جنرل ڈیٹا پروٹیکشن ریگولیشن (GDPR) کا آپ کی کمپنی کے لیے کیا مطلب ہے۔
4 ستمبر 2023 کو اپ ڈیٹ ہوا۔
آج کل پرائیویسی ایک بہت بڑی بات ہے، خاص طور پر جب سے دنیا بھر میں بڑے پیمانے پر ڈیجیٹلائزیشن ہوا ہے۔ ہمارے ڈیٹا کو جس طریقے سے ہینڈل کیا جاتا ہے اس کی نگرانی اور ریگولیٹ کرنے کی ضرورت ہے تاکہ بعض افراد کو اس کا غلط استعمال یا چوری کرنے سے روکا جا سکے۔ کیا آپ جانتے ہیں کہ رازداری ایک انسانی حق بھی ہے؟ ذاتی ڈیٹا انتہائی حساس اور غلط استعمال کا خطرہ ہے۔ لہذا، زیادہ تر ممالک نے قانون سازی کی ہے جو (ذاتی) ڈیٹا کے استعمال اور پروسیسنگ کو سختی سے کنٹرول کرتی ہے۔ قومی قوانین کے آگے، ایسے بڑے ضابطے بھی ہیں جو قومی قانون سازی کو متاثر کرتے ہیں۔ مثال کے طور پر یورپی یونین (EU) نے جنرل ڈیٹا پروٹیکشن ریگولیشن (GDPR) کو نافذ کیا۔ یہ ضابطہ مئی 2018 میں نافذ ہوا، اور کسی بھی تنظیم پر لاگو ہوتا ہے جو EU مارکیٹ میں سامان یا خدمات پیش کرتی ہے۔ GDPR لاگو ہوتا ہے یہاں تک کہ اگر آپ کی کمپنی EU میں مقیم نہیں ہے، لیکن اس کے ساتھ ساتھ EU کے گاہک بھی ہیں۔ اس سے پہلے کہ ہم GDPR ضابطے اور اس کے تقاضوں کی تفصیلات میں جائیں، آئیے پہلے یہ واضح کریں کہ GDPR کا مقصد کیا حاصل کرنا ہے اور یہ آپ کے لیے بطور کاروباری کیوں اہم ہے۔ اس مضمون میں، ہم اس طرح وضاحت کریں گے کہ GDPR کیا ہے، آپ کو اس کی تعمیل کرنے کے لیے مناسب اقدامات کیوں کرنے چاہئیں، اور یہ سب سے زیادہ مؤثر طریقے سے کیسے کیا جائے۔
جی ڈی پی آر بالکل کیا ہے؟
GDPR EU کا ایک ضابطہ ہے جو قدرتی شہریوں کے ذاتی ڈیٹا کے تحفظ کا احاطہ کرتا ہے۔ اس لیے اس کا مقصد صرف ذاتی ڈیٹا کا تحفظ ہے نہ کہ پیشہ ورانہ ڈیٹا یا کمپنیوں کے ڈیٹا کا۔ EU کی سرکاری ویب سائٹ پر، اس کی وضاحت اس طرح کی گئی ہے:
"ذاتی ڈیٹا کی پروسیسنگ اور اس طرح کے ڈیٹا کی آزادانہ نقل و حرکت کے حوالے سے قدرتی افراد کے تحفظ پر ضابطہ (EU) 2016/679۔ اس ضابطے کا درست متن 23 مئی 2018 کو یوروپی یونین کے آفیشل جرنل میں شائع ہوا تھا۔ GDPR ڈیجیٹل دور میں شہریوں کے بنیادی حقوق کو مضبوط کرتا ہے اور ڈیجیٹل سنگل مارکیٹ میں کاروبار کے اصولوں کو واضح کرکے تجارت کو فروغ دیتا ہے۔ اصولوں کے اس مشترکہ سیٹ نے مختلف قومی نظاموں کی وجہ سے ہونے والی تقسیم کو ختم کر دیا ہے اور سرخ فیتے سے گریز کیا ہے۔ یہ ضابطہ 24 مئی 2016 کو نافذ ہوا اور 25 مئی 2018 سے نافذ العمل ہے۔ کمپنیوں اور افراد کے لیے مزید معلومات.ہے [1]"
یہ بنیادی طور پر اس بات کو یقینی بنانے کا ایک ذریعہ ہے کہ ذاتی ڈیٹا کو کمپنیوں کے ذریعہ محفوظ طریقے سے ہینڈل کیا جاتا ہے جنہیں ان کی پیش کردہ اشیاء یا خدمات کی نوعیت کی وجہ سے ڈیٹا کو ہینڈل کرنے کی ضرورت ہوتی ہے۔ مثال کے طور پر، اگر آپ EU کے شہری کے طور پر کسی ویب سائٹ پر پروڈکٹ کا آرڈر دیتے ہیں، تو آپ کا ڈیٹا اس ضابطے کے ذریعے محفوظ ہے کیونکہ آپ EU میں مقیم ہیں۔ جیسا کہ ہم نے پہلے مختصراً وضاحت کی ہے، اس ضابطے کے دائرہ کار میں آنے کے لیے کمپنی کو خود EU کے کسی ملک میں قائم ہونے کی ضرورت نہیں ہے۔ ہر وہ کمپنی جو EU کے صارفین کے ساتھ معاملات کرتی ہے اسے GDPR پر عمل کرنے کی ضرورت ہے، اس بات کو یقینی بناتے ہوئے کہ EU کے تمام شہریوں کا ذاتی ڈیٹا محفوظ اور محفوظ ہے۔ اس طرح، آپ یقین دہانی کر سکتے ہیں کہ کوئی بھی کمپنی آپ کے ڈیٹا کو خاص طور پر بیان کردہ اور بیان کردہ مقاصد کے علاوہ استعمال نہیں کرے گی۔
جی ڈی پی آر کا خاص مقصد کیا ہے؟
جی ڈی پی آر کا بنیادی مقصد ذاتی ڈیٹا کا تحفظ ہے۔ جی ڈی پی آر ریگولیشن چاہتا ہے کہ تمام بڑی اور چھوٹی تنظیمیں، بشمول آپ کے، اپنے استعمال کردہ ذاتی ڈیٹا کے بارے میں سوچیں اور اس کے بارے میں بہت سوچ سمجھ کر اور غور کریں کہ وہ اسے کیوں اور کیسے استعمال کرتے ہیں۔ بنیادی طور پر، جی ڈی پی آر چاہتا ہے کہ جب ان کے گاہکوں، عملے، سپلائرز، اور دوسری پارٹیوں کے ذاتی ڈیٹا کی بات آتی ہے جن کے ساتھ وہ کاروبار کرتے ہیں تو کاروباری افراد زیادہ باخبر رہیں۔ دوسرے لفظوں میں، GDPR ضابطہ ان تنظیموں کو ختم کرنا چاہتا ہے جو صرف افراد کے بارے میں ڈیٹا اکٹھا کرتی ہیں کیونکہ وہ بغیر کسی وجہ کے قابل ہیں۔ یا اس لیے کہ انہیں یقین ہے کہ وہ کسی نہ کسی طرح اس سے فائدہ اٹھا سکتے ہیں اب یا مستقبل میں، زیادہ توجہ کے بغیر اور آپ کو بتائے بغیر۔ جیسا کہ آپ نیچے دی گئی معلومات میں دیکھیں گے، جی ڈی پی آر درحقیقت زیادہ منع نہیں کرتا۔ آپ اب بھی ای میل مارکیٹنگ میں حصہ لے سکتے ہیں، آپ اب بھی اشتہار دے سکتے ہیں، اور آپ اب بھی صارفین کے ذاتی ڈیٹا کو فروخت اور استعمال کر سکتے ہیں، جب تک کہ آپ شفافیت فراہم کرتے ہیں کہ آپ افراد کی رازداری کا احترام کیسے کرتے ہیں۔ ضابطہ آپ کے ڈیٹا کے استعمال کے طریقے کے بارے میں کافی معلومات فراہم کرنے کے بارے میں زیادہ ہے، تاکہ آپ کے صارفین اور دیگر فریقین کو آپ کے مخصوص اہداف اور اعمال کے بارے میں آگاہ کیا جائے۔ اس طرح، ہر فرد آپ کو کم از کم باخبر رضامندی کی بنیاد پر اپنا ڈیٹا فراہم کر سکتا ہے۔ یہ کہنا کافی ہے کہ آپ کو وہی کرنا ہوگا جیسا آپ کہتے ہیں اور ڈیٹا کو آپ کے کہے ہوئے مقاصد کے علاوہ استعمال نہیں کرنا ہوگا، کیونکہ اس کے نتیجے میں بہت بھاری جرمانے اور دیگر نتائج برآمد ہوسکتے ہیں۔
وہ کاروباری جن پر GDPR لاگو ہوتا ہے۔
آپ اپنے آپ سے پوچھ سکتے ہیں، "کیا جی ڈی پی آر میری کمپنی پر بھی لاگو ہوتا ہے؟" اس کا جواب کافی آسان ہے: اگر آپ کے پاس EU کے افراد کے ساتھ کسٹمر بیس یا عملے کی انتظامیہ ہے، تو آپ ذاتی ڈیٹا پر کارروائی کرتے ہیں۔ اور اگر آپ ذاتی ڈیٹا پر کارروائی کرتے ہیں، تو آپ کو جنرل ڈیٹا پروٹیکشن ریگولیشن (GDPR) کی تعمیل کرنی ہوگی۔ قانون اس بات کا تعین کرتا ہے کہ آپ ذاتی ڈیٹا کے ساتھ کیا کر سکتے ہیں اور آپ کو اس کی حفاظت کیسے کرنی چاہیے۔ اس لیے یہ آپ کی تنظیم کے لیے ہمیشہ اہم ہوتا ہے، کیونکہ EU افراد کے ساتھ کام کرنے والی تمام کمپنیوں کے لیے GDPR ضابطے کی تعمیل کرنا لازمی ہے۔ ہمارے تمام پیشہ ورانہ اور ذاتی تعاملات تیزی سے ڈیجیٹل ہوتے جا رہے ہیں، اس لیے افراد کی رازداری پر غور کرنا ہی صحیح کام ہے۔ صارفین اپنے پیارے اسٹورز سے توقع کرتے ہیں کہ وہ ذاتی ڈیٹا کو احتیاط کے ساتھ سنبھالیں گے، اس لیے جی ڈی پی آر کے حوالے سے آپ کے اپنے ذاتی ضوابط کو ترتیب دینا ایک ایسی چیز ہے جس پر آپ کو فخر ہو سکتا ہے۔ اور، ایک اضافی بونس کے طور پر، آپ کے صارفین اسے پسند کریں گے۔
جب آپ ذاتی ڈیٹا کو ہینڈل کرتے ہیں، GDPR کے مطابق، آپ تقریباً ہمیشہ اس ڈیٹا پر بھی کارروائی کر رہے ہوتے ہیں۔ ڈیٹا کو جمع کرنے، ذخیرہ کرنے، ترمیم کرنے، اضافی کرنے یا آگے بھیجنے کے بارے میں سوچئے۔ یہاں تک کہ اگر آپ گمنام طور پر ڈیٹا بناتے یا حذف کرتے ہیں، تو بھی آپ اس پر کارروائی کر رہے ہیں۔ ڈیٹا ذاتی ڈیٹا ہوتا ہے اگر یہ لوگوں سے متعلق ہے جسے آپ دوسرے تمام لوگوں سے ممتاز کر سکتے ہیں۔ یہ ایک شناخت شدہ شخص کی تعریف ہے، جس پر ہم بعد میں اس مضمون میں تفصیل سے بات کریں گے۔ مثال کے طور پر، آپ نے کسی شخص کی شناخت کی ہے اگر آپ اس کا پہلا نام اور آخری نام جانتے ہیں، اور یہ ڈیٹا ان کے سرکاری طور پر جاری کردہ شناخت کے ذرائع کے ڈیٹا سے بھی میل کھاتا ہے۔ اس عمل میں شامل ایک فرد کے طور پر، آپ کا ذاتی ڈیٹا پر کنٹرول ہے جو آپ تنظیموں کو فراہم کرتے ہیں۔ سب سے پہلے، GDPR آپ کو اس مخصوص ذاتی ڈیٹا کے بارے میں مطلع کرنے کا حق دیتا ہے جسے تنظیمیں استعمال کرتی ہیں اور کیوں۔ ساتھ ہی، آپ کو اس بارے میں مطلع کرنے کا حق ہے کہ یہ تنظیمیں آپ کی رازداری کی ضمانت کیسے دیتی ہیں۔ اس کے علاوہ، آپ اپنے ڈیٹا کے استعمال پر اعتراض کر سکتے ہیں، تنظیم سے آپ کے ڈیٹا کو حذف کرنے کی درخواست کر سکتے ہیں، یا یہ بھی درخواست کر سکتے ہیں کہ آپ کا ڈیٹا مسابقتی سروس میں منتقل کر دیا جائے۔ہے [2] لہذا، جوہر میں، وہ فرد جس کا ڈیٹا ہے وہ منتخب کرتا ہے کہ آپ ڈیٹا کے ساتھ کیا کرتے ہیں۔ یہی وجہ ہے کہ آپ کو ایک تنظیم کے طور پر اپنے حاصل کردہ ذاتی ڈیٹا کے درست استعمال کے حوالے سے فراہم کردہ معلومات کے ساتھ محتاط رہنے کی ضرورت ہے، کیونکہ ڈیٹا جس فرد سے تعلق رکھتا ہے اس کے ڈیٹا پر کارروائی کرنے کی وجوہات کے بارے میں مطلع کرنے کی ضرورت ہے۔ اس کے بعد ہی ایک فرد یہ فیصلہ کر سکتا ہے کہ آیا آپ ڈیٹا کا صحیح استعمال کر رہے ہیں۔
کون سا ڈیٹا بالکل شامل ہے؟
ذاتی ڈیٹا جی ڈی پی آر میں سب سے اہم کردار ادا کرتا ہے۔ افراد کی رازداری کا تحفظ نقطہ آغاز ہے۔ اگر ہم GDPR کے رہنما خطوط کو غور سے پڑھیں تو ہم ڈیٹا کو تین اقسام میں تقسیم کر سکتے ہیں۔ پہلی قسم خاص طور پر ذاتی ڈیٹا کے بارے میں ہے۔ اسے شناخت شدہ یا قابل شناخت قدرتی شخص کے بارے میں تمام معلومات کے طور پر درجہ بندی کیا جا سکتا ہے۔ مثال کے طور پر، اس کے نام اور پتے کی تفصیلات، ای میل ایڈریس، آئی پی ایڈریس، تاریخ پیدائش، موجودہ مقام، بلکہ ڈیوائس آئی ڈی بھی۔ یہ ذاتی ڈیٹا وہ تمام معلومات ہے جس کے ذریعے کسی قدرتی شخص کی شناخت کی جا سکتی ہے۔ نوٹ کریں کہ اس تصور کی بہت وسیع تشریح کی گئی ہے۔ یہ یقینی طور پر کنیت، پہلا نام، تاریخ پیدائش، یا پتہ تک محدود نہیں ہے۔ کچھ ڈیٹا - جس کا پہلی نظر میں ذاتی ڈیٹا سے کوئی تعلق نہیں ہے - پھر بھی کچھ معلومات شامل کرکے GDPR کے تحت آ سکتا ہے۔ لہذا یہ عام طور پر قبول کیا جاتا ہے کہ حتیٰ کہ (متحرک) آئی پی ایڈریسز، منفرد نمبروں کے مجموعے جن کے ساتھ کمپیوٹر انٹرنیٹ پر ایک دوسرے کے ساتھ بات چیت کرتے ہیں، کو ذاتی ڈیٹا کے طور پر شمار کیا جا سکتا ہے۔ یقیناً اس پر ہر مخصوص کیس کے لیے خاص طور پر غور کیا جانا چاہیے، لیکن آپ جس ڈیٹا پر کارروائی کرتے ہیں اس پر غور کریں۔
دوسرا زمرہ نام نہاد سیوڈو گمنام ڈیٹا کے بارے میں ہے: ذاتی ڈیٹا کو اس طرح پروسیس کیا جاتا ہے کہ اضافی معلومات کے استعمال کے بغیر ڈیٹا کو مزید ٹریس نہیں کیا جا سکتا، لیکن پھر بھی کسی شخص کو منفرد بناتا ہے۔ مثال کے طور پر، ایک خفیہ کردہ ای میل ایڈریس، صارف ID، یا کسٹمر نمبر جو صرف ایک اچھی طرح سے محفوظ اندرونی ڈیٹا بیس کے ذریعے دوسرے ڈیٹا سے منسلک ہے۔ یہ بھی GDPR کے دائرہ کار میں آتا ہے۔ تیسری قسم مکمل طور پر گمنام ڈیٹا پر مشتمل ہے: وہ ڈیٹا جہاں تمام ذاتی ڈیٹا جو ٹریس بیک کی اجازت دیتا ہے حذف کر دیا گیا ہے۔ عملی طور پر، یہ ثابت کرنا اکثر مشکل ہوتا ہے، جب تک کہ ذاتی ڈیٹا کو پہلی جگہ تلاش کرنے کے قابل نہ ہو۔ اس لیے یہ GDPR کے دائرہ کار سے باہر ہے۔
قابل شناخت شخص کے طور پر کون اہل ہے؟
کبھی کبھی یہ وضاحت کرنا قدرے مشکل ہو سکتا ہے کہ 'قابل شناخت شخص' کے دائرہ کار میں کون آتا ہے۔ خاص طور پر چونکہ انٹرنیٹ پر بہت سے جعلی پروفائلز ہیں، جیسے کہ جعلی سوشل میڈیا اکاؤنٹس والے لوگ۔ عام طور پر، آپ فرض کر سکتے ہیں کہ کوئی شخص قابل شناخت ہے جب آپ بہت زیادہ کوشش کیے بغیر ان کے ذاتی ڈیٹا کو ٹریس کر سکتے ہیں۔ مثال کے طور پر، کسٹمر نمبرز کے بارے میں سوچیں جنہیں آپ اکاؤنٹ کے ڈیٹا سے لنک کر سکتے ہیں۔ یا ایک فون نمبر جسے آپ آسانی سے ٹریس کر سکتے ہیں، اور اس طرح یہ معلوم کر سکتے ہیں کہ یہ کس کا ہے۔ یہ سب ذاتی ڈیٹا ہے۔ اگر آپ کو کسی کی شناخت کرنے میں دشواری محسوس ہوتی ہے، تو اس کے لیے تھوڑی اور تحقیق کرنا ضروری ہے۔ آپ اس شخص سے شناخت کی ایک درست شکل مانگ سکتے ہیں، صرف اس بات کا یقین کرنے کے لیے کہ آپ جانتے ہیں کہ آپ کس کے ساتھ معاملہ کر رہے ہیں۔ آپ کسی کی شناخت کے بارے میں معلومات حاصل کرنے کے لیے تصدیق شدہ ڈیٹا بیس میں بھی دیکھ سکتے ہیں، جیسے کہ ڈیجیٹل ٹیلی فون بک (جو حقیقت میں اب بھی موجود ہے)۔ اگر آپ کو یقین نہیں ہے کہ آیا کوئی گاہک یا دوسرا فریق ثالث قابل شناخت ہے، تو اس صارف سے رابطہ کرنے کی کوشش کریں اور ذاتی ڈیٹا طلب کریں۔ اگر وہ شخص آپ کے سوال کا جواب نہیں دیتا ہے، تو عام طور پر بہتر ہے کہ آپ کے پاس موجود تمام ڈیٹا کو حذف کر دیں اور آپ کو فراہم کردہ معلومات کو ضائع کر دیں۔ امکانات ہیں، کوئی جعلی شناخت استعمال کر رہا ہے۔ GDPR کا مقصد افراد کی حفاظت کرنا ہے، لیکن آپ کو بطور کمپنی اپنے آپ کو دھوکہ دہی سے بچانے کے لیے مناسب اقدامات کرنے کی ضرورت ہے۔ بدقسمتی سے، لوگ جعلی شناخت استعمال کرنے کے قابل ہیں، اس لیے لوگوں کی فراہم کردہ معلومات کے بارے میں چوکنا رہنا ضروری ہے۔ جب کوئی کسی اور کی شناخت کا استعمال کرتا ہے، تو اس سے بطور کمپنی آپ کے لیے سنگین اثرات مرتب ہو سکتے ہیں۔ ہر وقت مستعدی کا مشورہ دیا جاتا ہے۔
فریق ثالث کا ڈیٹا استعمال کرنے کی جائز وجوہات
جی ڈی پی آر کا ایک اہم جزو یہ اصول ہے کہ آپ کو صرف تیسرے فریق کا ڈیٹا مخصوص اور جائز مقاصد کے لیے استعمال کرنا چاہیے۔ ڈیٹا کو کم سے کم کرنے کی ضرورت کو مدنظر رکھتے ہوئے، GDPR تجویز کرتا ہے کہ آپ ذاتی ڈیٹا کو صرف بیان کردہ اور دستاویزی کاروباری مقصد کے لیے استعمال کر سکتے ہیں، جس کی مدد چھ دستیاب GDPR قانونی اڈوں میں سے ایک ہے۔ دوسرے الفاظ میں، آپ کے ذاتی ڈیٹا کا استعمال ایک بیان کردہ مقصد اور قانونی بنیادوں تک محدود ہے۔ آپ کے ذاتی ڈیٹا کی کوئی بھی پروسیسنگ اس کے مقصد اور قانونی بنیاد کے ساتھ GDPR رجسٹر میں درج ہونی چاہیے۔ یہ دستاویز آپ کو پروسیسنگ کی ہر سرگرمی کے بارے میں سوچنے اور اس کے مقصد اور قانونی بنیاد پر غور کرنے پر مجبور کرتی ہے۔ GDPR چھ قانونی بنیادوں کو قابل بناتا ہے، جن کا ہم ذیل میں خاکہ پیش کریں گے۔
- معاہدہ کی ذمہ داریاں: معاہدہ کرتے وقت، ذاتی ڈیٹا پر کارروائی ہونی چاہیے۔ کسی معاہدے پر عمل کرتے وقت ذاتی ڈیٹا بھی استعمال کیا جا سکتا ہے۔
- رضامندی: صارف اپنے ذاتی ڈیٹا کے استعمال یا کوکیز رکھنے کی واضح اجازت دیتا ہے۔
- جائز مفاد: کنٹرولر یا تیسرے فریق کے جائز مفادات کے مقاصد کے لیے ذاتی ڈیٹا پر کارروائی ضروری ہے۔ اس معاملے میں توازن اہم ہے، اس سے ڈیٹا کے موضوع کی ذاتی آزادیوں کی خلاف ورزی نہیں ہونی چاہیے۔
- اہم دلچسپیاں: جب زندگی یا موت کے حالات پیدا ہوتے ہیں تو ڈیٹا پر کارروائی کی جا سکتی ہے۔
- قانونی ذمہ داریاں: ذاتی ڈیٹا پر قانون کے مطابق کارروائی کی جانی چاہیے۔
- عوامی مفادات: اس کا تعلق بنیادی طور پر حکومتوں اور مقامی حکام سے ہوتا ہے، جیسے امن عامہ اور حفاظت سے متعلق خطرات اور عام طور پر عوام کا تحفظ۔
یہ وہ قانونی بنیادیں ہیں جو آپ کو ذاتی ڈیٹا کو ذخیرہ کرنے اور اس پر کارروائی کرنے کی اجازت دیتی ہیں۔ اکثر اوقات، ان میں سے کچھ وجوہات اوور لیپ ہو سکتی ہیں۔ یہ عام طور پر کوئی مسئلہ نہیں ہے، جب تک کہ آپ وضاحت اور ثابت کر سکتے ہیں کہ اصل میں قانونی بنیاد موجود ہے۔ جب آپ کے پاس ذاتی ڈیٹا کی اسٹوریج اور پروسیسنگ کے لیے قانونی بنیاد نہیں ہے، تو آپ کو پریشانی ہو سکتی ہے۔ ذہن میں رکھیں کہ GDPR میں افراد کی رازداری کا تحفظ ہوتا ہے، اس لیے اس کی وجہ صرف محدود قانونی بنیادیں ہیں۔ جانیں اور ان کا اطلاق کریں، اور آپ کو ایک تنظیم یا کمپنی کے طور پر محفوظ رہنا چاہیے۔
ڈیٹا جس پر GDPR لاگو ہوتا ہے۔
GDPR، اس کے بنیادی طور پر، ڈیٹا کی پروسیسنگ پر لاگو ہوتا ہے جو یا تو مکمل یا کم از کم جزوی طور پر خودکار ہے۔ اس میں ڈیٹا بیس یا کمپیوٹر کے ذریعے ڈیٹا پروسیسنگ شامل ہے، مثال کے طور پر۔ لیکن یہ ذاتی ڈیٹا پر بھی لاگو ہوتا ہے جو کسی فزیکل فائل میں شامل ہوتا ہے، جیسے کہ آرکائیو میں محفوظ فائلیں۔ لیکن ان فائلوں کا اس لحاظ سے کافی ہونا ضروری ہے کہ اس میں شامل ڈیٹا کسی آرڈر، فائل یا کاروباری ڈیلنگ سے منسلک ہے۔ اگر آپ کے پاس ہاتھ سے لکھا ہوا نوٹ ہے جس پر صرف نام ہے، تو یہ GDPR کے تحت ڈیٹا کے طور پر اہل نہیں ہے۔ یہ ہاتھ سے لکھا ہوا نوٹ کسی ایسے شخص کا ہو سکتا ہے جو آپ میں دلچسپی رکھتا ہو یا بصورت دیگر ذاتی نوعیت کا ہو۔ کمپنیوں کے ذریعہ ڈیٹا پر کارروائی کرنے کے کچھ عام طریقوں میں آرڈر مینجمنٹ، کسٹمر ڈیٹا بیس، سپلائر ڈیٹا بیس، اسٹاف ایڈمنسٹریشن، اور یقیناً براہ راست مارکیٹنگ، جیسے نیوز لیٹر اور براہ راست میلنگ شامل ہیں۔ وہ شخص جس کے ذاتی ڈیٹا پر آپ کارروائی کرتے ہیں اسے "ڈیٹا سبجیکٹ" کہا جاتا ہے۔ یہ گاہک، نیوز لیٹر سبسکرائبر، ملازم، یا رابطہ شخص ہو سکتا ہے۔ کمپنیوں سے متعلق ڈیٹا کو ذاتی ڈیٹا کے طور پر نہیں دیکھا جاتا ہے، جب کہ واحد ملکیت یا خود ملازم افراد کا ڈیٹا ہوتا ہے۔ہے [3]
آن لائن مارکیٹنگ سے متعلق قواعد
جب آن لائن مارکیٹنگ کی بات آتی ہے تو GDPR کا ایک اہم اثر ہوتا ہے۔ کچھ بنیادی اصول ہیں جن کی آپ کو تعمیل کرنے کی ضرورت ہوگی، جیسے ای میل مارکیٹنگ کے معاملے میں ہمیشہ آپٹ آؤٹ کا اختیار پیش کرنا۔ اس کے علاوہ، ایک ٹینڈر کنندہ کو اپنی ترجیحات کی نشاندہی اور ایڈجسٹ کرنے کے قابل بھی ہونا چاہیے۔ اس کا مطلب ہے کہ آپ کو ای میلز کو ایڈجسٹ کرنا ہوگا، اگر آپ فی الحال یہ اختیارات پیش نہیں کرتے ہیں۔ بہت سی تنظیمیں دوبارہ ہدف بنانے کا طریقہ کار بھی استعمال کرتی ہیں۔ یہ حاصل کیا جا سکتا ہے، مثال کے طور پر، Facebook یا Google Ads کے ذریعے، لیکن یاد رکھیں کہ آپ کو ایسا کرنے کے لیے واضح اجازت کی درخواست کرنی ہوگی۔ آپ کے پاس شاید پہلے سے ہی اپنی ویب سائٹ پر رازداری اور کوکی پالیسی موجود ہے۔ لہٰذا ان قواعد کے ساتھ ان قانونی حصوں پر بھی نظر ثانی کی ضرورت ہے۔ جی ڈی پی آر کے تقاضے بتاتے ہیں کہ ان دستاویزات کو زیادہ جامع اور شفاف ہونے کی ضرورت ہے۔ آپ اکثر ان ایڈجسٹمنٹ کے لیے ماڈل ٹیکسٹس استعمال کر سکتے ہیں، جو انٹرنیٹ پر آزادانہ طور پر دستیاب ہیں۔ آپ کی پرائیویسی اور کوکی پالیسیوں میں قانونی ایڈجسٹمنٹ کے علاوہ، ایک ڈیٹا پروسیسنگ آفیسر کا تقرر کرنا ضروری ہے۔ یہ شخص ڈیٹا کی پروسیسنگ کے لیے ذمہ دار ہے اور اس بات کو یقینی بناتا ہے کہ تنظیم GDPR کے مطابق ہے اور رہے گی۔
GDPR کی تعمیل کرنے کے لیے تجاویز اور طریقے
سب سے اہم بات، یقیناً، یہ ہے کہ آپ، ایک کاروباری شخص کے طور پر، قانونی ضابطوں اور قواعد کی تعمیل کرتے ہیں، جیسے کہ GDPR۔ خوش قسمتی سے، ممکنہ حد تک کم کوشش کے ساتھ GDPR کی تعمیل کرنے کے طریقے موجود ہیں۔ جیسا کہ ہم پہلے ہی بحث کر چکے ہیں، GDPR بذات خود کسی بھی چیز کی ممانعت نہیں کرتا، لیکن یہ اس طریقے کے لیے سخت رہنما اصول طے کرتا ہے جس میں ذاتی ڈیٹا پر کارروائی کی جا سکتی ہے۔ اگر آپ مخصوص رہنما خطوط پر عمل نہیں کرتے ہیں اور ڈیٹا کو ان وجوہات کے لیے استعمال کرتے ہیں جن کا GDPR میں ذکر نہیں کیا گیا ہے یا اس کے دائرہ کار سے باہر ہیں، تو آپ کو جرمانے اور اس سے بھی بدتر نتائج کا خطرہ ہے۔ اس کے بعد، یہ بات ذہن میں رکھیں کہ وہ تمام فریق جن کے ساتھ آپ کام کرتے ہیں ایک کاروباری مالک کے طور پر آپ کا احترام کریں گے جب آپ ان کے ڈیٹا اور رازداری کا بھی احترام کریں گے۔ یہ آپ کو ایک مثبت اور قابل اعتماد تصویر فراہم کرے گا، جو کاروبار کے لیے حقیقی طور پر اچھا ہے۔ اب ہم کچھ تجاویز پر تبادلہ خیال کریں گے جو GDPR کی تعمیل کو ایک آسان اور موثر عمل بنائیں گے۔
1. نقشہ بنائیں کہ آپ پہلے کس ذاتی ڈیٹا پر کارروائی کرتے ہیں۔
سب سے پہلے یہ تحقیق کرنا ہو گی کہ آپ کو کون سے درست ڈیٹا کی ضرورت ہے اور کس مقصد تک۔ آپ کونسی معلومات جمع کرنے جا رہے ہیں؟ اپنے مقاصد کو حاصل کرنے کے لیے آپ کو کتنے ڈیٹا کی ضرورت ہے؟ صرف ایک نام اور ای میل پتہ، یا کیا آپ کو اضافی ڈیٹا کی بھی ضرورت ہے جیسے کہ جسمانی پتہ اور فون نمبر؟ آپ کو ایک پروسیسنگ رجسٹر بنانے کی بھی ضرورت ہے جس میں آپ درج کرتے ہیں کہ آپ کون سا ڈیٹا رکھتے ہیں، یہ کہاں سے آتا ہے، اور کن پارٹیوں کے ساتھ آپ یہ معلومات شیئر کرتے ہیں۔ برقرار رکھنے کی مدت کو بھی مدنظر رکھیں، کیونکہ جی ڈی پی آر کہتا ہے کہ آپ کو اس بارے میں شفاف ہونا چاہیے۔
2. عمومی طور پر اپنے کاروبار کے لیے رازداری کو ترجیح دیں۔
رازداری ایک بہت اہم موضوع ہے، اور یہ (غیر) مستقبل قریب میں اسی طرح رہے گا، کیونکہ ٹیکنالوجی اور ڈیجیٹلائزیشن صرف ترقی کر رہی ہے اور بڑھ رہی ہے۔ اس لیے، یہ بہت ضروری ہے کہ آپ، ایک کاروباری شخص کے طور پر، اپنے آپ کو رازداری کے تمام ضروری ضوابط سے آگاہ کریں اور کاروبار کرتے وقت اس کو ترجیح دیں۔ یہ نہ صرف اس بات کو یقینی بنائے گا کہ آپ تمام قابل اطلاق قوانین کی تعمیل کرتے ہیں، بلکہ یہ آپ کی کمپنی کے لیے اعتماد کی تصویر بھی بنائے گا۔ لہذا، ایک کاروباری شخص کے طور پر، اپنے آپ کو GDPR قوانین میں غرق کریں یا بصورت دیگر قانونی ماہرین سے مشورہ لیں، تاکہ آپ اس بات کا یقین کر سکیں کہ جب رازداری کی بات آتی ہے تو آپ قانونی طور پر کاروبار کر رہے ہیں۔ آپ کو یہ جاننے کی ضرورت ہے کہ آپ کی کمپنی کو کن اصولوں کی تعمیل کرنی چاہیے۔ ڈچ حکام روزانہ کی بنیاد پر استعمال کرنے کے لیے بہت ساری معلومات، ٹپس، اور ٹولز کے ذریعے بھی آپ کی مدد کر سکتے ہیں۔
3. ذاتی ڈیٹا پر کارروائی کے لیے صحیح قانونی بنیاد کی نشاندہی کریں۔
جیسا کہ ہم پہلے ہی بحث کر چکے ہیں، GDPR کے مطابق، صرف چھ سرکاری قانونی بنیادیں ہیں جو آپ کو ذاتی ڈیٹا پر کارروائی اور ذخیرہ کرنے کی اجازت دیتی ہیں۔ اگر آپ ڈیٹا استعمال کرنے جا رہے ہیں، تو یہ انتہائی اہمیت کا حامل ہے کہ آپ کو معلوم ہو کہ آپ کے استعمال کی کون سی قانونی بنیاد ہے۔ مثالی طور پر، آپ کو اپنی کمپنی کے ساتھ ڈیٹا پروسیسنگ کی مختلف اقسام کو دستاویز کرنا چاہیے، مثال کے طور پر، آپ کی رازداری کی پالیسی میں، تاکہ صارفین اور فریق ثالث اس معلومات کو پڑھ اور تسلیم کر سکیں۔ پھر، الگ الگ ہر ایکشن کے لیے صحیح قانونی بنیاد کی نشاندہی کریں۔ اگر آپ کو نئے مقاصد یا وجوہات کی بنا پر ذاتی ڈیٹا پر کارروائی کرنے کی ضرورت ہے، تو شروع کرنے سے پہلے اس سرگرمی کو بھی شامل کرنا یقینی بنائیں۔
4. اپنے ڈیٹا کے استعمال کو جتنا ممکن ہو کم سے کم کرنے کی کوشش کریں۔
آپ کو، ایک تنظیم کے طور پر، اس بات کو یقینی بنانا چاہیے کہ آپ کسی خاص مقصد کو حاصل کرنے کے لیے صرف کم از کم ڈیٹا عناصر کو اکٹھا کریں۔ مثال کے طور پر، اگر آپ آن لائن سامان یا خدمات فروخت کرتے ہیں، تو آپ کے صارفین کو عام طور پر رجسٹریشن کے عمل کو آسانی سے چلانے کے لیے آپ کو صرف ایک ای میل اور پاس ورڈ فراہم کرنے کی ضرورت ہوتی ہے۔ رجسٹریشن کے عمل کے حصے کے طور پر صارفین سے ان کی جنس، جائے پیدائش، یا یہاں تک کہ ان کا پتہ پوچھنے کی ضرورت نہیں ہے۔ صرف اس صورت میں جب صارفین کسی چیز کو خریدنا جاری رکھیں اور اسے کسی خاص پتے پر بھیجنا چاہتے ہوں تو مزید معلومات طلب کرنا ضروری ہو جاتا ہے۔ اس کے بعد آپ کو اس مرحلے پر صارف کے ایڈریس کی درخواست کرنے کا حق ہے، کیونکہ یہ کسی بھی شپنگ کے عمل کے لیے ضروری معلومات ہے۔ جمع کردہ ڈیٹا کی مقدار کو کم کرنے سے ممکنہ رازداری یا سیکیورٹی سے متعلق واقعات کے اثرات کو کم کیا جاتا ہے۔ ڈیٹا کو کم سے کم کرنا GDPR کی بنیادی ضرورت ہے اور یہ آپ کے صارفین کی رازداری کے تحفظ میں انتہائی موثر ہے کیونکہ آپ صرف اپنی ضرورت کی معلومات پر کارروائی کرتے ہیں اور اس سے زیادہ کچھ نہیں۔
5. ان لوگوں کے حقوق جانیں جن کے ڈیٹا پر آپ کارروائی کرتے ہیں۔
جی ڈی پی آر کے بارے میں جانکاری حاصل کرنے کا ایک اہم حصہ، اپنے آپ کو اپنے صارفین اور دوسرے فریق ثالث کے حقوق کے بارے میں آگاہ کرنا ہے، جن کا ڈیٹا آپ ذخیرہ کرتے اور اس پر کارروائی کرتے ہیں۔ ان کے حقوق کو جان کر ہی آپ اپنی حفاظت کر سکتے ہیں اور جرمانے سے بچ سکتے ہیں۔ یہ سچ ہے کہ جی ڈی پی آر نے افراد کے لیے کئی اہم حقوق متعارف کرائے ہیں۔ جیسے کہ ان کے ذاتی ڈیٹا کا معائنہ کرنے کا حق، ڈیٹا کو درست یا حذف کرنے کا حق، اور ان کے ڈیٹا کی پروسیسنگ پر اعتراض کرنے کا حق۔ ہم ذیل میں ان حقوق پر مختصراً بات کریں گے۔
- رسائی کا حق
رسائی کے پہلے حق کا مطلب یہ ہے کہ افراد کو ان کے بارے میں کارروائی شدہ ذاتی ڈیٹا کو دیکھنے اور اس سے مشورہ کرنے کا حق ہے۔ اگر کوئی گاہک اس کا مطالبہ کرتا ہے، تو آپ اسے فراہم کرنے کے پابند ہیں۔
- اصلاحات کا حق
اصلاح وہی ہے جو اصلاح ہے۔ اس لیے اصلاح کا حق افراد کو ذاتی ڈیٹا میں تبدیلیاں اور اضافے کرنے کا حق دیتا ہے جس پر کوئی ادارہ ان کے بارے میں کارروائی کرتا ہے تاکہ اس بات کو یقینی بنایا جا سکے کہ اس ڈیٹا پر صحیح طریقے سے عمل کیا گیا ہے۔
- بھول جانے کا حق
بھول جانے کے حق کا مطلب بالکل وہی ہے جو یہ کہتا ہے: 'بھول جانے' کا حق جب کوئی صارف خاص طور پر اس کے لیے پوچھتا ہے۔ اس کے بعد ایک تنظیم اپنے ذاتی ڈیٹا کو حذف کرنے کی پابند ہے۔ یاد رکھیں کہ اگر کوئی قانونی ذمہ داریاں شامل ہیں، تو کوئی فرد اس حق کا مطالبہ نہیں کر سکتا۔
- پروسیسنگ کو محدود کرنے کا حق
یہ حق کسی فرد کو بطور ڈیٹا سبجیکٹ اپنے ذاتی ڈیٹا کی پروسیسنگ کو محدود کرنے کا موقع فراہم کرتا ہے، جس کا مطلب ہے کہ وہ کم ڈیٹا پر کارروائی کرنے کا کہہ سکتے ہیں۔ مثال کے طور پر، اگر کوئی کمپنی اس میں شامل عمل کے لیے بالکل ضروری سے زیادہ ڈیٹا مانگتی ہے۔
- ڈیٹا پورٹیبل کا حق
اس حق کا مطلب ہے کہ کسی فرد کو اپنا ذاتی ڈیٹا کسی دوسری تنظیم کو منتقل کرنے کا حق ہے۔ مثال کے طور پر، اگر کوئی کسی مدمقابل کے پاس جاتا ہے یا عملے کا کوئی رکن کسی دوسری کمپنی میں کام پر جاتا ہے، اور آپ اس کمپنی کو ڈیٹا منتقل کرتے ہیں،
- اعتراض کرنے کا حق
اعتراض کرنے کے حق کا مطلب یہ ہے کہ کسی فرد کو اپنے ذاتی ڈیٹا کی پروسیسنگ پر اعتراض کرنے کا حق حاصل ہے، مثال کے طور پر، جب ڈیٹا کو مارکیٹنگ کے مقاصد کے لیے استعمال کیا جاتا ہے۔ وہ اس حق کو مخصوص ذاتی وجوہات کی بنا پر استعمال کر سکتے ہیں۔
- خودکار فیصلہ سازی کے تابع نہ ہونے کا حق
افراد کو یہ حق حاصل ہے کہ وہ مکمل طور پر خودکار فیصلہ سازی کے تابع نہ ہوں جس کے ان کے لیے اہم نتائج ہوں یا انسانی مداخلت کے قانونی نتائج کا سبب بنیں۔ خودکار پروسیسنگ کی ایک مثال ایک کریڈٹ ریٹنگ سسٹم ہے جو خود بخود اس بات کا تعین کرے گا کہ آیا آپ قرض کے لیے اہل ہیں یا نہیں۔
- معلومات کا حق
اس کا مطلب یہ ہے کہ جب کوئی فرد اس کے لیے کہے تو تنظیم کو افراد کو ان کے ذاتی ڈیٹا کو جمع کرنے اور اس پر کارروائی کرنے کے بارے میں واضح معلومات فراہم کرنا چاہیے۔ ایک تنظیم کو GDPR اصولوں کے مطابق یہ بتانے کے قابل ہونا چاہیے کہ وہ کس ڈیٹا پر کارروائی کرتی ہے اور کیوں۔
اپنے آپ کو ان حقوق سے واقف کر کے، آپ بہتر انداز میں اندازہ لگا سکتے ہیں کہ کب گاہک اور فریق ثالث اس ڈیٹا کے بارے میں پوچھیں گے جس پر آپ کارروائی کر رہے ہیں۔ اس کے بعد آپ کو ان معلومات کا پابند کرنا اور انہیں بھیجنا بہت آسان ہو گا جس کی وہ درخواست کر رہے ہیں، کیونکہ آپ تیار تھے۔ پوچھ گچھ کے لیے ہمیشہ تیار رہنے اور ڈیٹا کو ہاتھ میں رکھنے اور تیار رکھنے میں آپ کا کافی وقت بچ سکتا ہے، مثال کے طور پر، ایک اچھے کسٹمر مینجمنٹ سسٹم میں سرمایہ کاری کر کے جو آپ کو ضروری ڈیٹا کو تیزی سے اور مؤثر طریقے سے کھینچنے کی اجازت دیتا ہے۔
جب آپ تعمیل نہیں کرتے تو کیا ہوتا ہے؟
ہم نے پہلے ہی اس موضوع کو مختصراً چھوا ہے: جب آپ GDPR کی تعمیل نہیں کرتے ہیں تو اس کے نتائج برآمد ہوتے ہیں۔ ایک بار پھر، مطلع کیا جائے کہ تعمیل کرنے کے لیے آپ کو EU میں مقیم کمپنی کی ضرورت نہیں ہے۔ اگر آپ کے پاس ایک بھی صارف ہے جو EU میں مقیم ہے جس کے ڈیٹا پر آپ کارروائی کرتے ہیں، تو آپ GDPR کے دائرہ کار میں آتے ہیں۔ جرمانے کی دو سطحیں ہیں جو عائد کی جا سکتی ہیں۔ ہر ملک میں قابل ڈیٹا پروٹیکشن اتھارٹی دو سطحوں پر موثر جرمانے جاری کر سکتی ہے۔ اس سطح کا تعین مخصوص خلاف ورزی کی بنیاد پر کیا جاتا ہے۔ لیول ون جرمانے میں خلاف ورزیاں شامل ہیں جیسے والدین کی رضامندی کے بغیر نابالغوں کے ذاتی ڈیٹا پر کارروائی کرنا، ڈیٹا کی خلاف ورزی کی اطلاع دینے میں ناکامی، اور ایسے پروسیسر کے ساتھ تعاون کرنا جو مطلوبہ ڈیٹا سیکیورٹی کے لحاظ سے کافی ضمانتیں فراہم نہیں کرتا ہے۔ یہ جرمانے 10 ملین یورو تک یا کسی کمپنی کے معاملے میں، پچھلے مالی سال سے آپ کے کل عالمی سالانہ کاروبار کے 2% تک ہو سکتے ہیں۔
سطح دو لاگو ہوتا ہے اگر آپ بنیادی جرم کرتے ہیں۔ مثال کے طور پر، ڈیٹا پروسیسنگ کے اصولوں کی تعمیل کرنے میں ناکامی یا اگر کوئی تنظیم یہ ظاہر نہیں کر سکتی کہ ڈیٹا کے موضوع نے ڈیٹا پروسیسنگ کے لیے درحقیقت رضامندی دی ہے۔ اگر آپ لیول ٹو جرمانے کے دائرہ کار میں آتے ہیں، تو آپ کو زیادہ سے زیادہ 20 ملین یورو، یا آپ کی کمپنی کے عالمی کاروبار کے 4% تک کا خطرہ ہے۔ نوٹ کریں کہ یہ رقمیں زیادہ سے زیادہ کر دی گئی ہیں اور یہ دوسرے عوامل کے علاوہ آپ کی ذاتی صورتحال اور آپ کے کاروبار کی سالانہ آمدنی پر منحصر ہے۔ جرمانے کے علاوہ، نیشنل ڈیٹا پروٹیکشن اتھارٹی دیگر پابندیاں بھی عائد کر سکتی ہے۔ یہ انتباہات اور ملامتوں سے لے کر ڈیٹا پروسیسنگ کے عارضی (اور بعض اوقات مستقل) بند ہونے تک بھی ہوسکتا ہے۔ اس صورت میں، آپ عارضی طور پر یا مستقل طور پر اپنی تنظیم کے ذریعے ذاتی ڈیٹا پر مزید کارروائی نہیں کر سکتے ہیں۔ مثال کے طور پر، کیونکہ آپ نے بارہا مجرمانہ جرائم کا ارتکاب کیا ہے۔ یہ بنیادی طور پر آپ کے لیے کاروبار کرنا ناممکن بنا دے گا۔ ایک اور ممکنہ GDPR منظوری ان صارفین کو ہرجانے کی ادائیگی ہے جو اچھی طرح سے شکایت درج کراتے ہیں۔ مختصراً، ایسے بھاری نتائج سے بچنے کے لیے افراد کی رازداری اور ذاتی ڈیٹا کے بارے میں چوکس رہیں۔
کیا آپ جاننا چاہتے ہیں کہ آیا آپ GDPR کے مطابق ہیں؟
اگر آپ نیدرلینڈز میں کاروبار شروع کرنے کی منصوبہ بندی کر رہے ہیں، تو آپ کو GDPR کی تعمیل کرنی ہوگی۔ اگر آپ ڈچ صارفین، یا کسی دوسرے یورپی یونین کے ملک میں مقیم صارفین کے ساتھ کاروبار کر رہے ہیں، تو آپ کو بھی EU کے اس ضابطے کی پابندی کرنی ہوگی۔ اگر آپ یقینی طور پر نہیں جانتے کہ آیا آپ GDPR کے دائرہ کار میں آتے ہیں تو آپ ہمیشہ رابطہ کر سکتے ہیں۔ Intercompany Solutions موضوع پر مشورے کے لیے۔ ہم یہ معلوم کرنے میں آپ کی مدد کر سکتے ہیں کہ آیا آپ کے پاس قابل اطلاق داخلی ضابطے اور عمل موجود ہیں اور اگر آپ فریق ثالث کو فراہم کرتے ہیں تو یہ کافی ہے۔ بعض اوقات اہم معلومات کو نظر انداز کرنا بہت آسان ہو سکتا ہے، جو کہ آپ کو قانون کے ساتھ پریشانی میں ڈال سکتا ہے۔ یاد رکھیں: رازداری ایک انتہائی اہم موضوع ہے، لہذا یہ ضروری ہے کہ آپ تازہ ترین ضوابط اور خبروں کے حوالے سے ہمیشہ اپ ٹو ڈیٹ رہیں۔ اگر آپ کے پاس اس موضوع کے بارے میں کوئی سوالات ہیں یا ہالینڈ میں کاروباری اداروں کے بارے میں مزید معلومات چاہتے ہیں تو بلا جھجھک رابطہ کریں۔ Intercompany Solutions کسی بھی وقت. ہم آپ کے کسی بھی سوال میں خوشی سے آپ کی مدد کریں گے، یا آپ کو واضح اقتباس پیش کریں گے۔
ذرائع کے مطابق:
https://www.afm.nl/en/over-de-afm/organisatie/privacy
ہے [1] https://commission.europa.eu/law/law-topic/data-protection/data-protection-eu_nl#:~:text=The%20general%20regulation%20dataprotection%20(GDPR)&text=The%20AVG%20(also%20known%20under,digital%20unified%20market%20te%20.
ہے [2] https://www.rijksoverheid.nl/onderwerpen/privacy-en-persoonsgegevens/documenten/brochures/2018/05/01/de-algemene-verordening-gegevensbescherming
ہے [3] https://www.rijksoverheid.nl/onderwerpen/privacy-en-persoonsgegevens/documenten/brochures/2018/05/01/de-algemene-verordening-gegevensbescherming
