برلن میں ایک پروڈکٹ مینیجر ایک خصوصیت کی تازہ کاری کو آگے بڑھا رہا ہے۔ لندن میں ایک گروتھ ٹیم شنگھائی ایجنسی کے ذریعے مہم چلا رہی ہے۔ سنگاپور میں SaaS فراہم کنندہ خاموشی سے کسٹمر سپورٹ ٹرانسکرپٹس کو اسٹور کرتا ہے جس میں چینگدو میں صارفین کے نام، فون نمبر اور ID کے ٹکڑے شامل ہوتے ہیں۔ ان میں سے کوئی بھی ٹیم اپنے آپ کو چین میں کام کرنے کے بارے میں نہیں سوچتی۔ یہ سب، ذاتی معلومات کے تحفظ کے قانون کے مقاصد کے لیے، چینی ذاتی معلومات کے پروسیسرز ہیں - اور یہ سبھی دائرہ کار میں ہیں۔
پرسنل انفارمیشن پروٹیکشن قانون کے نافذ ہونے کے تین سال بعد، ریگولیٹری تصویر کافی حد تک طے پا گئی ہے کہ "ہم یہ دیکھنے کے لیے انتظار کر رہے ہیں کہ یہ کیسے نکلتا ہے" اب کوئی قابل دفاع کرنسی نہیں رہی۔ چین کی سائبر اسپیس ایڈمنسٹریشن نے نافذ کرنے والے اقدامات جاری کیے ہیں، ان پر نظر ثانی کی ہے اور حدوں کو واضح کیا ہے۔ غیر ملکی کاروباروں کے پاس اب قابل عمل تعمیل کی بنیاد بنانے کے لیے کافی سگنل ہیں۔ یہ ٹکڑا یہ بتاتا ہے کہ عملی طور پر وہ بیس لائن کیسی دکھتی ہے۔
غیر ملکی محرک کو زیادہ تر ٹیمیں کم سمجھتی ہیں۔
PIPL چین کے اندر پروسیسنگ پر لاگو ہوتا ہے، اور — تنقیدی طور پر — چین سے باہر پروسیسنگ پر جو چین میں لوگوں کو مصنوعات یا خدمات فراہم کرنے، یا ان کے رویے کا تجزیہ کرنے کے مقصد سے نشانہ بناتا ہے۔ مسودہ وسیع اور جان بوجھ کر ہے۔ ایک عالمی ایپ اسٹور پر مینڈارن میں دستیاب ایک صارف ایپ، ایک B2C ویب سائٹ جو مین لینڈ کے پتوں پر بھیجتی ہے، ایک تجزیاتی پائپ لائن جو صارفین کو چینی شہر کے لحاظ سے تقسیم کرتی ہے: ہر ایک قابل فہم محرک ہے۔
عملی نتیجہ یہ ہے کہ دائرہ کار شاذ و نادر ہی ہاں یا نہ میں صاف ہوتا ہے۔ یہ ایک سوال ہے کہ کون سے پروڈکٹ لائنز، کون سے صارف کوہورٹس، اور کون سے ڈیٹاسیٹس قانون کی پہنچ میں ہیں۔ اس لیے تعمیل کا پہلا کام رازداری کے نوٹس کا مسودہ تیار نہیں کرنا ہے۔ یہ ڈیٹا کی نقشہ سازی کر رہا ہے: اس بات کی نشاندہی کرنا کہ چینی ذاتی معلومات آپ کے سسٹم میں کہاں داخل ہوتی ہے، اسے کہاں محفوظ کیا جاتا ہے، اسے کون چھوتا ہے، اور کہاں سے نکلتا ہے۔ جب تک وہ نقشہ موجود نہیں ہے، ہر بہاو کنٹرول اندازہ کا کام ہے۔
رضامندی: قانونی بنیاد، چیک باکس نہیں۔
پی آئی پی ایل کو اکثر رضامندی سے چلنے والی حکومت کے طور پر بیان کیا جاتا ہے، اور غیر ملکی بورڈ رومز میں اس کا ترجمہ "ایک ٹک باکس شامل کریں" میں کیا جاتا ہے۔ یہ ذمہ داری کو کم کرتا ہے۔ PIPL کئی قانونی بنیادوں کو تسلیم کرتا ہے — معاہدہ کی ضرورت، قانونی ڈیوٹی، HR ایڈمنسٹریشن، مفاد عامہ، اور دیگر — لیکن رضامندی ہی ورک ہارس بنی ہوئی ہے، اور قانون اس بات کے لیے ایک اعلیٰ معیار طے کرتا ہے جس کی اہمیت ہے۔
PIPL کے تحت رضامندی باخبر، رضاکارانہ اور واضح ہونی چاہیے۔ جہاں پروسیسنگ میں حساس ذاتی معلومات (مالی اکاؤنٹس، صحت، بائیو میٹرک ڈیٹا، 14 سال سے کم عمر کے نابالغوں کی ذاتی معلومات، مقام سے باخبر رہنا، اور اسی طرح کے زمرے) یا سرحد پار منتقلی شامل ہو، علیحدہ رضامندی درکار ہوتی ہے۔ "علیحدہ" کا مطلب بالکل وہی ہے: معاہدہ کا ایک الگ، مخصوص عمل، نہ کہ عام شرائط کی قبولیت کے اندر دفن پیراگراف۔
غیر ملکی کاروباروں کے لیے قابل عمل رضامندی کے فن تعمیر میں عام طور پر شامل ہیں:
- ایک تہہ دار نوٹس جس میں، سادہ چینی میں، پروسیسر کی شناخت، ذاتی معلومات کے زمرے، مقاصد، برقرار رکھنے کی مدت، اور صارف کے حقوق شامل ہیں۔
- دانے دار ٹوگلز حساس پروسیسنگ زمروں اور مارکیٹنگ کے لیے، بنیادی سروس کی رضامندی سے الگ۔
- ایک الگ سرحد پار رضامندی کا بہاؤ جو بیرون ملک مقیم وصول کنندہ، منزل کے دائرہ اختیار اور منتقلی کا مقصد بتاتا ہے۔
- واپسی کا ایک طریقہ کار جو استعمال کرنا اتنا ہی آسان ہے جتنا کہ اصل رضامندی کے بہاؤ کے بغیر کوئی تاریک نمونہ۔
- ایک آڈٹ لاگ جو ریکارڈ کرتا ہے، فی صارف، نوٹس کے کس ورژن کے لیے، کب، اور کس کے خلاف رضامندی دی گئی تھی۔
آخری پوائنٹ ٹیموں کی توقع سے زیادہ اہمیت رکھتا ہے۔ ریگولیٹرز اور ہم منصب تیزی سے ثبوت مانگتے ہیں، دعوے نہیں۔
سرحد پار منتقلی: تین راستے، ایک فیصلہ
چینی ذاتی معلومات کو آف شور منتقل کرنا وہ علاقہ ہے جہاں غیر ملکی کاروبار اکثر یہ دریافت کرتے ہیں کہ ان کا موجودہ فن تعمیر غیر موافق ہے۔ PIPL تین بنیادی میکانزم فراہم کرتا ہے، جو بعد کے CAC اقدامات سے بہتر ہوتے ہیں:- CAC سیکیورٹی کا جائزہ۔ اہم معلومات کے بنیادی ڈھانچے کے آپریٹرز کے لیے لازمی ہے، تجویز کردہ حجم کی حد سے اوپر ذاتی معلومات کو سنبھالنے والے پروسیسرز کے لیے، اور "اہم ڈیٹا" کی منتقلی کے لیے۔ یہ حکومت کی زیرقیادت جائزہ ہے، خود تصدیق نہیں۔
- معیاری معاہدے کی شقیں (چین SCCs)۔ چینی برآمد کنندہ اور بیرون ملک وصول کنندہ کے درمیان ایک ٹیمپلیٹ معاہدہ، ذاتی معلومات کے تحفظ کے اثرات کی تشخیص کے ساتھ صوبائی CAC کے ساتھ دائر کیا گیا ہے۔ تشخیص کی حد سے نیچے درمیانی حجم کی منتقلی کے لیے موزوں ہے۔
- ذاتی معلومات کے تحفظ کا سرٹیفیکیشن۔ CAC سے منظور شدہ اداروں کے ذریعہ جاری کیا گیا ہے۔ عملی طور پر یہ راستہ ملٹی نیشنلز کے اندر اندر گروپ ٹرانسفر کے لیے سب سے زیادہ مفید ہے۔
2024 کی نرمی میں کچھ کم حجم کی منتقلی، فرد کے ساتھ معاہدہ کرنے کے لیے ضروری منتقلی (کراس بارڈر ای کامرس، سفری بکنگ، ویزا درخواستیں) اور سرحد پار روزگار کے انتظام کے لیے ضروری HR منتقلی کے لیے چھوٹ متعارف کرائی گئی۔ یہ استثنیٰ حقیقی لیکن تنگ ہیں۔ وہ حجم کی گنتی کو، معاہدے کی ضرورت کی نوعیت پر، اور اس پر کہ آیا حساس ذاتی معلومات شامل ہیں۔ وقفے وقفے سے جائزے کے بغیر استثنیٰ کو مستقل کرنسی کے طور پر سمجھنا ایک عام غلطی ہے۔
جو بھی راستہ لاگو ہوتا ہے، ہر سرحد پار منتقلی کے لیے ذاتی معلومات کے تحفظ کے اثرات کی تشخیص کی ضرورت ہوتی ہے۔
حقیقت پسندانہ تعمیل کی بنیادی لائن
چینی صارف کے ڈیٹا کو سنبھالنے والے اعتدال پسند سائز کے غیر ملکی کاروبار کے لیے، ایک قابل دفاع بیس لائن تقریباً اس طرح نظر آتی ہے:
- ایک ڈیٹا نقشہ جس میں تمام چینی ذاتی معلومات کے بہاؤ کا احاطہ کیا جاتا ہے، کم از کم سالانہ تازہ کیا جاتا ہے۔
- چینی زبان کا رازداری کا نوٹس اور رضامندی کا فن تعمیر جو عمومی، حساس اور سرحد پار رضامندی کو ممتاز کرتا ہے۔
- چین کے اندر ایک نامزد نمائندہ یا ادارہ، جہاں ضرورت ہو، رابطے کی تفصیلات کے ساتھ شائع کیا جائے۔
- ایک منتخب کراس بارڈر ٹرانسفر میکانزم — اسیسمنٹ، SCCs، یا سرٹیفیکیشن — فائل پر بنیادی اثر کی تشخیص کے ساتھ۔
- فروخت کنندگان کی مستعدی جس میں ڈیٹا کو چھونے والے کسی بھی پروسیسر کا احاطہ کرتا ہے، بشمول کلاؤڈ اور اینالیٹکس فراہم کرنے والے۔
- ایک واقعہ کے ردعمل کا طریقہ کار جو ریگولیٹرز اور متاثرہ افراد دونوں کے لیے PIPL کی اطلاع کی توقعات پر پورا اترتا ہے۔
- پروڈکٹ، انجینئرنگ اور مارکیٹنگ ٹیموں کے لیے داخلی تربیت اس بارے میں کہ جو اثرات کے نئے تجزیے کو متحرک کرتی ہے۔
اس میں سے کوئی بھی غیر ملکی نہیں ہے۔ یہ، وسیع طور پر، وہی نظم و ضبط ہے جو ایک بالغ GDPR پروگرام پہلے سے ہی مشق کر رہا ہے، جس میں رضامندی کی گرانولیریٹی، سرحد پار فائلنگ، اور زبان پر چینی مخصوص اوورلیز ہیں۔
جہاں غیر ملکی ٹیمیں عام طور پر اسے غلط سمجھتی ہیں۔
تین نمونے دہرائے جاتے ہیں۔ سب سے پہلے، پی آئی پی ایل کو جی ڈی پی آر نوٹس پر ترجمے کی مشق کے طور پر برتاؤ - دونوں حکومتیں ایک دوسرے سے ملتی جلتی ہیں لیکن رضامندی، سرحد پار میکانکس اور ریاست کے کردار پر الگ ہوجاتی ہیں۔ دوسرا، یہ فرض کرتے ہوئے کہ چونکہ ڈیٹا چین سے باہر ہوسٹ کیا جاتا ہے، PIPL لاگو نہیں ہوتا ہے۔ ماورائے اختیار اصول ہے، استثنا نہیں۔ تیسرا، سرحد پار فائلنگ کو اس وقت تک چھوڑنا جب تک کہ کوئی ریگولیٹر یا چینی تجارتی ہم منصب اس کے لیے نہ کہے، اس وقت تک ٹائم لائن کو کنٹرول کرنا آپ کے ہاتھ میں نہیں ہے۔
خاص طور پر سی اے سی سیکیورٹی اسسمنٹ روٹ ایسا عمل نہیں ہے جو آخری لمحات کی تیاری کا بدلہ دیتا ہے۔ ایس سی سی فائلنگز تیز تر ہیں لیکن پھر بھی ان کے پیچھے صحیح طریقے سے اثر اندازی کی ضرورت ہے۔
چین ڈیٹا پرائیویسی کی تعمیل، آخر میں، قانونی ہوشیاری کے بجائے آپریشنل پختگی کا سوال ہے۔ قواعد معلوم ہیں۔ ان کو نظر انداز کرنے کی قیمت - نفاذ کی کارروائی، بلاک شدہ منتقلی، چینی شراکت داروں کے ساتھ تجارتی معاہدے کھوئے گئے جو اب خود سوال کرتے ہیں - تیزی سے ٹھوس ہے۔
غیر ملکی ٹیموں کے لیے جنہیں منتقلی کے مخصوص ڈھانچے، رضامندی کے بہاؤ، یا فائلنگ کے بارے میں PRC کے اہل مشورے کی ضرورت ہوتی ہے، Serene Jade's Chinese Lawyer سروس آپ کو بار میں داخل شدہ مین لینڈ اور ہانگ کانگ کے وکیل کے ساتھ جوڑتی ہے۔
اکثر پوچھے گئے سوالات
کیا ہمیں صرف SCCs فائل کرنے کے لیے کسی چائنا ہستی کی ضرورت ہے؟ ضروری نہیں۔ SCCs کے تحت چینی برآمد کنندہ وہ ہے جو چین کے اندر ذاتی معلومات رکھتا ہے - یہ آپ کی مقامی ذیلی کمپنی، مشترکہ منصوبے کا شراکت دار، یا ایک چینی پلیٹ فارم ہو سکتا ہے جس کے ذریعے آپ کام کرتے ہیں۔ اگر آپ کی کوئی موجودگی نہیں ہے تو سوال یہ بنتا ہے کہ آیا آپ کو PIPL آرٹیکل 53 کے تحت ایک نامزد نمائندہ مقرر کرنا چاہیے۔کیا ہانگ کانگ کو ڈیٹا بھیجنا سرحد پار منتقلی کے طور پر شمار ہوتا ہے؟ جی ہاں PIPL مقاصد کے لیے ہانگ کانگ کو مین لینڈ چین سے باہر سمجھا جاتا ہے، اس لیے وہاں منتقلی کے لیے تین میکانزم میں سے ایک یا ایک درست استثنیٰ کی ضرورت ہوتی ہے، اسی بنیاد پر لندن یا فرینکفرٹ میں منتقلی۔
کیا ہم اپنے SaaS کسٹمر ڈیٹا کے لیے معاہدے کی ضرورت کی چھوٹ پر بھروسہ کر سکتے ہیں؟ صرف اس صورت میں جہاں منتقلی حقیقی طور پر ضروری ہے کہ وہ معاہدہ انجام دے جس میں فرد داخل ہوا ہے — مثال کے طور پر، اس نے جو حکم دیا ہے اسے پورا کرنا۔ B2B SaaS اختتامی صارف کے ڈیٹا کی منتقلی، تجزیات، اور زیادہ تر مارکیٹنگ کے استعمال کے معاملات اس سے باہر ہوتے ہیں اور انہیں SCCs، سرٹیفیکیشن، یا تشخیص کی ضرورت ہوتی ہے۔