نائجیریا NDPR: ڈیٹا پروٹیکشن ریگولیشن کی تعمیل

نائجیریا میں افریقہ کی سب سے بڑی معیشت اور سب سے زیادہ آبادی والا ملک ہے، جو اسے پورے براعظم میں کاروبار کے لیے ایک اہم مارکیٹ بناتا ہے۔ نائیجیریا کے ڈیٹا پروٹیکشن فریم ورک میں نمایاں ترقی ہوئی ہے: جنوری 2019 میں نیشنل انفارمیشن ٹیکنالوجی ڈویلپمنٹ ایجنسی (NITDA) کے جاری کردہ نائجیریا ڈیٹا پروٹیکشن ریگولیشن (NDPR) سے، نائجیریا ڈیٹا پروٹیکشن ایکٹ 2023 (NDPA) تک – جو 14 جون 2023 کو قانون میں دستخط کیے گئے تھے۔ قانونی قانون کے لیے اتھارٹی اور ڈیٹا کا تحفظ۔

NDPR (جو کہ عبوری تعمیل کے لیے متعلقہ رہتا ہے) اور نئے NDPA 2023 فریم ورک دونوں کو سمجھنا نائجیرین آپریشنز، ملازمین، یا صارفین کے ساتھ کسی بھی تنظیم کے لیے ضروری ہے۔

اہم ٹیک ویز

• نائیجیریا ڈیٹا پروٹیکشن ایکٹ 2023 (NDPA) NDPR کی جگہ لے لیتا ہے اور NDPC کو خود مختار نگران اتھارٹی کے طور پر قائم کرتا ہے۔
• NDPA نائیجیریا میں ذاتی ڈیٹا کی پروسیسنگ پر لاگو ہوتا ہے اور بیرونی طور پر جہاں نائیجیریا کے باشندوں کو سامان/خدمات پیش کی جاتی ہیں یا نائجیرین افراد کے رویے کی نگرانی کی جاتی ہے۔
• پروسیسنگ کے لیے چھ قانونی بنیادیں موجود ہیں، صارفین کے ڈیٹا کی بنیادی بنیاد کے طور پر رضامندی کے ساتھ
• حساس ذاتی ڈیٹا (صحت، بایومیٹرکس، نسل، مذہب، سیاسی آراء، جنسی رجحان) محدود استثناء کے ساتھ واضح رضامندی کی ضرورت ہے
• "ڈیٹا پروسیسرز" اور "اہم اہمیت کے ڈیٹا کنٹرولرز" کو مخصوص اضافی ذمہ داریوں کا سامنا کرنا پڑتا ہے بشمول آڈٹ اور تعمیل فائلنگ کی ضروریات
• سرحد پار منتقلی کی پابندیوں کے لیے مناسبیت، مناسب حفاظتی اقدامات، یا رضامندی کی ضرورت ہوتی ہے۔
• NDPC عمومی خلاف ورزیوں پر سالانہ مجموعی آمدنی کا 2% یا ₦10 ملین، جو بھی زیادہ ہو، جرمانہ عائد کر سکتا ہے۔ سنگین خلاف ورزیوں پر ₦50 ملین تک
• تمام ڈیٹا کنٹرولرز کو NITDA کے لائسنس یافتہ آڈیٹرز کے ساتھ سالانہ ڈیٹا پروٹیکشن آڈٹ کرنا چاہیے۔

---

نائیجیریا کا ڈیٹا پروٹیکشن فریم ورک

NDPR سے NDPA تک

NDPR 2019 (نائیجیریا ڈیٹا پروٹیکشن ریگولیشن): NITDA کے مینڈیٹ کے تحت جاری کیا گیا، نہ کہ پارلیمنٹ کے باضابطہ ایکٹ۔ قدرتی افراد اور نائجیریا کے رہائشیوں کے ذاتی ڈیٹا کو سنبھالنے والے اداروں پر لاگو ہوتا ہے۔ ڈیٹا کے تحفظ کے بنیادی اصول، انفرادی حقوق، اور تعمیل کے تقاضوں کو قائم کیا جس میں NITDA کے لائسنس یافتہ آڈیٹرز کے لازمی سالانہ آڈٹ شامل ہیں۔

NDPA 2023 (نائیجیریا ڈیٹا پروٹیکشن ایکٹ): قومی اسمبلی کے ذریعہ نافذ کیا گیا اور 14 جون 2023 کو صدر کے دستخط ہوئے۔ NDPC کو ایک آزاد قانونی ادارہ کے طور پر قائم کرتا ہے۔ ڈیٹا کے تحفظ کی ذمہ داریوں کو بنیادی قانون سازی تک بڑھاتا ہے۔ نئے حقوق اور ذمہ داریوں کا تعارف؛ GDPR کے ساتھ زیادہ قریب سے سیدھ میں این ڈی پی آر کی متضاد دفعات کو ختم کرتا ہے۔

منتقلی: NDPC نے اشارہ کیا ہے کہ NDPR کی تعمیل کے طریقہ کار اور رہنمائی منتقلی کی مدت کے دوران لاگو رہتی ہے۔ وہ تنظیمیں جو NDPR کے مطابق تھیں اضافی ذمہ داریوں کے لیے NDPA کا جائزہ لیں۔

NDPA دائرہ کار

NDPA کا اطلاق اس پر ہوتا ہے:

1. نائیجیریا میں ذاتی ڈیٹا کی پروسیسنگ
2. نائجیریا کے اداروں کے ذریعے ذاتی ڈیٹا کی پروسیسنگ اس بات سے قطع نظر کہ جہاں پروسیسنگ ہوتی ہے۔
3. بیرون ملک مقیم اداروں کے ذریعے کارروائی جہاں نائیجیریا میں افراد کو سامان/خدمات پیش کی جاتی ہیں، یا جہاں نائیجیریا میں افراد کے رویے کی نگرانی کی جاتی ہے۔

---

کلیدی تعریفیں اور ڈیٹا کیٹیگریز

ذاتی ڈیٹا: کسی قابل شناخت فرد سے متعلق کوئی بھی معلومات — نام، شناختی نمبر، مقام کے ڈیٹا، یا جسمانی، جسمانی، جینیاتی، ذہنی، اقتصادی، ثقافتی، یا سماجی شناخت کے لیے مخصوص ایک یا زیادہ عوامل کے حوالے سے براہ راست یا بالواسطہ طور پر قابل شناخت۔

حساس ذاتی ڈیٹا (NDPA کا شیڈول 1): زیادہ تحفظ اور واضح رضامندی درکار ہے۔ زمرہ جات میں شامل ہیں:

• جینیاتی یا بائیو میٹرک ڈیٹا
• صحت یا طبی ریکارڈ
• نسل یا نسلی اصل
• مذہبی یا سیاسی عقائد
• ٹریڈ یونین کی رکنیت
• جنسی رجحان یا سرگرمیاں
• بچے سے متعلق ڈیٹا

بچوں کا ڈیٹا: بچوں کے ڈیٹا پر مخصوص تحفظات لاگو ہوتے ہیں (نائیجیریا کے قانون کے تحت 18 سال سے کم عمر افراد کے طور پر بیان کیا گیا ہے)۔ بچوں کے ذاتی ڈیٹا پر کارروائی کے لیے والدین یا سرپرست کی رضامندی درکار ہے۔ بچوں کے لیے آن لائن خدمات کے لیے والدین کی رضامندی کے تصدیق شدہ طریقہ کار کو لاگو کیا جانا چاہیے۔

---

پروسیسنگ کے لیے قانونی بنیادیں۔

این ڈی پی اے کا سیکشن 25 چھ قانونی بنیادیں قائم کرتا ہے:

1. رضامندی: آزادانہ طور پر دی گئی، مخصوص، باخبر، اور معاہدے کا غیر مبہم اشارہ۔ بغیر کسی نقصان کے کسی بھی وقت واپس لینے کے قابل ہونا چاہیے۔

2. معاہدہ: ڈیٹا سبجیکٹ کے ساتھ معاہدے کی کارکردگی کے لیے ضروری پروسیسنگ، یا معاہدے میں داخل ہونے سے پہلے ڈیٹا سبجیکٹ کی درخواست پر اقدامات کرنا۔

3. قانونی ذمہ داری: کنٹرولر کی قانونی ذمہ داری کی تعمیل کرنے کے لیے ضروری کارروائی۔

4. اہم مفادات: ڈیٹا کے موضوع یا دوسرے شخص کے اہم مفادات کے تحفظ کے لیے ضروری پروسیسنگ۔

5. عوامی مفاد: عوامی مفاد میں کیے گئے کام کی کارکردگی کے لیے، یا کنٹرولر کے اختیار میں سرکاری عوامی مینڈیٹ کے استعمال کے لیے ضروری کارروائی۔

6. جائز مفادات: کنٹرولر یا فریق ثالث کی طرف سے پیروی کرنے والے جائز مفادات کے مقاصد کے لیے ضروری پروسیسنگ — سوائے اس کے کہ جہاں ڈیٹا کے موضوع کے بنیادی حقوق اور آزادیوں کو زیر کیا گیا ہو۔ (نوٹ: اس بنیاد پر عوامی اتھارٹی اپنے کاموں کی انجام دہی میں انحصار نہیں کر سکتی۔)

رضامندی کے تقاضے: ہر پروسیسنگ مقصد کے لیے مخصوص ہونا چاہیے؛ آزادانہ طور پر دیا گیا (غیر ضروری پروسیسنگ کی رضامندی پر معاہدے کی کوئی شرط نہیں)؛ ریکارڈ شدہ اور قابل نمائش؛ واپس لینا اتنا ہی آسان ہے جتنا دینا۔ پہلے سے ٹک شدہ بکس، خاموشی، یا غیرفعالیت درست رضامندی نہیں بنتی۔

---

ڈیٹا سبجیکٹ کے حقوق

این ڈی پی اے افراد کو مندرجہ ذیل حقوق دیتا ہے، جو کنٹرولر کی طرف سے بغیر کسی تاخیر کے قابل عمل ہیں:

جواب کی ٹائم لائنز: NDPA کو "بغیر کسی تاخیر کے" جوابات کی ضرورت ہوتی ہے — NDPC رہنمائی 30 دن کو ایک معقول معیار کے طور پر بتاتی ہے، اگر ڈیٹا کے موضوع کو پہلے 30 دنوں میں مطلع کیا جاتا ہے تو پیچیدہ درخواستوں کے لیے 60 دن تک توسیع کے ساتھ۔

---

کنٹرولر کی ذمہ داریاں

رازداری کا نوٹس

کنٹرولرز کو جمع کرنے پر یا اس سے پہلے رازداری کی معلومات فراہم کرنی چاہیے:

• کنٹرولر کی شناخت اور رابطے کی تفصیلات
• ڈیٹا پروٹیکشن آفیسر کے رابطے کی تفصیلات (اگر قابل اطلاق ہو)
• پروسیسنگ کے مقاصد اور قانونی بنیادیں۔
• وصول کنندگان یا ذاتی ڈیٹا کے وصول کنندگان کے زمرے
• تیسرے ممالک میں منتقلی اور حفاظتی اقدامات
• برقرار رکھنے کی مدت یا ان کا تعین کرنے کا معیار
• ڈیٹا کے موضوع کے حقوق اور ان کا استعمال کیسے کریں۔
• رضامندی واپس لینے کا حق (جہاں رضامندی کی بنیاد ہے)
• NDPC میں شکایت درج کرانے کا حق

زبان: نائجیریا کی کارروائیوں کے لیے پرائیویسی نوٹس انگریزی (نائیجیریا کی سرکاری زبان) میں ہونے چاہئیں اور اس میں غیر انگریزی بولنے والی نمایاں آبادی والے علاقوں میں صارفین کو درپیش مصنوعات کے مقامی ترجمہ شامل کرنے کی ضرورت پڑ سکتی ہے۔

ڈیٹا پروٹیکشن آفیسر (DPO)

این ڈی پی اے کو اس کے لیے ڈی پی او کی تقرری کی ضرورت ہے:

• ڈیٹا کنٹرولرز یا بڑی اہمیت کے پروسیسرز (جس کی تعریف 10,000 سے زیادہ ڈیٹا مضامین کے ڈیٹا پر کارروائی کرنے والے یا بنیادی سرگرمی کے طور پر حساس ڈیٹا پر کارروائی کے طور پر کی جاتی ہے)
• عوامی حکام

ڈی پی او کی ذمہ داریاں:

• ڈیٹا کے تحفظ کی ذمہ داریوں کے بارے میں آگاہ کریں اور مشورہ دیں۔
• NDPA اور داخلی پالیسیوں کے ساتھ تعمیل کی نگرانی کریں۔
• ڈیٹا کے مضامین اور NDPC کے لیے رابطہ پوائنٹ کے طور پر کام کریں۔
• NDPC تحقیقات میں تعاون کریں۔

سالانہ ڈیٹا پروٹیکشن آڈٹ

نائیجیریا کی سب سے مخصوص تعمیل کی ضروریات میں سے ایک: **تمام ڈیٹا کنٹرولرز کو NDPC (پہلے NITDA کے تحت NDPR) کے ساتھ سالانہ ڈیٹا پروٹیکشن آڈٹ کرنا اور فائل کرنا چاہیے۔ آڈٹ NITDA کے لائسنس یافتہ ڈیٹا پروٹیکشن کمپلائنس آرگنائزیشن (DPCO) کے ذریعے کرایا جانا چاہیے۔ DPCO ایک آڈٹ رپورٹ جاری کرتا ہے جس میں کنٹرولر کے ڈیٹا پروٹیکشن کے طریقوں، تعمیل کے فرق، اور تدارک کی سفارشات کا احاطہ کیا جاتا ہے۔ یہ این ڈی پی سی کے پاس سالانہ دائر کیا جانا چاہیے۔

آڈٹ دائرہ کار کا احاطہ کرتا ہے:

• ڈیٹا انوینٹری اور فلو میپنگ
• قانونی بنیاد پر دستاویزات
• رازداری کے نوٹس کی کافی مقدار
• حفاظتی اقدامات
• ڈیٹا کے موضوع کے حقوق کے طریقہ کار
• سرحد پار منتقلی کی تعمیل
• نوٹیفکیشن کے طریقہ کار کی خلاف ورزی
• عملے کی تربیت

لاگت: آڈٹ فیس ڈی پی سی او کے لحاظ سے مختلف ہوتی ہے۔ تنظیم کے سائز اور پیچیدگی کے لحاظ سے ₦500,000–₦5,000,000+ کی توقع ہے۔

ڈیٹا پروٹیکشن امپیکٹ اسیسمنٹس (DPIAs)

سیکشن 30 اعلی خطرے والی پروسیسنگ سرگرمیوں کے لیے DPIAs کی ضرورت ہے بشمول:

• خودکار پروسیسنگ، پروفائلنگ، یا پیشین گوئیوں کا استعمال کرتے ہوئے ذاتی پہلوؤں کی منظم تشخیص
• حساس ذاتی ڈیٹا کی بڑے پیمانے پر پروسیسنگ
• بڑے پیمانے پر عوامی طور پر قابل رسائی علاقوں کی منظم نگرانی

---

سیکیورٹی کے تقاضے

این ڈی پی اے کے سیکشن 38 میں خطرے کے لیے مناسب تکنیکی اور تنظیمی حفاظتی اقدامات کی ضرورت ہے۔ NDPC اور NITDA نے یہ بتاتے ہوئے تکنیکی رہنمائی جاری کی ہے:

کم سے کم تکنیکی اقدامات:

• اسٹوریج اور ٹرانسمیشن میں ذاتی ڈیٹا کی خفیہ کاری (ٹرانسمیشن کے لیے TLS، حساس ڈیٹا کے لیے AES-256)
• تصدیق اور کم سے کم استحقاق کے ساتھ رسائی کا کنٹرول
• تخلص جہاں ممکن ہو۔
• سسٹم آڈٹ ٹریلز اور ایکسیس لاگز
• باقاعدگی سے سیکورٹی ٹیسٹنگ (کم از کم سالانہ)
• واقعے کا پتہ لگانے اور ردعمل کی صلاحیتیں۔
• محفوظ بیک اپ اور ریکوری

کم سے کم تنظیمی اقدامات:

• دستاویزی رازداری اور حفاظتی پالیسیاں
• ڈیٹا کے تحفظ کی ذمہ داریوں پر عملے کی تربیت
• ڈیٹا کی درجہ بندی کا فریم ورک
• وینڈر/پروسیسر سیکورٹی کے جائزے
• ڈیٹا پروسیسنگ کی سہولیات کے لیے جسمانی حفاظتی کنٹرول

---

سرحد پار ڈیٹا کی منتقلی

NDPA کا سیکشن 43 نائیجیریا سے باہر ذاتی ڈیٹا کی منتقلی پر پابندی لگاتا ہے۔ اجازت شدہ میکانزم:

1. NDPC کی مناسبیت کا فیصلہ: NDPC کی طرف سے طے شدہ ملک میں منتقلی تاکہ ڈیٹا کا مناسب تحفظ ہو
2. مناسب تحفظات: ڈیٹا کے مضامین کو قابل نفاذ حقوق فراہم کرنے والے حفاظتی اقدامات کے تحت منتقلی، بشمول:

• سرکاری حکام کے درمیان قانونی طور پر پابند آلہ
• کارپوریٹ قوانین کا پابند
• NDPC کی طرف سے منظور شدہ معیاری معاہدے کی شقیں۔
• پابند عہدوں کے ساتھ سرٹیفیکیشن میکانزم

3. واضح رضامندی: مجوزہ منتقلی، خطرات، اور مناسب فیصلے یا حفاظتی اقدامات کی عدم موجودگی کے بارے میں ڈیٹا کے موضوع کی باخبر رضامندی
4. معاہدے کی ضرورت: ڈیٹا سبجیکٹ اور کنٹرولر کے درمیان معاہدے کے لیے ضروری منتقلی
5. اہم مفادات: اہم مفادات کا تحفظ جہاں رضامندی حاصل نہیں کی جاسکتی ہے
6. عوامی مفاد: اہم عوامی مفاد کے لیے منتقلی ضروری ہے۔

NDPC کی مناسبیت کے تعین: کمیشن اپنا مناسب فریم ورک تیار کر رہا ہے۔ 2026 کے اوائل تک، کوئی باضابطہ مناسب فیصلے شائع نہیں کیے گئے ہیں۔ معیاری معاہدے کی شقیں معمول کی سرحد پار منتقلی کے لیے تجویز کردہ طریقہ کار ہیں جبکہ مناسبیت کا فریم ورک پختہ ہو جاتا ہے۔

---

خلاف ورزی کی اطلاع

NDPA کے سیکشن 40 میں ذاتی ڈیٹا کی خلاف ورزیوں کی اطلاع کی ضرورت ہے:

NDPC کو اطلاع: کسی خلاف ورزی کے بارے میں آگاہ ہونے کے 72 گھنٹے کے اندر جس کے نتیجے میں افراد کے حقوق اور آزادیوں کو خطرہ لاحق ہوسکتا ہے۔

متاثرہ افراد کے لیے اطلاع: بغیر کسی تاخیر کے، جہاں خلاف ورزی کے نتیجے میں ان کے حقوق اور آزادیوں کو زیادہ خطرہ لاحق ہو سکتا ہے۔

NDPC کو اطلاعی مواد:

• خلاف ورزی کی نوعیت اور زمرہ جات/متاثرہ ڈیٹا مضامین کی تخمینی تعداد
• زمرے اور متاثرہ ذاتی ڈیٹا ریکارڈز کی تخمینی تعداد
• ڈی پی او سے رابطہ کی تفصیلات
• خلاف ورزی کے ممکنہ نتائج
• خلاف ورزی سے نمٹنے کے لیے اٹھائے گئے یا تجویز کیے گئے اقدامات، بشمول منفی اثرات کو کم کرنے کے اقدامات

دستاویزات: تمام خلاف ورزیوں (یہاں تک کہ جن کو اطلاع کی ضرورت نہیں ہے) کو حقائق، اثرات، اور تدارک کے اقدامات کے ساتھ اندرونی طور پر دستاویز کیا جانا چاہیے۔

---

NDPC نفاذ اور جرمانے

نائیجیریا ڈیٹا پروٹیکشن کمیشن (NDPC) NDPA 2023 کے تحت قائم ایک آزاد سرکاری ایجنسی ہے۔ اختیارات میں شامل ہیں:

• شکایات وصول کرنا اور تفتیش کرنا
• آڈٹ کا انعقاد (منصوبہ بند اور غیر اعلانیہ)
• تعمیل کے نوٹس جاری کرنا
• انتظامی پابندیاں لگانا
• اٹارنی جنرل کو مجرمانہ خلاف ورزیوں کا حوالہ دینا

انتظامی جرمانے:

مجرمانہ سزائیں: NDPA بعض خلاف ورزیوں کے لیے مجرمانہ ذمہ داری فراہم کرتا ہے، بشمول ذاتی ڈیٹا میں غیر قانونی تجارت۔ این ڈی پی اے سیکشن 48 قید سمیت مجرمانہ پابندیوں کا انتظام کرتا ہے۔

NITDA نفاذ کی تاریخ: NDPR کے تحت، NITDA نے جرمانے عائد کیے جن میں شامل ہیں: Spenmo Technologies (₦10 ملین)، Julius Berger Nigeria (₦10 ملین)، Integrated Corporate Services Limited (₦4 ملین)۔ یہ نائیجیریا میں کام کرنے والی ملکی اور بین الاقوامی دونوں کمپنیوں تک فعال نفاذ کا مظاہرہ کرتے ہیں۔

---

NDPA تعمیل چیک لسٹ

• NDPA لاگو ہونے کی تصدیق ہوگئی (نائیجیریا کے آپریشنز، نائجیریا کے صارفین/ملازمین)
• ذاتی ڈیٹا کی انوینٹری مکمل ہو گئی۔
• حساس ذاتی ڈیٹا کی نشاندہی کی گئی — واضح رضامندی حاصل کی گئی۔
• بچوں کے ڈیٹا کی نشاندہی کی گئی — والدین کی رضامندی کے طریقہ کار کو نافذ کیا گیا۔
• ہر پروسیسنگ سرگرمی کے لئے قانونی بنیاد دستاویزی ہے۔
• رازداری کا نوٹس انگریزی میں تمام مطلوبہ انکشافات کے ساتھ تیار کیا گیا ہے۔
• جہاں ضرورت ہو ڈی پی او مقرر کیا گیا (10,000+ ڈیٹا مضامین/ماہ یا حساس ڈیٹا کور سرگرمی)
• سالانہ ڈیٹا پروٹیکشن آڈٹ کا منصوبہ NITDA کے لائسنس یافتہ DPCO کے ساتھ
• ڈیٹا کے موضوع کے حقوق کے طریقہ کار کو دستاویز کیا گیا ہے۔
• سرحد پار منتقلی کا جائزہ مکمل ہو گیا — SCCs یا دیگر طریقہ کار موجود ہے۔
• حفاظتی اقدامات نافذ کیے گئے (انکرپشن، رسائی کنٹرول، آڈٹ لاگنگ)
• DPIA ہائی رسک پروسیسنگ سرگرمیوں کے لیے کرایا گیا۔
• خلاف ورزی کی اطلاع کے طریقہ کار کو دستاویز کیا گیا (72 گھنٹے NDPC نوٹیفکیشن)
• NDPA کی ذمہ داریوں پر ملازمین کی تربیت مکمل ہو گئی۔
• پروسیسر کے معاہدوں (ڈیٹا پروسیسنگ معاہدے) کا جائزہ لیا اور اپ ڈیٹ کیا گیا۔

---

اکثر پوچھے گئے سوالات

کیا NDPR اب بھی متعلقہ ہے جب NDPA 2023 نافذ ہو چکا ہے؟

این ڈی پی اے 2023 این ڈی پی آر کی متضاد دفعات کو ختم کرتا ہے۔ تاہم، NDPC نے اشارہ کیا ہے کہ NDPR رہنمائی اور تعمیل کا طریقہ کار منتقلی کی مدت کے دوران لاگو رہتا ہے۔ اہم بات یہ ہے کہ سالانہ آڈٹ کی ضرورت — NDPR کی سب سے مخصوص خصوصیات میں سے ایک — NDPA کے تحت جاری ہے۔ وہ تنظیمیں جنہوں نے NDPR کے ارد گرد اپنے تعمیل کے پروگرام بنائے ہیں، انہیں NDPA کا جائزہ لینا چاہیے کہ وہ نئی یا بہتر ذمہ داریوں کے لیے، خاص طور پر ڈیٹا کے موضوع کے حقوق، حساس ڈیٹا، سرحد پار منتقلی، اور DPO کی ضرورت کے بارے میں۔

ڈیٹا پروٹیکشن کمپلائنس آرگنائزیشن (DPCO) کیا ہے اور مجھے اس کی ضرورت کیوں ہے؟

DPCO ڈیٹا پروٹیکشن آڈٹ اور تعمیل کی خدمات فراہم کرنے کے لیے NITDA/NDPC کے ذریعے لائسنس یافتہ ایک تنظیم ہے۔ نائیجیریا کے قانون کے تحت درکار سالانہ ڈیٹا پروٹیکشن آڈٹ ایک لائسنس یافتہ DPCO کے ذریعے کرایا جانا چاہیے — صرف خود تشخیص اس ضرورت کو پورا نہیں کرتا ہے۔ DPCOs آپ کے ڈیٹا کے تحفظ کے طریقوں کا جائزہ لیتے ہیں، تعمیل کی رپورٹ جاری کرتے ہیں، اور آپ کی طرف سے NDPC کے پاس آڈٹ فائل کرتے ہیں۔ لائسنس یافتہ DPCOs کی فہرست NITDA اور NDPC کی ویب سائٹس پر دستیاب ہے۔ نائیجیرین آپریشنز کے ساتھ بیرون ملک مقیم کمپنیوں کے لیے، سالانہ آڈٹ کی ذمہ داری کو پورا کرنے کے لیے DPCO کو شامل کرنا ضروری ہے۔

"بڑی اہمیت کا ڈیٹا کنٹرولر" کا کیا مطلب ہے اور اضافی ذمہ داریاں کیا ہیں؟

اہم ڈیٹا کنٹرولرز کی تعریف ان لوگوں کے طور پر کی جاتی ہے جو ہر ماہ 10,000 سے زیادہ ڈیٹا مضامین کے ذاتی ڈیٹا پر کارروائی کرتے ہیں، یا جو بنیادی سرگرمی کے طور پر حساس ذاتی ڈیٹا پر کارروائی کرتے ہیں۔ ان اداروں کے لیے اضافی ذمہ داریوں میں شامل ہیں: لازمی DPO تقرری، NDPC کے ساتھ رجسٹریشن (VERBİS قسم کی رجسٹری سے الگ)، سالانہ آڈٹ کی اضافی ضروریات، اور ممکنہ اضافی تعمیل فائلنگ۔ درمیانے اور بڑے ای کامرس کاروبار، مالیاتی خدمات کی کمپنیاں، ہیلتھ پلیٹ فارمز، اور ٹیلی کام آپریٹرز کو اہم اہمیت کے ڈیٹا کنٹرولرز کے طور پر اہل ہونے کا امکان ہے۔

نائیجیریا کا NDPA GDPR سے کیسے موازنہ کرتا ہے؟

NDPA ساخت اور مواد میں GDPR پر بہت زیادہ توجہ دیتا ہے — چھ قانونی بنیادیں، حساس ڈیٹا کے ایک جیسے زمرے (علاوہ بائیو میٹرکس اور جینیاتی ڈیٹا)، اسی طرح کے ڈیٹا کے موضوع کے حقوق، DPO کی ضروریات، DPIA کی ذمہ داریاں، اور خلاف ورزی کی اطلاع۔ کلیدی اختلافات: (1) نائجیریا کے لازمی سالانہ بیرونی آڈٹ کا کوئی GDPR مساوی نہیں ہے۔ (2) NDPC کی اہلیت کے تعین EU کمیشن کے مناسبیت کے فریم ورک سے کم ترقی یافتہ ہیں۔ (3) نائیجیریا کا نفاذ کا بنیادی ڈھانچہ نیا اور اب بھی ترقی پذیر ہے۔ (4) NDPA کے جرمانے عام طور پر بڑی کمپنیوں کے لیے GDPR کی زیادہ سے زیادہ حد سے کم ہیں۔ (5) نائیجیریا کے سرحد پار منتقلی کے قوانین اسی طرح جی ڈی پی آر کے مطابق بنائے گئے ہیں لیکن عمل درآمد میں مخصوص میکانزم مختلف ہیں۔

کیا NDPA بیرون ملک کام کرنے والی نائجیرین کمپنیوں پر لاگو ہوتا ہے؟

جی ہاں NDPA کا اطلاق نائیجیریا کے اداروں پر ہوتا ہے قطع نظر اس سے کہ پروسیسنگ کہاں ہوتی ہے۔ آف شور کلاؤڈ انفراسٹرکچر، سمندر پار ذیلی کمپنیاں، یا بین الاقوامی آپریشنز کے ساتھ ایک نائیجیرین کمپنی نائجیرین افراد کے ڈیٹا پر کارروائی کے لیے NDPA کے تابع رہتی ہے۔ اس کے برعکس، نائیجیریا کے اندر موجود نائیجیریا کے ڈیٹا پر کارروائی کرنے والے بیرون ملک مقیم ادارے، یا نائیجیرین باشندوں کو سامان/خدمات پیش کرتے ہیں، وہ بھی NDPA کی بیرونی دفعات کے تابع ہیں۔ یہ نائجیریا کی کثیر القومی کمپنیوں کے لیے دوہری ذمہ داری پیدا کرتا ہے — نائجیریا کے ڈیٹا کے لیے NDPA کی تعمیل اور ہر اس ملک کے قوانین کی تعمیل جہاں وہ کام کرتے ہیں۔

---

اگلے اقدامات

NDPA 2023 نے ایک مضبوط قانونی فریم ورک اور NDPC کے نفاذ کی صلاحیت کو قائم کرنے کے ساتھ نائجیریا کا ڈیٹا پروٹیکشن لینڈ سکیپ تیزی سے پختہ ہو رہا ہے۔ نائیجیرین آپریشنز کے ساتھ کاروبار کے لیے - چاہے مقامی کمپنیاں ہوں یا نائجیریا کی مارکیٹ میں خدمات انجام دینے والی بین الاقوامی فرمیں - ایک جامع تعمیل پروگرام بنانا جو NDPA اور NDPR کی جاری ضروریات دونوں کو پورا کرتا ہے۔

ECOSIRE افریقہ میں کام کرنے والے کاروباروں کو نائیجیریا کی NDPA کی تعمیل کی ضروریات کو نیویگیٹ کرنے، ڈیزائن کے ذریعے ڈیٹا کے تحفظ کو لاگو کرنے، اور NDPC کے لیے ضروری گورننس فریم ورک قائم کرنے میں مدد کرتا ہے۔

مزید جانیں: ECOSIRE سروسز

ڈس کلیمر: یہ گائیڈ صرف معلوماتی مقاصد کے لیے ہے اور قانونی مشورے پر مشتمل نہیں ہے۔ نائیجیریا کا ڈیٹا پروٹیکشن فریم ورک تیار ہو رہا ہے کیونکہ NDPC رہنمائی اور ضوابط کو لاگو کرنے کے مسائل کو جاری کرتا ہے۔ اپنی تنظیم کے لیے مخصوص مشورے کے لیے قابل نائیجیرین قانونی مشیر سے رجوع کریں۔