قوانین کے لیے ایک نمونہ بن گیا ہے۔ مختلف دائرہ اختیار کے صارفین کے ساتھ کام کرنے والی بین الاقوامی ایپلیکیشنز کے ڈویلپرز کے لیے GDPR اور دیگر ریگولیٹرز کے درمیان فرق کو سمجھنا انتہائی اہم ہے۔

CCPA (کیلیفورنیا کنزیومر پرائیویسی ایکٹ) GDPR سے بنیادی طور پر مختلف ہے: یہ آپٹ ان کے بجائے آپٹ آؤٹ ماڈل پر کام کرتا ہے۔ CCPA کے تحت، کمپنیاں صارف کو اپنے ڈیٹا کی فروخت سے انکار کرنے کا حق فراہم کرنے کی پابند ہیں، لیکن جمع کرنے کے لیے پہلے سے رضامندی حاصل کرنے کی پابند نہیں ہیں۔ تاہم، 2023 میں CPRA (کیلیفورنیا پرائیویسی رائٹس ایکٹ) کو اپنانے کے ساتھ، حساس ڈیٹا کے لیے رضامندی کے تقاضے GDPR کے قریب آ گئے ہیں۔

ePrivacy ہدایت (الیکٹرانک مواصلات میں پرائیویسی سے متعلق ہدایت) کوکیز اور الیکٹرانک مارکیٹنگ کے سلسلے میں GDPR کی تکمیل کرتی ہے۔ GDPR کے برعکس، جو تمام ذاتی ڈیٹا کو ریگولیٹ کرتا ہے، ePrivacy مواصلاتی ڈیٹا پر توجہ مرکوز کرتی ہے۔ غیر ضروری کوکیز کے لیے رضامندی حاصل کرنے کی ضرورت خاص طور پر ePrivacy سے پیدا ہوتی ہے، GDPR سے نہیں، اگرچہ رضامندی کا طریقہ کار ایک ہی ہے۔

برازیل کا LGPD معمولی تبدیلیوں کے ساتھ GDPR کے ڈھانچے کو تقریباً مکمل طور پر نقل کرتا ہے: رضامندی کی عمر 18 سال کر دی گئی ہے اور متوفی افراد کے ڈیٹا کی پروسیسنگ کے لیے وارثوں کی رضامندی درکار ہے۔ چین کا PIPL، اس کے برعکس، سخت تر تقاضے متعارف کراتا ہے: لازمی ڈیٹا لوکلائزیشن، تمام خودکار فیصلوں کے لیے ڈیٹا پروٹیکشن امپیکٹ اسسمنٹ (DPIA) اور سرحد پار ڈیٹا منتقلی کی اطلاع۔

GDPR Consent کے نفاذ میں عام غلطیاں

2018-2024 کے لیے یورپی نگران حکام کے جرمانوں اور احکامات کے تجزیے سے رضامندی کے نفاذ میں بار بار ہونے والی خلاف ورزیوں کا پتہ چلتا ہے۔ Enforcement Tracker (CMS Law, 2024) کے مطابق، تمام GDPR جرمانوں میں سے 40% سے زیادہ غلط رضامندی حاصل کرنے اور انتظام سے متعلق ہیں۔ آئیے سب سے عام غلطیوں کا جائزہ لیتے ہیں۔

پہلے سے نشان زدہ خانے اور غیر فعال رضامندی

سب سے عام غلطی رضامندی حاصل کرنے کے لیے پہلے سے نشان زدہ خانوں کا استعمال ہے۔ Planet49 GmbH (C-673/17) کے مقدمے میں EU کی عدالت انصاف کے فیصلے نے واضح طور پر قائم کیا کہ رضامندی صارف کی بے عملی سے قیاس نہیں کی جا سکتی۔ اس کے باوجود، بہت سی ایپلیکیشنز پہلے سے منتخب کردہ اختیارات کا استعمال جاری رکھتی ہیں، خاص طور پر کوکی بینرز کے لیے، جس کے نتیجے میں براہ راست جرمانے اور احکامات ہوتے ہیں۔

2024 میں، فرانسیسی قومی کمیشن برائے انفارمیٹکس اور آزادی (CNIL) نے پہلے سے نشان زدہ خانوں اور ناکافی شفاف صارف معلومات کے استعمال پر ایک بڑی RTB اشتہاری ہولڈنگ کمپنی کو 250 ملین یورو جرمانہ کیا۔ یہ رضامندی سے متعلق سب سے بڑا جرمانہ ہے، جو ریگولیٹرز کے لیے رضامندی کے کنٹرول کی ترجیح کو ظاہر کرتا ہے۔

ایک رضامندی میں مقاصد کا یکجا کرنا

بہت سی ایپلیکیشنز تمام اقسام کی پروسیسنگ — تجزیہ، ذاتی سازی، اشتہار بازی، تیسرے فریق کو منتقلی — کے لیے ایک عام رضامندی کی درخواست کرتی ہیں۔ یہ براہ راست تخصیص (مقصد کی حد) کی ضرورت کی خلاف ورزی کرتا ہے۔ EDPB رہنما خطوط 05/2020 میں زور دیتا ہے: اگر ایک مقصد دوسرے کے بغیر حاصل کیا جا سکتا ہے، تو صارف کو ہر مقصد کے لیے علیحدہ رضامندی دینے کے قابل ہونا چاہیے۔

آئرش ڈیٹا پروٹیکشن کمیشن (DPC) نے Meta Platforms Ireland (2023) سے متعلق اپنے فیصلے میں کہا کہ اشتہار کی ذاتی سازی اور سروس کی بہتری کو ایک رضامندی میں یکجا کرنا خلاف ورزی ہے۔ Meta کو Facebook اور Instagram میں مختلف پروسیسنگ مقاصد کے لیے علیحدہ رضامندی کے طریقہ کار نافذ کرنے کا حکم دیا گیا۔

رضامندی کی واپسی مشکل یا ناممکن

GDPR کا تقاضا ہے کہ رضامندی کی واپسی رضامندی دینے جتنی آسان ہو۔ اگر صارف نے ایک بٹن کلک سے رضامندی دی ہے، تو واپسی کے لیے فارم بھرنا، ای میل بھیجنا یا سپورٹ کو کال کرنا ضروری نہیں ہو سکتا۔ عملی طور پر، بہت سی ایپلیکیشنز واپسی کے طریقہ کار کو سیٹنگز میں گہرائی میں چھپا دیتی ہیں یا اسے مکمل کرنے کے لیے متعدد مراحل درکار ہوتے ہیں۔

تجویز کردہ عمل — ایپلیکیشن سیٹنگز میں ایک علیحدہ رضامندی انتظامی اسکرین شامل کرنا جس میں ایک ٹوگل سے ہر رضامندی کو علیحدہ واپس لینے کی صلاحیت ہو۔ Google کا UMP SDK رضامندی کے فارم کو دوبارہ ظاہر کرنے کے لیے ایک بلٹ ان طریقہ کار فراہم کرتا ہے، جسے صارف ایپلیکیشن سیٹنگز سے کسی بھی وقت لا سکتا ہے۔

رضامندی حاصل کرنے کے ثبوت کا فقدان

بہت سے ڈویلپر زبانی رضامندی پر بھروسہ کرتے ہیں یا رضامندی حاصل کرنے کے ریکارڈ نہیں رکھتے۔ یہ GDPR کے آرٹیکل 5(2) کے تحت ثبوت (جوابدہی) کی ضرورت کو پورا کرنا ناممکن بنا دیتا ہے۔ معائنے کے دوران، نگران اتھارٹی نہ صرف پرائیویسی پالیسی بلکہ پوری ڈیٹا پروسیسنگ کی مدت کے لیے حاصل کردہ رضامندیوں کے نوشتہ جات کی بھی درخواست کرے گی۔

حل تمام واقعات — فارم ڈسپلے، صارف کا انتخاب، دستاویز کا ورژن، ٹائم اسٹیمپ — کی خودکار لاگنگ کے ساتھ رضامندی انتظامی پلیٹ فارم (CMP) کا استعمال ہے۔ موبائل ایپلیکیشنز کے لیے مشہور CMPs میں Usercentrics، OneTrust اور ConsentManager شامل ہیں — یہ سب خودکار رضامندی آڈٹ ریکارڈنگ کو سپورٹ کرتے ہیں۔