GDPR DPO عمل درآمد گائیڈ: اپنے ڈیٹا پروٹیکشن آفیسر کی تقرری اور آپریشنلائزیشن

صرف 37% تنظیموں نے جو ڈیٹا پروٹیکشن آفیسر کی تقرری کے لیے درکار ہے صحیح طریقے سے کیا ہے۔ بقیہ 63% نے یا تو کسی کو تعینات نہیں کیا، کسی کو مطلوبہ آزادی کے بغیر تعینات کیا ہے، یا مناسب وسائل فراہم نہیں کیے ہیں۔ ڈی پی او کی تقرری جو صرف کاغذ پر موجود ہوتی ہے جب سپروائزری اتھارٹی دستک دیتی ہے تو کوئی تحفظ فراہم نہیں کرتی۔

یہ گائیڈ ڈی پی او کے نفاذ کے مکمل لائف سائیکل کا احاطہ کرتا ہے: اس بات کا تعین کرنا کہ آیا آپ کو کسی کی ضرورت ہے، صحیح شخص کا انتخاب کرنا، کردار کی وضاحت کرنا، اور فنکشن کو فعال کرنا تاکہ یہ حقیقت میں کام کرے۔

اہم ٹیک ویز

• ڈی پی او کی تقرری ان تنظیموں کے لیے لازمی ہے جو ذاتی ڈیٹا کو پیمانے پر پروسیس کرتی ہیں یا ڈیٹا کے خصوصی زمروں کو ہینڈل کرتی ہیں۔
• ڈی پی او کو خود مختار ہونا چاہیے: انہیں اپنے کاموں کو انجام دینے کے بارے میں ہدایت نہیں دی جا سکتی اور ان کے کام کرنے پر سزا نہیں دی جا سکتی
• بیرونی (آؤٹ سورس) DPOs GDPR کے تحت درست ہیں اور SMBs کے لیے اکثر زیادہ عملی ہیں
• ڈی پی او کے کردار کو فعال کرنے کے لیے ڈی پی آئی اے، ڈیٹا سبجیکٹ کی درخواستوں، اور خلاف ورزی کی اطلاع کے لیے دستاویزی ورک فلو کی ضرورت ہوتی ہے۔

---

کیا آپ کو ڈی پی او کی ضرورت ہے؟

لازمی تقرری کا معیار (آرٹیکل 37)

ڈی پی او کی ضرورت ہوتی ہے جب:

1. آپ ایک عوامی اتھارٹی یا ادارہ ہیں (سوائے عدالتوں کے جو عدالتی صلاحیت میں کام کرتی ہیں)
2. آپ کی بنیادی سرگرمیوں کو بڑے پیمانے پر ڈیٹا مضامین کی باقاعدہ اور منظم نگرانی کی ضرورت ہوتی ہے
3. آپ کی بنیادی سرگرمیوں میں ڈیٹا کے خصوصی زمروں کی بڑے پیمانے پر پروسیسنگ شامل ہوتی ہے (صحت، بایومیٹرکس، مجرمانہ ریکارڈ، سیاسی آراء، مذہبی عقائد)

فیصلہ میٹرکس

یہاں تک کہ جب لازمی نہ ہو، ڈی پی او کی تقرری کی سخت سفارش کی جاتی ہے کیونکہ یہ ڈیٹا کے تحفظ کے لیے وابستگی کو ظاہر کرتا ہے۔

---

صحیح ڈی پی او کا انتخاب

مطلوبہ اہلیت (آرٹیکل 37(5))

ڈی پی او کے پاس یہ ہونا ضروری ہے:

• ڈیٹا کے تحفظ کے قانون اور طریقوں کا ماہرانہ علم--- ضروری نہیں کہ وہ وکیل ہو، لیکن GDPR اور متعلقہ مقامی قوانین کی گہری سمجھ
• کاموں کو پورا کرنے کی صلاحیت آرٹیکل 39 میں بیان کیا گیا ہے (نیچے دیکھیں)
• دستیاب ڈیٹا کے مضامین اور نگران حکام کے ذریعے رابطہ کیا جائے گا۔

اندرونی بمقابلہ بیرونی DPO

زیادہ تر SMBs کے لیے: ایک بیرونی DPO سروس زیادہ سرمایہ کاری مؤثر ہے اور حقیقی آزادی فراہم کرتی ہے۔ اس بات کو یقینی بنائیں کہ معاہدہ خلاف ورزی کے جواب اور سپروائزری اتھارٹی کی پوچھ گچھ کے لیے دستیابی کی ضمانت دیتا ہے۔

---

ڈی پی او کی ذمہ داریاں (آرٹیکل 39)

بنیادی کام

1. تنظیم اور اس کے ملازمین کو GDPR کی ذمہ داریوں کے بارے میں مطلع اور مشورہ دیں۔
2. GDPR اور اندرونی ڈیٹا کے تحفظ کی پالیسیوں کے ساتھ تعمیل کی نگرانی
3. DPIAs پر مشورہ دیں (ڈیٹا پروٹیکشن امپیکٹ اسیسمنٹس) اور ان پر عمل درآمد کی نگرانی کریں
4. نگرانی حکام کے ساتھ تعاون کریں اور رابطہ پوائنٹ کے طور پر کام کریں۔
5. ڈیٹا کے موضوع کی درخواستوں کو ہینڈل کریں یا عمل کی نگرانی کریں۔

آپریشنل ورک فلو

ڈیٹا پروٹیکشن امپیکٹ اسیسمنٹ (DPIA) عمل:

ڈیٹا سبجیکٹ کی درخواست ورک فلو:

Request received (email, form, phone)
    |
    v
Identity verification (within 3 days)
    |
    v
Request classification:
  - Access (Art. 15): Provide copy of all personal data
  - Rectification (Art. 16): Correct inaccurate data
  - Erasure (Art. 17): Delete data (if no legal basis to retain)
  - Restriction (Art. 18): Limit processing
  - Portability (Art. 20): Export data in machine-readable format
  - Objection (Art. 21): Stop processing based on legitimate interest
    |
    v
Fulfillment (within 30 days, extendable to 90 for complex requests)
    |
    v
Documentation and closure

---

رپورٹنگ کا ڈھانچہ

آزادی کے تقاضے

GDPR کا حکم ہے کہ DPO:

• انتظامیہ کی اعلیٰ سطح کو رپورٹیں (CEO، بورڈ آف ڈائریکٹرز)
• ہدایت نہیں دی جاسکتی کہ وہ اپنے کام کیسے انجام دیں۔
• ڈی پی او کے فرائض انجام دینے پر برخاست یا جرمانہ نہیں کیا جا سکتا
• مناسب وسائل کے ساتھ فراہم کیا جانا چاہیے (بجٹ، عملہ، تربیت، اوزار)

تنظیمی چارٹ

Board of Directors / CEO
        |
        +--- DPO (direct reporting line)
        |      |
        |      +--- Data Protection Team (if applicable)
        |
        +--- CTO / CIO
        |      |
        |      +--- IT Security (implements controls recommended by DPO)
        |
        +--- COO
        |      |
        |      +--- Business Units (comply with DPO guidance)
        |
        +--- Legal
               |
               +--- Contracts (DPAs reviewed with DPO input)

مفادات کا ٹکراؤ

ڈی پی او ** بیک وقت ایک ایسی پوزیشن پر فائز نہیں ہو سکتا جو ڈیٹا پروسیسنگ کے مقاصد اور ذرائع کا تعین کرتا ہو۔ متضاد کرداروں میں شامل ہیں:

• سی ای او، سی او او، سی ایف او
• آئی ٹی کے سربراہ
• HR کے سربراہ
• مارکیٹنگ کے سربراہ
• جنرل کونسل (بحث، لیکن مسئلہ)

---

ڈی پی او ٹول کٹ

مطلوبہ دستاویزات

ٹیکنالوجی اسٹیک

---

ڈی پی او کی تاثیر کی پیمائش

---

اکثر پوچھے گئے سوالات

کیا DPO کو ذاتی طور پر ذمہ دار ٹھہرایا جا سکتا ہے؟

نہیں، ڈی پی او کا کردار مشاورتی ہے۔ تنظیم (ڈیٹا کنٹرولر) تعمیل کی ذمہ داری برداشت کرتی ہے۔ تاہم، اگر ڈی پی او نے لاپرواہی سے مشورہ دیا تو پیشہ ورانہ نتائج کا سامنا کرنا پڑ سکتا ہے۔ اندرونی ڈی پی اوز کے لیے انشورنس (پیشہ ورانہ معاوضہ) کی سفارش کی جاتی ہے۔

کیا ایک DPO متعدد تنظیموں کی خدمت کرسکتا ہے؟

جی ہاں آرٹیکل 37(2) انڈرٹیکنگز کے گروپ کو ایک ہی ڈی پی او مقرر کرنے کی اجازت دیتا ہے، بشرطیکہ ڈی پی او "ہر اسٹیبلشمنٹ سے آسانی سے قابل رسائی ہو۔" یہ بیرونی DPO سروسز اور کارپوریٹ گروپس کے لیے عام ہے۔ ڈی پی او کے پاس ہر تنظیم کے لیے کافی وقت اور وسائل ہونا چاہیے۔

اگر ضرورت پڑنے پر ہم ڈی پی او کا تقرر نہ کریں تو کیا ہوگا؟

ضرورت پڑنے پر ڈی پی او کی تقرری میں ناکامی براہ راست GDPR کی خلاف ورزی ہے، جس پر 10 ملین یورو یا عالمی سالانہ ٹرن اوور کا 2% جرمانہ ہو سکتا ہے۔ زیادہ عملی طور پر، ڈی پی او کی کمی کسی بھی ڈیٹا کی خلاف ورزی کی تحقیقات میں آپ کے دفاع کو کمزور کر دیتی ہے --- نگران حکام اسے ناکافی حکمرانی کے ثبوت کے طور پر دیکھتے ہیں۔

DPO اپائنٹمنٹ Odoo ERP کے نفاذ کے لیے کیسے کام کرتی ہے؟

اگر آپ کی Odoo مثال پیمانے پر ذاتی ڈیٹا پر کارروائی کرتی ہے (سیکڑوں ملازمین، EU بھر میں ہزاروں صارفین)، تو آپ کو ممکنہ طور پر ایک DPO کی ضرورت ہوگی۔ ڈی پی او کو اوڈو کنفیگریشن کے فیصلوں میں شامل ہونا چاہیے: فی ماڈیول تک رسائی کے کنٹرول، ڈیٹا کو برقرار رکھنے آٹومیشن، آڈٹ لاگنگ سیٹ اپ، اور DPIA خصوصی زمرے (HR، بھرتی) پر کارروائی کرنے والے ماڈیولز کے لیے۔ ECOSIRE ہماری Odoo نفاذ کی خدمات میں گورننس مشاورت شامل ہے۔

---

آگے کیا آتا ہے۔

ڈی پی او کی تقرری پہلا قدم ہے۔ اس کے ارد گرد گورننس پروگرام بنائیں پرائیویسی بذریعہ ڈیزائن، ڈیٹا برقرار رکھنے کی پالیسیاں، اور ملازمین ڈیٹا پرائیویسی مینجمنٹ۔ مکمل گورننس فریم ورک کے لیے، ہماری ڈیٹا گورننس گائیڈ دیکھیں۔

GDPR تعمیل مشاورت اور DPO مشاورتی خدمات کے لیے ECOSIRE سے رابطہ کریں۔

---

ECOSIRE کے ذریعہ شائع کیا گیا -- کاروباروں کو ڈیٹا کے تحفظ کو نافذ کرنے میں مدد کرنا جو کام کرتا ہے۔