CCPA/CPRA: California پرائیویسی قانون گائیڈ
2026 کے لیے اپ ڈیٹ شدہ۔
California کا Consumer Privacy Rights Act (CPRA) 2023 میں نافذ ہوا۔ اس نے California Privacy Protection Agency (CPPA) قائم کی۔ CPPA امریکہ کی پہلی ریاستی پرائیویسی ریگولیٹر ہے۔ 2024 میں CPPA نے 100 ملین ڈالر سے زیادہ جرمانے جاری کیے۔ یہ فعال نفاذ ہے — محض کاغذی اصول نہیں۔
کسے تعمیل کرنی چاہیے
تین ٹیسٹ طے کرتے ہیں کہ آیا قانون لاگو ہوتا ہے۔ کسی کاروبار کو ان میں سے کوئی ایک پورا کرنا ضروری ہے۔
- سالانہ آمدنی $25 ملین یا اس سے زیادہ۔
- 100,000 یا اس سے زیادہ ریاستی صارفین کا ذاتی ڈیٹا۔
- ذاتی معلومات فروخت کرنے سے 50% سے زیادہ آمدنی۔
ریاست میں 40 ملین رہائشی ہیں۔ یہ دنیا کی پانچویں بڑی معیشت ہے۔ زیادہ تر عالمی کمپنیاں کم از کم ایک ٹیسٹ پورا کرتی ہیں۔
حساس ڈیٹا کی 19 کیٹگریاں
قانون حساس ذاتی تفصیلات کے لیے ایک خاص درجہ بناتا ہے۔ کمپنیوں کو صارفین کو اضافی نوٹس اور استعمال محدود کرنے کا حق دینا ہوگا۔ 19 اقسام یہ ہیں:
- سوشل سیکیورٹی، ڈرائیور لائسنس، ریاستی ID، پاسپورٹ نمبر
- رسائی کوڈز کے ساتھ مالی اکاؤنٹ یا کارڈ نمبر
- درست جیولوکیشن (1,852 میٹر کے اندر)
- نسلی یا قومی نژاد
- مذہبی یا فلسفیانہ عقائد
- یونین رکنیت
- نجی ای میل یا ڈاکی خط کا مواد
- جینیاتی معلومات
- شناخت کے لیے بائیومیٹرک ریکارڈ
- صحت یا طبی ریکارڈ
- جنسی رجحان یا جنسی زندگی
- امیگریشن اسٹیٹس (2024 میں شامل)
- ذہنی صحت کے ریکارڈ (2024 میں شامل)
- شہریت کا اسٹیٹس
- رسائی کوڈز کے بغیر مالی اکاؤنٹ نمبر
- معذوری کا اسٹیٹس
- روزگار اسٹیٹس اشارے
- بیمہ پالیسی کی معلومات
- مجرمانہ یا گرفتاری کے ریکارڈ
ہر کیٹگری کے لیے، صارفین کاروبار کے استعمال اور شیئرنگ کو محدود کر سکتے ہیں۔ یہ حق فروخت سے آپٹ آؤٹ کے عام حق سے الگ ہے۔
CPPA نے 2024 میں کیا نشانہ بنایا
CPPA کی 2024 کارروائیاں چار شعبوں میں تھیں۔
ڈیٹا بروکر رجسٹریشن۔ ریاست کا تقاضا ہے کہ ڈیٹا بروکرز CPPA کے ساتھ رجسٹر ہوں۔ ایجنسی نے سینکڑوں غیر رجسٹرڈ بروکرز کو صارف پروفائل فروخت کرتے ہوئے پایا۔
ٹوٹے ہوئے آپٹ آؤٹ ٹولز۔ بہت سے رضامندی پلیٹ فارم نے اصل آپٹ آؤٹ نہیں دیا۔ بٹن کام نہیں کیا، یا آپٹ آؤٹ صرف کچھ استعمالوں کو کور کرتا تھا۔
نوٹس کے بغیر AI فیصلے۔ 2025 کے AI قواعد کا تقاضا ہے کہ خودکار ٹولز اہم فیصلے کریں تو نوٹس دیا جائے۔ ملازمتیں، قرض اور رہائش سبھی شامل ہیں۔ 2024 کے کئی کیسز اس نوٹس کے بغیر استعمال کیے گئے AI ٹولز کو نشانہ بناتے تھے۔
بچوں کے ریکارڈ۔ California کا Age-Appropriate Design Code کسی بھی ایسی سروس پر لاگو ہوتا ہے جو نابالغ استعمال کر سکتے ہیں۔ ان کمپنیوں کو ڈیٹا پروٹیکشن امپیکٹ اسیسمنٹ مکمل کرنی ہوگی۔ CPPA نے پایا کہ بہت سی کمپنیوں نے یہ نہیں کی تھی۔
ریاستی قانون بمقابلہ GDPR: اہم فرق
GDPR تعمیل آپ کو California میں کور نہیں کرتی۔ قوانین کے اہداف مشترک ہیں لیکن اہم نکات پر مختلف ہیں۔
آپٹ آؤٹ بمقابلہ آپٹ ان۔ GDPR کا تقاضا ہے کہ زیادہ تر حساس ڈیٹا کے استعمال کے لیے آپٹ ان رضامندی ملے۔ ریاستی قانون آپٹ آؤٹ ماڈل استعمال کرتا ہے۔ پروسیسنگ کی اجازت ہے جب تک صارف اعتراض نہ کرے۔
صارف حقوق۔ دونوں قوانین رسائی، حذف اور تصحیح کے حقوق دیتے ہیں۔ ریاستی قانون خودکار فیصلوں سے آپٹ آؤٹ کا حق شامل کرتا ہے۔ GDPR آرٹیکل 22 بھی یہ کور کرتا ہے، لیکن محدود دائرہ کار کے ساتھ۔
ملازم ریکارڈ۔ ریاستی قانون ملازم کی ذاتی تفصیلات کو مکمل طور پر کور کرتا ہے۔ GDPR بھی یہ کرتا ہے، لیکن EU رکن ریاستوں کے اپنے روزگار کے قواعد ہیں۔ ریاست میں عملے کی پرائیویسی کو اکثر اپنی تعمیل ٹریک کی ضرورت ہوتی ہے۔
حساس اقسام۔ 19 ریاستی اقسام GDPR آرٹیکل 9 سے جزوی طور پر اوور لیپ ہوتی ہیں۔ امیگریشن اسٹیٹس اور اکیلے اکاؤنٹ نمبر ریاست-مخصوص ہیں۔
یہ ذمہ داریاں کیسے اکٹھی ہوتی ہیں اس کے لیے قانونی تعمیل گائیڈ دیکھیں۔
AI وینڈر ضروریات
2025 کے AI قواعد ان کمپنیوں کے لیے واضح ذمہ داریاں بناتے ہیں جو صارف ریکارڈز پر AI ٹولز استعمال کرتی ہیں۔
وینڈر معاہدے۔ سروس فراہم کنندگان کو ایک تحریری معاہدے پر دستخط کرنے ہوں گے۔ معاہدے کو چار چیزیں کور کرنی ہوں گی۔ پہلی، صرف بیان کردہ مقصد کے لیے ریکارڈ استعمال کریں۔ دوسری، سروس ختم ہونے پر ریکارڈ حذف کریں۔ تیسری، صارف حقوق درخواستیں آگے بھیجیں۔ چوتھی، مناسب سیکیورٹی برقرار رکھیں۔
خودکار فیصلہ نوٹس۔ اگر AI ٹول قرض، دھوکہ دہی یا ملازمت پر فیصلہ کرنے میں مدد کرتا ہے — صارفین کو بتانا ہوگا۔ انہیں آپٹ آؤٹ بھی ملنی چاہیے۔
AI تربیتی حدیں۔ اگر صارف ریکارڈز نے AI ماڈل کو تربیت دی، تو اس ماڈل کی حدیں ہیں۔ اسے ایسے مقاصد کے لیے استعمال نہیں کیا جا سکتا جو اصل جمع کرنے کی وجہ سے متضاد ہوں۔
زیادہ تر ٹیموں کے لیے براہ راست حل: ریکارڈز کسی AI سسٹم میں داخل ہونے سے پہلے ذاتی IDs ہٹا دیں۔ یہ AI فیصلے کے قواعد کو پورا کرتا ہے اور ایک ساتھ حساس قسم کا خطرہ کم کرتا ہے۔
جانیں کہ anonym.legal AI پروسیسنگ سے پہلے شناخت کنندے کیسے ہٹاتا ہے /security-compliance پر۔
اہم نکات
ریاستی قانون ریاست میں کسٹمرز والی زیادہ تر عالمی کمپنیوں کو کور کرتا ہے۔ یہ 19 حساس اقسام، ایک فعال نفاذ ایجنسی اور AI نوٹس قواعد شامل کرتا ہے۔ GDPR تعمیل ریاستی تعمیل کی جگہ نہیں لیتی۔ سب سے واضح قدم: AI ٹولز میں ریکارڈ داخل ہونے سے پہلے ذاتی IDs ہٹا دیں۔
ڈیٹا کم سازی کے بارے میں /docs/faq پر پڑھیں۔
ذرائع
- CPPA: California Privacy Protection Agency۔ cppa.ca.gov۔
- California Privacy Rights Act (CPRA) مکمل متن۔ leginfo.legislature.ca.gov۔
- CPPA: Automated Decision-Making Technology Regulations 2025۔ cppa.ca.gov۔
- California Age-Appropriate Design Code۔ leginfo.legislature.ca.gov۔