GDPR اور ای میل مارکیٹنگ: تعمیل کی عملی گائیڈ

GDPR ای میل مارکیٹرز سے حقیقت میں کیا تقاضا کرتا ہے

سیدھی بات یہ ہے: جنرل ڈیٹا پروٹیکشن ریگولیشن (Regulation (EU) 2016/679) میں کوئی ایسا اصول موجود نہیں جو کہتا ہو کہ “ای میل بھیجنے کے لیے آپ کو رضامندی چاہیے”۔ یہ اس ذاتی ڈیٹا کو ضابطے میں لاتا ہے جو آپ کے ای میل پروگرام کے پیچھے ہے۔ آپ کو اس کی پروسیسنگ کے لیے قانونی بنیاد، اس کے بارے میں شفافیت، درستی، ذخیرے کی حد، سیکیورٹی، اور ان سب کا ثبوت درکار ہے۔ آرٹیکل 5(2) اسے ایک سطر میں کہہ دیتا ہے: کنٹرولر پروسیسنگ کے اصولوں کا “ذمہ دار ہوگا، اور ان کی تعمیل ثابت کرنے کے قابل ہوگا”۔

وہ اصول جو طے کرتا ہے کہ آپ بھیجنے کا بٹن دبا سکتے ہیں یا نہیں، ایک مختلف قانون میں ہے، ePrivacy ڈائریکٹو۔ اس موضوع پر زیادہ تر مضامین دونوں کو گڈمڈ کر دیتے ہیں اور غلط جواب پر پہنچتے ہیں۔ انہیں الگ رکھنا ہی اس گائیڈ کا مقصد ہے۔

یہ مضمون مارکیٹرز کے لیے عملی رہنمائی ہے، قانونی مشورہ نہیں۔ یہ بنیادی ماخذ کا حوالہ دیتا ہے تاکہ آپ خود جانچ سکیں، مگر ڈیٹا تحفظ کا قانون قومی ریگولیٹرز اور عدالتیں لاگو کرتی ہیں، قومی نفاذ مختلف ہوتے ہیں، اور آپ کے حالات اہم ہیں۔ رضامندی کا عمل، ڈیٹا رکھنے کا اصول یا بین الاقوامی منتقلی بدلنے سے پہلے اپنے دائرہ اختیار کے کسی اہل ماہر سے مشورہ لیں۔

GDPR اور ePrivacy: دو قوانین، ایک سینڈ

ePrivacy ڈائریکٹو کیا کہتا ہے

ڈائریکٹو 2002/58/EC، یعنی ePrivacy ڈائریکٹو، جس میں ڈائریکٹو 2009/136/EC سے ترمیم ہوئی، بھیجنے کا اصول طے کرتا ہے۔ آرٹیکل 13(1) ڈائریکٹ مارکیٹنگ کے لیے الیکٹرانک میل صرف ان سبسکرائبرز کے حوالے سے جائز رکھتا ہے جنہوں نے پیشگی رضامندی دی ہو۔ “Electronic mail” کی تعریف وسیع اور ٹیکنالوجی سے آزاد ہے: آرٹیکل 29 ورکنگ پارٹی کی Opinion 5/2004 نے تصدیق کی کہ اس میں ای میل نیوز لیٹر کے ساتھ ساتھ SMS اور اسی طرح کے محفوظ پیغامات شامل ہیں۔ آرٹیکل 13(2) موجودہ گاہک کا استثنا نکالتا ہے، اور آرٹیکل 13(4) ایسی مارکیٹنگ ای میل پر پابندی لگاتا ہے جو بھیجنے والے کی شناخت چھپائے یا جس میں “ایسا درست پتہ جس پر وصول کنندہ یہ درخواست بھیج سکے کہ ایسے پیغامات بند کیے جائیں” موجود نہ ہو۔

عملی طور پر یہ کیوں اہم ہے

ePrivacy ڈائریکٹو میں رضامندی کی تعریف نہیں دی گئی۔ یہ اپنا مفہوم عمومی ڈیٹا تحفظ قانون سے لیتی ہے: GDPR کا آرٹیکل 94(2) کہتا ہے کہ منسوخ شدہ ڈائریکٹو 95/46/EC کے حوالوں کو GDPR کے حوالے پڑھا جائے گا۔ چنانچہ ePrivacy طے کرتا ہے کہ بھیجنے کے عمل کے لیے رضامندی کب درکار ہے، اور GDPR طے کرتا ہے کہ رضامندی کیا شمار ہوتی ہے اور آپ اسے کیسے ثابت کرتے ہیں۔

اس لیے ایسا ممکن ہے کہ کسی رابطے کا ریکارڈ رکھنے اور اس کا تجزیہ کرنے کے لیے آپ کے پاس درست GDPR بنیاد ہو اور پھر بھی آپ کو اس شخص کو ای میل بھیجنے کا حق نہ ہو۔ اور چونکہ ePrivacy ایک ریگولیشن نہیں بلکہ ڈائریکٹو ہے، اسے قومی قانون میں منتقل کیا جاتا ہے، اس لیے تفصیلات رکن ریاستوں کے درمیان مختلف ہوتی ہیں۔

ای میل مارکیٹنگ کے لیے قانونی بنیاد کا انتخاب

رضامندی

آرٹیکل 6(1)(a) کے تحت رضامندی وہ چیز ہے جس پر زیادہ تر صارف ای میل پروگرام انحصار کرتے ہیں، اور اس کی اچھی وجہ ہے: جہاں ePrivacy بھیجنے کے لیے ویسے بھی پیشگی رضامندی مانگتا ہے، وہاں رضامندی کو اپنی GDPR بنیاد بنانا دو کہانیوں کے بجائے ایک کہانی رکھتا ہے۔ قیمت یہ ہے کہ آرٹیکل 7(3) کے تحت اسے کسی بھی وقت واپس لیا جا سکتا ہے۔

جائز مفاد

آرٹیکل 6(1)(f) ایسی پروسیسنگ کی اجازت دیتا ہے جو کنٹرولر کے جائز مفادات کے لیے ضروری ہو، سوائے اس کے کہ ڈیٹا سبجیکٹ کے مفادات یا بنیادی حقوق اس پر غالب آ جائیں۔ Recital 47 صاف کہتا ہے کہ “ڈائریکٹ مارکیٹنگ کے مقاصد کے لیے ذاتی ڈیٹا کی پروسیسنگ کو جائز مفاد کے تحت انجام دی گئی سمجھا جا سکتا ہے”۔

یہ جملہ مسلسل اس دلیل کے لیے نقل کیا جاتا ہے کہ رضامندی اختیاری ہے۔ اسے غور سے پڑھیے۔ اس کا تعلق پروسیسنگ کی GDPR بنیاد سے ہے، یہ “سمجھا جا سکتا ہے” کہتا ہے، یعنی آپ کو پھر بھی توازن کا امتحان چلانا اور دستاویز کرنا ہوگا، اور یہ بھیجنے پر لاگو ePrivacy اصول کے بارے میں کچھ نہیں کہتا۔ جائز مفاد آپ کے پروگرام کے گرد ہونے والی پروسیسنگ کے لیے سب سے زیادہ قابل دفاع ہے، جیسے سیگمنٹیشن، سپریشن اور تجزیات، اور کاروبار سے کاروبار رابطے کے لیے جہاں قومی قواعد کارپوریٹ سبسکرائبرز کو مختلف سمجھتے ہیں۔ یورپی یونین میں کولڈ کنزیومر ای میل کے لیے یہ کمزور بنیاد ہے۔

موجودہ گاہکوں کے لیے سافٹ آپٹ ان

ePrivacy ڈائریکٹو کا آرٹیکل 13(2) اصل استثنا ہے۔ جہاں کوئی شخص گاہکوں کے ای میل رابطے کی تفصیلات “کسی پروڈکٹ یا خدمت کی فروخت کے سیاق میں” حاصل کرے، وہی شخص انہیں “اپنی ملتی جلتی مصنوعات یا خدمات” کی مارکیٹنگ کے لیے استعمال کر سکتا ہے، بشرطیکہ گاہکوں کو تفصیلات جمع کرتے وقت اور ہر بعد کے پیغام میں “واضح اور نمایاں طور پر، مفت اور آسان طریقے سے اعتراض کا موقع دیا جائے”۔

آرٹیکل 29 ورکنگ پارٹی نے کہا کہ یہ استثنا “کئی طرح سے محدود ہے اور اس کی تشریح تنگ معنوں میں ہونی چاہیے”۔ تین حدود یاد رکھنے کے قابل ہیں:

• یہ صرف حقیقی گاہکوں پر لاگو ہوتا ہے۔ جس نے چیک آؤٹ ادھورا چھوڑا وہ اس میں شامل نہیں۔
• صرف وہی قانونی شخصیت بھیج سکتی ہے جس نے پتہ جمع کیا۔ ذیلی کمپنیاں اور مادر کمپنیاں وہی کمپنی نہیں ہوتیں۔
• صرف ملتی جلتی مصنوعات یا خدمات اہل ہیں، اور اس کا فیصلہ بھیجنے والے کی خواہشات کے بجائے وصول کنندہ کی معقول توقعات سے ہوتا ہے۔

سافٹ آپٹ ان رکن ریاستوں کے درمیان کیسے مختلف ہے

چونکہ ڈائریکٹو قومی سطح پر منتقل ہوا، یہی وہ جگہ ہے جہاں ایک ہی مشورہ منڈی کے حساب سے واقعی الگ ہو جاتا ہے۔

آئرلینڈ میں S.I. No. 336/2011 کا ریگولیشن 13(11) اس استثنا کو دہراتا ہے اور ایک سخت وقت کی حد بھی لگاتا ہے: فروخت “ڈائریکٹ مارکیٹنگ پیغام بھیجنے سے 12 مہینے سے زیادہ پہلے نہ” ہوئی ہو، یا اس مدت کے اندر وہ تفصیلات مارکیٹنگ ای میل کے لیے استعمال ہوئی ہوں۔

برطانیہ میں اس کے مساوی اصول PECR کا ریگولیشن 22 ہے، اور ICO کوئی ایسی وقت کی حد نہیں بتاتا۔ وہ سافٹ آپٹ ان کو ایسے موجودہ گاہک پر لاگو بتاتا ہے “جس نے ماضی میں آپ سے ملتی جلتی پروڈکٹ یا خدمت خریدی ہو (یا خریدنے کی بات چیت کی ہو)”، اور واضح کرتا ہے کہ یہ ممکنہ گاہکوں، خریدی ہوئی لسٹوں، یا خیراتی فنڈ ریزنگ اور سیاسی مہم جیسی غیر تجارتی تشہیر پر لاگو نہیں ہوتا۔

دو پڑوسی منڈیاں، دو نمایاں طور پر مختلف اصول۔ کبھی یہ فرض نہ کریں کہ آپ کے ملک کا ورژن ساتھ سفر کرے گا۔

درست رضامندی کا اصل مطلب

آرٹیکل 4(11) رضامندی کی تعریف یوں کرتا ہے: “ڈیٹا سبجیکٹ کی خواہشات کا کوئی بھی آزادانہ دیا گیا، مخصوص، باخبر اور غیر مبہم اظہار، جس کے ذریعے وہ کسی بیان یا واضح مثبت عمل سے اپنے متعلق ذاتی ڈیٹا کی پروسیسنگ پر اتفاق ظاہر کرے”۔ EDPB نے 4 مئی 2020 کو منظور کردہ Guidelines 05/2020 میں ہر عنصر کی تشریح کی۔

چار عناصر

• آزادانہ دی گئی۔ آرٹیکل 7(4) کہتا ہے کہ اس بات کو “انتہائی حد تک” مدنظر رکھا جائے گا کہ آیا کوئی معاہدہ ایسی پروسیسنگ کی رضامندی سے مشروط کیا گیا جو اس کے لیے ضروری نہیں تھی۔ مارکیٹنگ کی رضامندی کو چیک آؤٹ کی شرط نہ بنائیں۔
• مخصوص۔ جہاں پروسیسنگ کے کئی مقاصد ہوں، وہاں ہر مقصد کے لیے رضامندی لی جانی چاہیے (Recital 32)۔ الگ مقاصد کے لیے الگ انتخاب ضروری ہیں: نیوز لیٹر کا آپٹ ان نہ SMS کی رضامندی ہے، نہ شراکت داروں کے ساتھ ڈیٹا بانٹنے کی۔
• باخبر۔ آرٹیکل 7(2) تقاضا کرتا ہے کہ کسی وسیع اعلامیے میں شامل رضامندی کی درخواست “باقی امور سے واضح طور پر ممتاز، قابل فہم اور آسانی سے قابل رسائی شکل میں، صاف اور سادہ زبان میں” ہو۔
• غیر مبہم۔ کوئی بیان یا واضح مثبت عمل ہونا چاہیے۔

کیا شمار نہیں ہوتا

Recital 32 دو ٹوک ہے: “لہٰذا خاموشی، پہلے سے ٹک کیے ہوئے خانے یا بے عملی رضامندی نہیں بننے چاہئیں”۔ نہ ہی شرائط میں دبا ہوا کوئی چیک باکس، اور نہ ہی ایک ٹک جو ای میل، SMS، پروفائلنگ اور شراکت داروں کے ساتھ اشتراک سب کا احاطہ کرے۔

واپسی

آرٹیکل 7(3) کسی بھی وقت رضامندی واپس لینے کا حق دیتا ہے، پہلے سے اس حق کی اطلاع لازمی کرتا ہے، اور کہتا ہے کہ “رضامندی واپس لینا اتنا ہی آسان ہوگا جتنا اسے دینا تھا”۔ اگر کوئی ایک کلک میں سبسکرائب کر سکتا ہے تو ایسا واپسی کا عمل جس کے لیے لاگ ان اور کسی دبے ہوئے سیٹنگز صفحے کی ضرورت ہو، معیار پر پورا نہیں اترتا۔ واپسی ماضی پر لاگو نہیں ہوتی: اس سے پہلے کی گئی پروسیسنگ قانونی رہتی ہے۔

ثبوت: آپ کو کیا ثابت کرنا ہوگا

آرٹیکل 7(1) مختصر اور بنیادی ہے: “جہاں پروسیسنگ رضامندی پر مبنی ہو، وہاں کنٹرولر یہ ثابت کرنے کے قابل ہوگا کہ ڈیٹا سبجیکٹ نے رضامندی دی تھی”۔ “آپٹ ان: ہاں” والا کالم کچھ ثابت نہیں کرتا۔ وہ ریکارڈ ثابت کرتا ہے جو رضامندی کے لمحے کو دوبارہ تشکیل دے سکے۔

سائن اپ پر کیا محفوظ کریں

فی رابطہ اور فی مقصد یہ درج اور محفوظ کریں:

• رضامندی کے عمل کا ٹائم اسٹیمپ، کسی مستحکم ٹائم زون میں۔
• ماخذ اور طریقہ: کون سا فارم، صفحے کا URL، چینل یا آف لائن ایونٹ۔
• رضامندی کے عین الفاظ اور اس وقت دکھائے گئے پرائیویسی نوٹس کا ورژن۔ ہر قطار پر پورا متن رکھنے سے زیادہ عملی وہ ورژن شناخت کنندہ ہے جو محفوظ شدہ الفاظ تک لے جائے۔
• جن مخصوص مقاصد پر اتفاق ہوا، ایک بولین کے بجائے الگ الگ فلیگز کے طور پر۔
• جہاں آپ ڈبل آپٹ ان استعمال کریں، وہاں تصدیق کا ثبوت اور ٹائم اسٹیمپ۔
• IP پتہ، جہاں خطرے کے تناسب سے مناسب ہو۔ یہ عام رواج اور مفید ثبوت ہے، مگر قانونی تقاضا نہیں، اور خود بھی ذاتی ڈیٹا ہے۔

آرٹیکل 30 الگ سے زیادہ تر اداروں سے پروسیسنگ کی سرگرمیوں کے ریکارڈ رکھنے کا تقاضا کرتا ہے: مقاصد، ڈیٹا سبجیکٹس اور ڈیٹا کی اقسام، وصول کنندگان، منتقلیاں، ڈیٹا رکھنے کی مدت اور سیکیورٹی کے اقدامات۔ 250 سے کم ملازمین والے اداروں کا استثنا تنگ ہے اور وہاں ختم ہو جاتا ہے جہاں پروسیسنگ حقوق اور آزادیوں کے لیے خطرہ بن سکتی ہو، کبھی کبھار نہ ہو، یا خصوصی زمرے کا ڈیٹا شامل ہو۔ گاہکوں کے ڈیٹابیس کو باقاعدہ مارکیٹنگ کبھی کبھار کی سرگرمی نہیں۔

رضامندی کا ثبوت کتنی دیر رکھیں

GDPR کوئی مقررہ مدت طے نہیں کرتا۔ قابل عمل اصول یہ ہے کہ رضامندی کا ثبوت اس مارکیٹنگ سے زیادہ عرصہ زندہ رہے جس کا وہ جواز ہے، اور اس کے ساتھ وہ مدت بھی جس میں حقیقتاً شکایت آ سکتی ہو۔ سبسکرائبر کا ریکارڈ حذف کرتے ہوئے اجازت ثابت کرنے والی ایک محدود لاگ انٹری رکھنا معمول کی بات ہے۔

وہ حقوق جو ای میل پروگرام سے ٹکراتے ہیں

پانچ حقوق ای میل کے عمل میں بار بار سامنے آتے ہیں۔

• رسائی (آرٹیکل 15)۔ تصدیق کہ آپ ان کا ڈیٹا پروسیس کرتے ہیں یا نہیں، اس کی نقل، اور معلومات جن میں مقاصد، ڈیٹا کی اقسام، وصول کنندگان، ڈیٹا رکھنے کی مدت، ماخذ، اور کوئی خودکار فیصلہ سازی یا پروفائلنگ شامل ہو۔ ای میل پروگرام کے لیے اس کا اکثر مطلب صرف پتہ نہیں بلکہ دلچسپی کی تاریخ اور سیگمنٹ کی رکنیت بھی ہے۔
• درستی (آرٹیکل 16)۔ غلط ڈیٹا کی بلا تاخیر تصحیح، اور نامکمل ڈیٹا کی تکمیل۔
• حذف کرنا (آرٹیکل 17)۔ بشمول 17(1)(b)، جہاں رضامندی واپس لے لی گئی ہو اور کوئی دوسری بنیاد لاگو نہ ہو، اور 17(1)(c)، جہاں شخص آرٹیکل 21(2) کے تحت اعتراض کرے۔
• ڈائریکٹ مارکیٹنگ پر اعتراض (آرٹیکل 21)۔ یہ مطلق حق ہے۔ 21(2) کے تحت ڈیٹا سبجیکٹ کو ڈائریکٹ مارکیٹنگ کے لیے پروسیسنگ پر، بشمول متعلقہ پروفائلنگ، “کسی بھی وقت اعتراض کا حق حاصل ہوگا”۔ 21(3) کے تحت “ذاتی ڈیٹا ان مقاصد کے لیے مزید پروسیس نہیں کیا جائے گا”۔ یہاں کوئی توازن کا امتحان لاگو نہیں ہوتا۔
• منتقلی (آرٹیکل 20)۔ یہ وہاں لاگو ہوتا ہے جہاں پروسیسنگ رضامندی یا معاہدے پر ہو اور خودکار ہو، اور اس ڈیٹا کا احاطہ کرتا ہے جو شخص نے خود دیا۔ اخذ کردہ اسکور اور سیگمنٹ عموماً اس سے باہر ہیں۔

جواب کی مدت

آرٹیکل 12(3) تقاضا کرتا ہے کہ آپ بلا تاخیر اور ہر صورت وصولی کے ایک مہینے کے اندر عمل کریں۔ پیچیدگی یا درخواستوں کی تعداد کے پیش نظر یہ مزید دو ماہ بڑھایا جا سکتا ہے، اور آپ کو پہلے مہینے کے اندر وجوہات کے ساتھ اس شخص کو مطلع کرنا ہوگا۔ مارکیٹنگ پر اعتراض زیادہ سے زیادہ مدت سے بہتر سلوک کا مستحق ہے: اسے فوری سپریشن سمجھیں، اور کاغذی کارروائی قانونی مدت کے اندر مکمل کریں۔

عملی نفاذ

سائن اپ فارم

فی مقصد ایک غیر ٹک شدہ اور واضح لیبل والا چیک باکس۔ بھیجنے والے کا نام بتائیں، بتائیں کہ آپ کیا بھیجیں گے اور تقریباً کتنی بار، اور پرائیویسی نوٹس دوبارہ لکھنے کے بجائے اس کا لنک دیں۔ مارکیٹنگ کی رضامندی کو شرائط کی قبولیت کے ساتھ نہ باندھیں اور نہ ہی خریداری کو اس پر مشروط کریں۔ فارم کا ورژن محفوظ کریں تاکہ بعد میں ثابت کر سکیں کہ اسکرین پر کیا تھا۔

ڈبل آپٹ ان اور اس کی اصل قانونی حیثیت

ڈبل آپٹ ان GDPR یا ePrivacy ڈائریکٹو کی طرف سے لازم نہیں۔ کوئی آرٹیکل اسے لازمی نہیں کرتا۔ یہ جو چیز پیدا کرتا ہے وہ ثبوت ہے: مطلوبہ میل باکس سے، ریکارڈ شدہ وقت پر ہونے والی تصدیقی کلک، اس بات کا تقریباً بہترین دستیاب ثبوت ہے کہ اس پتے کا مالک ایک حقیقی شخص متفق ہوا۔ آرٹیکل 29 ورکنگ پارٹی نے نوٹ کیا کہ وہ طریقے جن میں سبسکرائبر رجسٹر ہوتا ہے اور بعد میں اس سے تصدیق مانگی جاتی ہے، “ڈائریکٹو سے ہم آہنگ معلوم ہوتے ہیں”۔

چنانچہ یہ تجویز کردہ ہے، کبھی کبھی زور دے کر، اور بعض منڈیوں میں یہی معمول ہے۔ یہ قانون نہیں۔ اس کی تکنیکی تفصیل ہماری ڈبل آپٹ ان گائیڈ میں ہے۔

ترجیحات کے مراکز اور ان سبسکرائب کا انتظام

ہر مارکیٹنگ پیغام میں آپٹ آؤٹ کی درخواستوں کے لیے ایک درست پتہ ہونا چاہیے، اور موجودہ گاہک کے استثنا کے تحت ہر پیغام میں اعتراض کا آسان اور مفت راستہ شرط ہے، رعایت نہیں۔ ایسا ترجیحات کا مرکز جو تعدد اور موضوع کے انتخاب پیش کرے اچھا عمل ہے، مگر ایک سادہ، ایک قدمی عالمی ان سبسکرائب ہمیشہ دستیاب رہنا چاہیے۔ آپٹ آؤٹ خودکار طریقے سے پروسیس کریں؛ دستی قطاریں ہی وہ راستہ ہیں جس سے ادارے اعتراض کے بعد بھی پیغام بھیجتے رہ جاتے ہیں۔

سپریشن لسٹیں جو منتقلی میں بھی زندہ رہیں

ان سبسکرائب ایک مستقل ہدایت ہے، فی لسٹ سیٹنگ نہیں۔ سپریشن کی حالت برانڈز کے آر پار، اعتراض جن چینلز کا احاطہ کرے ان کے آر پار، اور پلیٹ فارمز کے آر پار عالمی ہونی چاہیے۔ خطرناک لمحہ منتقلی یا دوبارہ امپورٹ ہے: سبسکرائبرز نئے سسٹم میں چلے جاتے ہیں اور اعتراض کے فلیگ ساتھ نہیں آتے۔ ایک تعمیل کرنے والا پروگرام سب سے زیادہ اسی طرح خاموشی سے غیر تعمیل کرنے والا بن جاتا ہے۔

یہی خطرہ اسٹور، CRM اور ای میل پلیٹ فارم کے درمیان ہر انٹیگریشن میں موجود ہے، اور وہیں رضامندی اور سپریشن کی حالت راستے میں گم ہوتی ہے۔ اگر آپ Shopify کا ڈیٹا Brevo میں منتقل کر رہے ہیں تو Tajo وہ سنک پرت ہے جو ان فیلڈز کو سسٹمز کے درمیان لے جاتی ہے۔ آپ جو بھی ٹولنگ استعمال کریں، امتحان ایک ہی ہے: کسی بھی منتقلی کے بعد تصدیق کریں کہ ایک معلوم سپریس شدہ پتہ اب بھی سپریس شدہ ہے۔

ڈیٹا رکھنے کی مدت اور پرانی لسٹوں کی دوبارہ اجازت

ذخیرے کی حد مارکیٹنگ لسٹوں پر لاگو ہوتی ہے، اس لیے غیر فعال رابطوں کے لیے ایک دستاویزی اصول طے کریں اور اسے نافذ کریں۔ اگر کوئی لسٹ برسوں سے استعمال نہ ہوئی ہو تو اکثر دوبارہ اجازت کی مہم تجویز کی جاتی ہے۔ احتیاط کریں: “تصدیق کریں کہ آپ اب بھی ہم سے سننا چاہتے ہیں” والی ای میل زیادہ تر تشریحات میں خود ایک مارکیٹنگ پیغام ہے، اس لیے وہ صرف ان لوگوں کو جا سکتی ہے جنہیں آپ آج قانونی طور پر ای میل کر سکتے ہیں۔ اگر آپ ابھی کوئی بنیاد ثابت نہیں کر سکتے تو دیانتدارانہ جواب حذف کرنا ہے۔ ہماری ای میل لسٹ صفائی گائیڈ صفائی کے پہلو کا احاطہ کرتی ہے۔

آپ کا ESP ایک پروسیسر ہے

آپ کا ای میل سروس فراہم کنندہ آپ کی ہدایات پر ذاتی ڈیٹا پروسیس کرتا ہے، اس لیے آرٹیکل 28 لاگو ہوتا ہے۔ ایک معاہدہ یا کوئی دوسرا پابند قانونی عمل ہونا چاہیے جو پروسیسنگ کا موضوع، مدت، نوعیت اور مقصد، ڈیٹا کی اقسام اور ڈیٹا سبجیکٹ کے زمرے طے کرے۔ پھر آرٹیکل 28(3) دستاویزی ہدایات، رازداری، آرٹیکل 32 کی سیکیورٹی، ذیلی پروسیسرز، ڈیٹا سبجیکٹ کی درخواستوں میں معاونت اور خلاف ورزی کی ذمہ داریوں، خدمت کے اختتام پر ڈیٹا کے حذف یا واپسی، اور آڈٹ کے حقوق پر شرائط کا تقاضا کرتا ہے۔ زیادہ تر فراہم کنندگان ایک معیاری DPA شائع کرتے ہیں۔ اس کی ذیلی پروسیسر فہرست ضرور پڑھیں۔

بین الاقوامی منتقلیاں

اگر ذاتی ڈیٹا EEA سے باہر جاتا ہے تو آپ کو منتقلی کا کوئی طریقہ کار چاہیے۔ آرٹیکل 45 ان ممالک یا فریم ورکس کو منتقلی کی اجازت دیتا ہے جنہیں یورپی کمیشن نے مناسب قرار دیا ہو۔ ورنہ آرٹیکل 46 مناسب حفاظتی اقدامات مانگتا ہے، جو عام طور پر کمیشن کی معیاری معاہداتی شقیں، یا کسی گروپ کے اندر پابند کارپوریٹ قواعد ہوتی ہیں۔ مناسبیت کے فیصلے کئی دائرہ اختیارات کا احاطہ کرتے ہیں، بشمول 10 جولائی 2023 کو منظور ہونے والا EU-US Data Privacy Framework۔ دیکھیں کہ آپ کا ESP ڈیٹا کہاں محفوظ کرتا ہے، صرف یہ نہیں کہ اس کا صدر دفتر کہاں ہے۔

آپ کی منڈی میں اس ضابطے کا نام کیا ہے

قانون پورے یورپی یونین میں ایک ہی ہے۔ نام ایک نہیں۔

یورپی یونین سے باہر الفاظ پھر بدل جاتے ہیں۔ برطانیہ کے پاس PECR کے ساتھ UK GDPR ہے۔ ترکی کے پاس Kisisel Verilerin Korunmasi Kanunu، قانون نمبر 6698، جو KVKK کہلاتا ہے۔ برازیل کے پاس Lei Geral de Protecao de Dados Pessoais، 14 اگست 2018 کا قانون نمبر 13.709، یعنی LGPD۔ انڈونیشیا کے پاس Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi ہے۔ یہ اپنے قواعد رکھنے والے الگ ضوابط ہیں، ترجمے نہیں، اور GDPR پر پورا اترنا خود بخود ان پر پورا اترنا نہیں۔

سزائیں، اور ریگولیٹرز حقیقت میں کیا کرتے ہیں

آرٹیکل 83 دو درجے طے کرتا ہے: 83(4) کے تحت ایک کروڑ یورو تک یا عالمی سالانہ کاروبار کا 2 فیصد، اور 83(5) کے تحت دو کروڑ یورو تک یا 4 فیصد، ہر صورت میں جو زیادہ ہو۔ اونچا درجہ آرٹیکل 5، 6، 7 اور 9 میں بنیادی اصولوں اور رضامندی کی شرائط، آرٹیکل 12 سے 22 میں ڈیٹا سبجیکٹ کے حقوق، اور آرٹیکل 44 سے 49 میں منتقلی کے قواعد کا احاطہ کرتا ہے، اس لیے رضامندی کی ناکامیاں اور نظرانداز کیے گئے اعتراضات وہیں آتے ہیں۔ قومی ePrivacy قواعد اپنی سزائیں بھی شامل کرتے ہیں: آئرلینڈ میں ریگولیشن 13 کی خلاف ورزی فوجداری جرم ہے اور ہر پیغام الگ شمار ہوتا ہے۔

درمیانے درجے کے بھیجنے والے کے لیے روزمرہ کا خطرہ کوئی سرخیوں والا جرمانہ نہیں۔ یہ ایک شکایت ہے جو ریگولیٹر کا سوال کھینچ لاتی ہے: اس پتے کی رضامندی دکھائیں۔

جہاں تعمیل اور کارکردگی ملتی ہیں

درست طریقے سے کیا جائے تو یہ کارکردگی بھی بہتر کرتا ہے۔ حقیقی اور مخصوص اجازت پر بنی لسٹیں زیادہ دلچسپی دکھاتی ہیں اور کم شکایت کرتی ہیں، اور یہی وہ چیز ہے جسے ڈیلیوریبلٹی کے نظام انعام دیتے ہیں۔ ہماری ای میل ڈیلیوریبلٹی گائیڈ اس میکانزم کی وضاحت کرتی ہے، اور ہماری ای میل لسٹ بنانے کی گائیڈ ایسی ایکوزیشن بتاتی ہے جو جانچ پر پوری اترے۔

متعلقہ مضامین

• ڈبل آپٹ ان ای میل: تصدیق شدہ سبسکرپشنز کی مکمل گائیڈ
• ای میل ڈیلیوریبلٹی: مکمل گائیڈ
• ای میل لسٹ بنانا: مکمل گائیڈ
• ای میل لسٹ کی صفائی: مکمل گائیڈ
• ان سبسکرائب پیجز اور ون کلک ان سبسکرائب: بہترین طریقے