Brexit کے بعد UK GDPR: کیا بدلا
UK Data Protection Act 2018 نے UK GDPR کو قانونی حیثیت دی۔ یہ EU GDPR کے قریب ہے — لیکن ہر معاملے میں نہیں۔ اگر آپ UK اور EU دونوں میں کام کرتے ہیں تو آپ کو دو الگ الگ تعمیل جانچ کرنی ہوں گی۔
جو کچھ وہی رہا:
- ڈیٹا پروسیسنگ کی چھ قانونی بنیادیں
- صارف کے حقوق: رسائی، حذف، درستگی، منتقلی
- ریگولیٹر کو 72 گھنٹے میں خلاف ورزی کا نوٹس
- ڈیزائن اور پہلے سے رازداری
جو بدلا:
- UK اب سرحد پار منتقلی کے لیے اپنے خود کے adequacy فیصلے کرتا ہے
- 2023–2024 میں جاری UK AI رہنمائی EDPB سے آگے جاتی ہے
- UK تحقیقی استثناء EU سے قدرے وسیع ہیں
- ریگولیٹر مشورہ دینے سے جرمانے لگانے کی طرف تیزی سے بڑھ رہا ہے
UK اور EU کے قوانین میں فرق حقیقی ہے۔ ان دونوں کو دو الگ checklist کے طور پر سمجھیں۔
LastPass جرمانہ: خفیہ کاری اب قانونی معیار ہے
دسمبر 2025 میں ICO نے LastPass UK پر £1.2 ملین جرمانہ عائد کیا کیونکہ اس کا خفیہ کاری کا نظام ناقص تھا۔ یہ UK GDPR کی تکنیکی سیکیورٹی پر اب تک کا سب سے اہم فیصلہ ہے۔
ریگولیٹر کو کیا ملا: LastPass نے vault ریکارڈز server-held keys کے ساتھ محفوظ کیے۔ جو کوئی سرور تک پہنچ سکتا تھا وہ vault پڑھ سکتا تھا۔ فیصلے میں یہ پایا گیا کہ اس سے UK GDPR آرٹیکل 32 کی "مناسب تکنیکی اقدامات" کی شرط ٹوٹتی ہے۔
نوٹس کا کلیدی جملہ: "کنٹرولر کو client-side encryption استعمال کرنی چاہیے تھی۔ اس سے سرور کی خلاف ورزی ہونے پر بھی صارف کے vault ریکارڈز محفوظ رہتے۔"
یہ کیا طے کرتا ہے: اگر کوئی محفوظ ڈیزائن موجود ہے اور قابل عمل ہے تو کمزور ڈیزائن استعمال کرنا آرٹیکل 32 کی خلاف ورزی ہو سکتی ہے۔ Server-side key management اب حساس ریکارڈز کے لیے محفوظ پہلے سے طے شدہ طریقہ نہیں رہا۔
خطرے میں کون ہے: کوئی بھی سروس جو حساس ریکارڈز محفوظ کرے اور اپنے سرورز پر encryption keys رکھے۔ اس میں وہ ٹولز شامل ہیں جو audit trails، usage stats یا document history کے لیے ٹیکسٹ لاگ کرتے ہیں۔ اگر سرور ٹیکسٹ پڑھ سکتا ہے تو ریگولیٹر پوچھ سکتے ہیں کہ آپ نے client-side ڈیزائن کیوں نہیں اپنایا۔ دیکھیں کہ anonym.legal اسے zero-knowledge architecture کے ساتھ کیسے سنبھالتا ہے۔
UK AI رہنمائی: آٹھ تکنیکی قوانین
UK ریگولیٹر نے 2023–2024 میں generative AI سسٹمز کے لیے تفصیلی AI رہنمائی شائع کی۔ اس میں آٹھ مخصوص ضروریات ہیں۔ EU کی اسی قسم کی رہنمائی اتنی تفصیلی نہیں۔
1. Training data کا ماخذ — ذاتی ریکارڈز پر تربیت یافتہ AI کو یہ لاگ کرنا ہوگا کہ ڈیٹا کہاں سے آیا اور اسے صاف کرنے کے لیے کیا اقدامات کیے گئے۔
2. Output کی نگرانی — ذاتی output تیار کرنے والے سسٹمز میں ناقص افشاء کو پکڑنے اور روکنے کے لیے کنٹرول ہونے چاہئیں۔
3. مقصد کی حد — AI تربیت کے لیے استعمال کیے گئے ریکارڈز کو بیان کردہ مقصد سے مطابقت رکھنی چاہیے۔
4. خودکار فیصلوں کے حقوق — اگر آپ کا AI کسی شخص کے بارے میں اہم فیصلے کرتا ہے تو اسے رسائی، وضاحت اور اپیل کی حمایت کرنی چاہیے۔
5. Bias کی نگرانی — جو سسٹم محفوظ خصوصیات استعمال کریں — براہ راست یا اندازے سے — انہیں bias جانچ ہونی چاہیے۔
6. Fine-tuning سے پہلے minimization — fine-tuning سے پہلے ذاتی ریکارڈز کم کرنے ہوں گے۔ صرف پالیسی کافی نہیں ہے۔
7. Model weights سے حذف — اگر ریکارڈز model weights میں داخل ہوں تو آپ کو حذف کی درخواستوں کے لیے ایک منصوبہ درکار ہے۔
8. تھرڈ پارٹی AI کا جائزہ — اگر آپ کسی اور کمپنی کی AI استعمال کرتے ہیں تو آپ کو تمام آٹھ نکات پر اس کی تعمیل کو جانچنا اور ریکارڈ کرنا ہوگا۔
یہ آٹھ قوانین کسی بھی UK AI deployment کے لیے عملی checklist بناتے ہیں۔
UK نفاذ: جرمانوں کی طرف تبدیلی
ریگولیٹر پہلے جرمانوں کے بجائے رہنمائی خطوط کو ترجیح دیتا تھا۔ یہ بدل رہا ہے۔ حالیہ اقدامات ایک واضح نمونہ دکھاتے ہیں:
| اقدام | رقم | سال | وجہ |
|---|---|---|---|
| British Airways | £20M | 2020 | خلاف ورزی — کمزور سیکیورٹی |
| Marriott International | £18.4M | 2020 | خلاف ورزی — کمزور due diligence |
| LastPass UK | £1.2M | 2025 | خفیہ کاری کے ڈیزائن کی ناکامی |
| Electoral Commission | £4.4M سرزنش | 2023 | بغیر patch کردہ سرور |
2024 میں 67 enforcement notices جاری کیے گئے — ایک ریکارڈ۔ LastPass کیس قابل ذکر ہے کیونکہ جرمانہ صرف خلاف ورزی کے نتیجے کے لیے نہیں بلکہ ڈیزائن کے انتخاب کے لیے تھا۔
UK-EU منتقلی: دو طرفہ خطرہ
UK تنظیمیں جو EU کے ذاتی ریکارڈز سنبھالتی ہیں انہیں دونوں طرف سے ذمہ داریاں ہیں۔
EU سے UK تک: EU نے 2021 میں UK کو adequacy فیصلہ دیا۔ یہ ابھی بھی نافذ ہے۔ لیکن اسے قانونی چیلنج کا سامنا ہے۔ صرف اس پر انحصار نہ کریں — standard contractual clauses (SCCs) ایک معقول backup ہیں۔
UK سے EU تک: کوئی موجودہ قانون UK ریکارڈز کو EU processors تک منتقل کرنے سے نہیں روکتا۔
عملی قدم: اپنی UK GDPR پوزیشن اور EU GDPR پوزیشن کو دو الگ دستاویزات کے طور پر لکھیں۔ نوٹ کریں کہ وہ کہاں ملتی ہیں اور کہاں مختلف ہیں۔ ہماری تعمیل کا جائزہ دونوں اطراف کا نقشہ پیش کرتا ہے۔
LastPass میں نشاندہی کردہ سرور-خلاف ورزی کے خطرے پر zero-knowledge ڈیزائن کے بارے میں گہرائی سے جاننے کے لیے، ہمارا سیکیورٹی اور پرائیویسی architecture صفحہ دیکھیں۔