DSB آسٹریا: Schrems اور ڈیٹا ٹرانسفر
آسٹریا کی Datenschutzbehörde (DSB)، NOYB کی آبائی ریگولیٹر ہے۔ NOYB کا مطلب ہے "None of Your Business"۔ اسے Max Schrems نے قائم کیا۔ اس نے 2018 سے اب تک 1,000 سے زیادہ GDPR شکایات دائر کی ہیں۔ DSB نے 2022 سے 2024 کے درمیان ان میں سے 422 مقدمات نمٹائے۔
یہ ریکارڈ اہم ہے۔ DSB دو ایسے قانونی معرکوں کے مرکز میں ہے جنہوں نے EU ٹرانسفر قانون کو پہلے سے بدل دیا ہے۔
NOYB اور DSB: ایک نمونہ
Schrems I (2015): Schrems نے Facebook کے EU-US ڈیٹا بہاؤ کے بارے میں شکایت دائر کی۔ CJEU نے Safe Harbor منسوخ کر دیا۔ اس وقت 4,000 سے زیادہ کمپنیاں اس فریم ورک کو استعمال کر رہی تھیں۔
Schrems II (2020): دوسرے چیلنج نے Privacy Shield کو ختم کیا۔ 5,000 سے زیادہ کمپنیاں اس پر منحصر تھیں۔ اس کے خاتمے نے نئی بات چیت کو مجبور کیا۔ نتیجہ EU-US Data Privacy Framework (DPF) تھا جو 2023 میں نافذ ہوا۔
متوقع Schrems III (2025-2026): NOYB نے DPF adequacy decision کو چیلنج کیا ہے۔ اس کا استدلال: FISA سیکشن 702 اب بھی GDPR سے متصادم ہے۔ CJEU ریفرل متوقع ہے۔
78% DSB مقدمات بین الاقوامی ٹرانسفر یا تھرڈ پارٹی ٹولز سے متعلق ہیں۔ یہ توجہ آسٹریا کے ریگولیٹرز کو دیگر EU اداروں سے الگ کرتی ہے۔
DSB کا Google Analytics فیصلہ
DSB کے جنوری 2022 کے Google Analytics فیصلے نے ٹرانسفر مقدمات کا نمونہ قائم کیا۔
اس سے تین اہم نتائج نکلے:
- IP ایڈریس ذاتی ڈیٹا ہے۔ یہاں تک کہ مختصر IPs بھی Google کے سسٹمز میں re-identification ممکن بنا سکتے ہیں۔ سیشن ریکارڈز معاملے کو مزید خراب کر دیتے ہیں۔
- US وینڈر تک رسائی ٹرانسفر ہے۔ جب US انجینئر EU صارف ریکارڈز تک پہنچ سکتے ہیں تو یہ GDPR کے تحت ایک ٹرانسفر ہے۔ یہ سپورٹ، دیکھ بھال، اور قانونی احکام سب پر لاگو ہوتا ہے۔
- TIA کے بغیر SCCs کافی نہیں۔ Standard Contractual Clauses کو Transfer Impact Assessment کی ضرورت ہے۔ TIA کو ثابت کرنا ہوگا کہ US جاسوسی قوانین SCC تحفظات کو منسوخ نہیں کرتے۔
DSB نے آسٹریا کے ویب سائٹ آپریٹر کو ذمہ دار پایا — Google کو نہیں۔ آپریٹر ہی controller تھا۔ یہ ہر اس EU کاروبار پر لاگو ہوتا ہے جو تھرڈ پارٹی اسکرپٹس استعمال کرتا ہے۔ Controller کی ذمہ داریوں کے لیے ہماری GDPR compliance گائیڈ دیکھیں۔
اضافی تکنیکی اقدامات
Schrems II کے بعد EDPB نے اضافی تکنیکی اقدامات پر رہنمائی شائع کی۔ یہ اس وقت لاگو ہوتی ہے جب SCCs اکیلے کافی نہ ہوں۔ DSB اس رہنمائی کو نافذ کرتی ہے۔
تین طریقے DSB کی جانچ سے گزرتے ہیں:
EU میں رکھی چابیوں سے خفیہ کاری۔ ریکارڈ EU سے نکلنے سے پہلے خفیہ کریں۔ ڈیکرپشن چابیاں EU کے ہاتھ میں رکھیں۔ اگر US حکام وینڈر کو فائلیں حوالے کرنے پر مجبور کریں تو انہیں ناقابل پڑھ ciphertext ملتا ہے۔
منتقلی سے پہلے pseudonymization۔ صرف pseudonymous ٹوکن سرحد پار بھیجیں۔ re-ID کی چابی EU کے اندر رکھیں۔ منتقل فائلوں میں کوئی براہ راست ذاتی ڈیٹا نہیں ہوتا۔
مقامی پروسیسنگ۔ تمام پروسیسنگ EU-hosted سرورز پر چلائیں۔ صرف مجموعی، حقیقی طور پر گمنام اعداد و شمار منتقل کریں۔ کوئی ذاتی ریکارڈ سرحد عبور نہیں کرتا۔
DSB نے یہ موقف تصدیق کیا ہے۔ EU ذاتی ڈیٹا کے لیے US SaaS وینڈرز استعمال کرنے والے گروپوں کو کم از کم ایک طریقہ اپنانا ہوگا۔ یا انہیں ثابت کرنا ہوگا کہ منتقل شدہ مواد واقعی گمنام ہے۔
Schrems III کا خطرہ
جو کمپنیاں صرف DPF پر انحصار کرتی ہیں انہیں واضح خطرہ ہے۔ اگر NOYB کا CJEU چیلنج کامیاب ہو تو ان کمپنیوں کو تیزی سے نئے ٹرانسفر ٹولز تلاش کرنے ہوں گے۔ بالکل ایسا ہی 2015 اور 2020 میں ہوا تھا۔
اضافی تکنیکی اقدامات استعمال کرنے والے گروپ محفوظ ہیں۔ اگر مواد واقعی گمنام ہے تو کوئی GDPR ٹرانسفر نہیں ہوتا۔ DPF کے ختم ہونے سے ان پر کوئی اثر نہیں پڑتا۔
آسٹریا میں کام کرنے والوں کے لیے: analytics ٹولز (Google Analytics، Mixpanel، Amplitude) سب DSB کی جانب سے خطرہ پیدا کرتے ہیں۔ US parent کمپنیوں والے CRM سسٹم (Salesforce، HubSpot) بھی۔ جن کلاؤڈ پلیٹ فارمز پر US عملے کے پاس admin رسائی ہو وہ بھی یہی خطرہ رکھتے ہیں۔
ہر معاملے میں حل ایک ہی ہے۔ یقینی بنائیں کہ ذاتی ریکارڈ وینڈر تک پہنچنے سے پہلے واقعی گمنام ہوں۔ یا انہیں ایسی چابیوں سے خفیہ کریں جو EU controller کے پاس ہوں۔ ہماری security and compliance overview بتاتی ہے کہ zero-knowledge ڈیزائن ٹرانسفر کا مسئلہ جڑ سے کیسے ختم کرتا ہے۔