رازداری کی پالیسی
جائزہ لیا گیا: 07/12/2025
آخری تاریخ: 07/12/2027
1. تعارف
ایلم فاؤنڈیشن اپنے پاس موجود، پراسیس کیے جانے والے یا شیئر کیے جانے والے تمام ذاتی، حساس اور خفیہ معلومات کی حفاظت کے لیے پرعزم ہے۔ یہ رازداری کی پالیسی تمام ملازمین، رضاکاروں، ٹھیکیداروں اور طلباء پر لاگو ہونے والے قانونی، اخلاقی اور آپریشنل تقاضوں کو بیان کرتی ہے۔.
یہ ورژن ان کی تعمیل کو مضبوط کرتا ہے:
- یوکے جی ڈی پی آر اور ڈیٹا پروٹیکشن ایکٹ 2018
- رازداری کا عام قانون کا فرض
- انسانی حقوق ایکٹ 1998 (آرٹیکل 8)
- کمپیوٹر بدسلوکی ایکٹ 1990
- آئی سی او کوڈز آف پریکٹس
- حفاظتی قانون سازی (بچوں اور بڑوں کے لیے)
تنظیم قانونی اور اخلاقی طور پر پابند ہے کہ وہ یہ یقینی بنائے کہ خفیہ معلومات کو غیر مجاز افشا، حادثاتی نقصان، غلط استعمال، یا نامناسب رسائی سے محفوظ رکھا جائے۔ یہ فرض تمام ملازمین پر، ان کے عہدے سے قطع نظر، لاگو ہوتا ہے۔.
2. دائرہ کار
یہ پالیسی ان پر لاگو ہوتی ہے:
- تمام ملازمین (مستقل اور عارضی)
- معاونین، منتظمین، طلباء اور ٹھیکیدار
- کوئی بھی شخص جو فرائض کی انجام دہی کے دوران خفیہ معلومات تک رسائی حاصل کرتا ہے
یہ معلومات کی تمام شکلوں کا احاطہ کرتا ہے، بشمول:
- کاغذ اور الیکٹرانک ریکارڈ
- زبانی معلومات
- ای میلز، میسجنگ سسٹم، ریکارڈ شدہ میڈیا
- موبائل فون، لیپ ٹاپ، ٹیبلٹ، یو ایس بی ڈیوائسز
- تصاویر، سی سی ٹی وی، اور ڈیجیٹل امیجز
3. کردار اور ذمہ داریاں
3.1 چیف ایگزیکٹو (سی ای او)
- رازداری اور معلومات کے نظم و نسق پر تعمیل کے لیے حتمی ذمہ داری رکھتا ہے۔
- سینئر انفارمیشن رسک اونر (SIRO) کے طور پر کام کریں
- معلومات کے خطرات کے متعلق تنظیمی فیصلوں پر دستخط
3.2 آپریشنیز کا سربراہ
- اس بات کو یقینی بنائیں کہ یہ پالیسی آپریشنل سسٹمز میں شامل ہو۔
- تعمیل کا جائزہ لیتا ہے اور یقینی بناتا ہے کہ خلاف ورزیوں کو بڑھایا جائے
- ملازمین کو مناسب تربیت اور نگرانی کی ضمانت فراہم کرتا ہے۔
3.3 سروس مینیجرز
- یقینی بنائیں کہ ملازمین کے معاہدوں میں رازداری کے شق شامل ہوں۔
- رازداری کا احاطہ کرنے والے تعارفی اور جاری نگرانی فراہم کریں۔
- فوری طور پر خلاف ورزیوں کی اطلاع دیں
3.4 تمام ملازمین
ہر ملازم کو لازم ہے کہ:
- مکمل رازداری اور GDPR تربیت
- تمام تنظیمی پالیسیوں اور قانونی تقاضوں پر عمل کریں۔
- خفیہ معلومات کی حفاظت ہمیشہ کریں۔
- خلاف ورزیوں یا خدشات کی فوری اطلاع دیں
رازداری کی خلاف ورزی کے نتیجے میں برطرفی سمیت تادیبی کارروائی ہو سکتی ہے اور یہ دیوانی یا فوجداری کارروائی کا سبب بن سکتی ہے۔.
4. رازداری کے کلیدی اصول
تمام ملازمین کو درج ذیل پر عمل کرنا ہوگا۔
- دفتری معلومات کی حفاظت ہمیشہ کی جانی چاہئے۔.
- رسائی صرف ‘ضرورت کے مطابق’ کے اصول پر ہونی چاہیے۔.
- معلومات کو صرف اسی مقصد کے لیے استعمال کیا جانا چاہیے جس کے لیے وہ جمع کی گئی تھی۔.
- معلومات کا تبادلہ جائز، کم سے کم، بامقصد اور دستاویزی ہونا چاہیے۔.
- اعلانات یا انکشافات کے تمام فیصلے ریکارڈ کیے جانے چاہییں۔.
- اشتراک کے بارے میں خدشات کو مینیجر، ہیڈ آف آپریشنز، یا سی ای او تک پہنچایا جانا چاہیے۔.
تنظیم کو ہمیشہ معلومات کا اشتراک کرنے کے کسی بھی فیصلے کو جواز فراہم کرنے کے قابل ہونا چاہیے۔.
5. معلومات ہینڈلنگ اور سیکورٹی کی ضروریات
ملازمین کو یقینی بنانا ہوگا:
- ورکشتیں صاف رکھی جاتی ہیں
- جب استعمال میں نہ ہوں تو خفیہ دستاویزات کو مقفل جگہوں پر محفوظ کیا جاتا ہے۔
- الیکٹرانک معلومات صرف مجاز، خفیہ کردہ سسٹمز پر محفوظ کی جاتی ہیں
- کوئی بھی خفیہ معلومات ذاتی آلات پر محفوظ نہیں کی جاتی
- ذاتی ای میل اکاؤنٹس کبھی بھی کام کی معلومات کے لیے استعمال نہیں کیے جاتے۔
- چھپے ہوئے خفیہ دستاویزات کو ٹکڑے ٹکڑے کر دیا جاتا ہے۔.
ملازمین کو کبھی بھی یہ نہیں کرنا چاہئے:
- ریکارڈز کو نظر آنے دیں یا بغیر نگرانی کے چھوڑ دیں
- عوامی یا کھلی جگہوں میں راز کی باتیں کرنا
- پاس ورڈز شیئر کرنا یا دوسروں کو اپنا لاگ ان استعمال کرنے کی اجازت دینا
- تجویز کے بغیر یا جائز مقصد کے ریکارڈ تک رسائی حاصل کرنا
غیر مجاز رسائی سنگین بدانتظامی ہے اور یہ فوجداری جرم بھی ہو سکتا ہے۔.
6. ذاتی یا خفیہ معلومات ظاہر کرنا
معلومات کا انکشاف صرف اس وقت کیا جانا چاہیے جب مندرجہ ذیل شرائط میں سے کوئی ایک لاگو ہو:
6.1 رضامندی کے ساتھ
- فرد کی جانب سے تحریری، باخبر، رضامندی
6.2 جب قانون کے ذریعہ مطلوب ہو
- عدالتی احکامات، قانونی درخواستیں، یا قانونی فرائض
6.3 حفاظت
- جہاں کسی بچے یا بالغ کو نقصان کا خطرہ ہو
- ماراک یا حفاظتی حوالہ جات
6.4 عوامی مفاد
- سنگین جرم یا عوام کو خطرات سے بچانے کے لیے
- سروسز کے سربراہ کی جانب سے اختیار یافتہ ہونا ضروری ہے
6.5 گمنام ڈیٹا
- آئی سی او معیارات کے مطابق معلومات کو گمنام کر دیا گیا
تمام انکشافات کو مناسب طور پر ریکارڈ اور جائز قرار دیا جانا چاہیے۔.
7. ریموٹ ورکنگ یا آف سائٹ
تنظیم کے احاطے سے دور کام کرنے والے ملازمین کو لازمی ہے کہ:
- آف سائٹ پر لے جانے والی خفیہ معلومات کی مقدار کو کم سے کم کریں
- دستاویزات کو سیل شدہ، غیر شفاف حاملوں میں رکھا جائے
- سفر کے دوران خفیہ مواد ہمیشہ اپنے پاس رکھیں۔
- دستاویزات کو گھر پر محفوظ رکھیں (مثلاً، دراز میں)
- گاڑیوں، عوامی مقامات، یا مشترکہ گھروں میں دستاویزات کو کبھی بھی نظر میں نہ چھوڑیں۔
الیکٹرانک آلات کو لازم ہے کہ:
- ترجمہ کریں
- رشتہ داروں کے ساتھ کبھی بھی شیئر نہ کیا جائے۔
- استعمال میں نہ ہونے پر مقفل رکھیں۔
دفتر سے دستاویزات کو ہٹانے کے لیے پہلے مینیجر سے پیشگی اجازت لینا ضروری ہے۔.
8. لاپرواہی اور قابلِ گریز خلاف ورزیاں
لاپرواہی سے ہونے والی خلاف ورزیوں کے لیے ملازمین ذاتی طور پر ذمہ دار ہو سکتے ہیں۔.
مثالوں میں شامل ہیں:
- ریکارڈز کو بے توجہی سے چھوڑنا
- اسکرین لاک کرنے میں ناکامی
- راز کی باتیں جہاں دوسروں کو سنائی دے سکیں، ان پر بحث کرنا
- حساس معلومات والے آلات کا گم ہوجانا
پاس ورڈ شیئر کرنا یا سسٹمز کو لاگ ان چھوڑنا سنگین بدعنوانی ہے اور اس کے نتیجے میں برطرفی ہو سکتی ہے۔.
9. استحقاق کا غلط استعمال
کسی بھی صورت میں ملازمین نہیں کر سکتے:
- دوستوں، خاندان یا جاننے والوں کے ریکارڈ تک رسائی حاصل کریں۔
- ذاتی تجسس کے باعث معلومات تک رسائی
ایسا رسائی ہے:
- معاہدے کی خلاف ورزی
- 2018 کے ڈیٹا پروٹیکشن ایکٹ کی خلاف ورزی
- ممکنہ طور پر 1990 کے کمپیوٹر بدسلوکی قانون کے تحت ایک جرم
نامناسب رسائی کی نشاندہی کے لیے آڈٹ کیے جائیں گے۔.
10. خلاف ورزیوں کی اطلاع دینا
تمام ملازمین کو فوری طور پر رازداری کی خلاف ورزیوں کی اطلاع دینی ہوگی:
- ان کا سروس مینیجر
- ہیڈ آف آپریشنز
- سی ای او (تمام خلاف ورزیوں کو سی ای او کی توجہ میں لایا جانا چاہئے)
رپورٹ کی جانے والی خلاف ورزیوں میں شامل ہیں:
- غیر مجاز سسٹم تک رسائی
- دستاویزات یا آلات کا ضائع یا چوری
- غلط بھیجے گئے ای میلز
- غیر قانونی انکشافات
- پاس ورڈ شیئرنگ
- خفیہ مواد کے ضائع کرنے کا غلط طریقہ
11. تربیت
تمام ملازمین کو مکمل کرنا ضروری ہے:
- تعارف رازداری کی تربیت
- GDPR ریفریشر ٹریننگ
- اضافی تربیت جہاں کردار سے متعلق مخصوص خطرات لاگو ہوں۔
تربیت کی تعمیل کی نگرانی کی جائے گی۔.
12. نگرانی اور آڈٹ
اس پالیسی کی تعمیل کی نگرانی درج ذیل طریقوں سے کی جائے گی:
- داخلی آڈٹ
- کمشنرز اور منظوری دینے والے اداروں کے ذریعہ بیرونی آڈٹ
- لائن مینجمنٹ کی نگرانی
- حادثے کی رپورٹیں اور سیکھے گئے اسباق
آڈٹ کے نتائج کا جائزہ بورڈ آف ٹرسٹیز لے گا۔.
13. کرنے کے کام اور نہ کرنے کے کام
کِیا کرو
- تمام ذاتی اور خفیہ معلومات کا تحفظ کریں۔
- معلومات شریک کرنے سے پہلے شناخت کی توثیق کریں
- صرف ضروری معلومات شیئر کریں۔
- بغیر رضامندی کے شیئر کرنے کے لیے فیصلے ریکارڈ کریں
- فوری طور پر خلاف ورزیوں کی اطلاع دیں
نہ کرو
- غیر قانونی بنیاد پر معلومات کا اشتراک
- جب تک اجازت نہ ہو، گھر پر خفیہ مواد محفوظ نہ رکھیں۔
- تنظیمی کام کے لیے ذاتی آلات استعمال کریں۔
- ضرورت سے زیادہ معلومات رکھیں
- کام کے ای میلز کو ذاتی اکاؤنٹس پر فارورڈ کریں
14. ضمیمے (برقرار اور توسیع شدہ)
ضمیمہ الف: قانون سازی کا خلاصہ
ضمیمہ بی: خلاف ورزیوں کی مثالیں
ضمیمہ سی: تعریفیں
ضمیمہ الف
ایلم فاؤنڈیشن تمام متعلقہ برطانیہ اور یورپی یونین کی پابندی کرنے پر مجبور ہے۔
قانون سازی. اس قانون کی تعمیل کی ضرورت تفویض کی جائے گی
دی ایلم فاؤنڈیشن کے ملازمین، جو کسی بھی صورت میں ذاتی طور پر جوابدہ ٹھہرائے جا سکتے ہیں
معلومات کی سلامتی کی خلاف ورزی جس کے لیے وہ ذمہ دار ٹھہرائے جا سکتے ہیں۔ دی ایلم
فاؤنڈیشن کا تعلق مناسب قانون سازی اور رہنمائی سے ہوگا۔
جی ڈی پی آر اور ڈی پی اے 2018
“ذاتی ڈیٹا” کے استعمال کو منظم کرتا ہے اور اس بات کو یقینی بنانے کے لیے چھ اصول مرتب کرتا ہے کہ
ذاتی ڈیٹا یہ ہے:
1. افراد کے تعلق سے قانونی، منصفانہ اور شفاف انداز میں کارروائی کی جاتی ہے
2. مخصوص، واضح اور جائز مقاصد کے لیے جمع کیا جاتا ہے اور اس سے آگے
وہ مقاصد کے ساتھ مطابقت نہ رکھنے والے طریقے سے پراسیس کیا گیا ہو؛ مزید
عوامی مفاد، سائنسی یا تاریخی مقاصد کے لیے محفوظ کرنے کی غرض سے پراسیسنگ
تحقیقی مقاصد یا شماریاتی مقاصد کے لیے نہیں سمجھا جائے گا
ابتدائی مقاصد کے ساتھ عدم مطابقت
3. مناسب، متعلق اور جو ضروری ہے اس تک محدود ہے، کے تعلق میں
جن مقاصد کے لیے ان پر کارروائی کی جاتی ہے
4. درست اور جہاں ضروری ہو، اپ ٹو ڈیٹ رکھی گئی۔
5. ڈیٹا کے مضامین کی شناخت کی اجازت دینے والے فارم میں رکھا گیا ہے جو زیادہ سے زیادہ مدت کے لیے ہے
ان مقاصد کے لیے ضروری ہے جن کے لیے ذاتی ڈیٹا پر کارروائی کی جاتی ہے۔
6. اس طرح سے پراسیس کیا جائے کہ ذاتی ڈیٹا کی مناسب حفاظت کو یقینی بنایا جاسکے،,
بشمول غیر مجاز یا غیر قانونی پروسیسنگ اور اس کے خلاف تحفظ
حادثاتی طور پر نقصان، تباہی یا خرابی، مناسب تکنیکی یا
تنظیمی اقدامات.
معلومات کا اشتراک کرنے کی ذمہ داری اتنی ہی اہم ہو سکتی ہے جتنی کہ حفاظت کی ذمہ داری
مریض کی رازداری
انسانی حقوق ایکٹ (1998) کا آرٹیکل 8
انفرادی کی “نجی اور خاندانی زندگی کے لیے عزت کے حق" کے متعلق ہے،
”اور ان کی ڈاک کے لیے اس کا مطلب ہے کہ عوامی حکام کو چاہیے
خیال رکھیں کہ ان کے اعمال فرد کی زندگی کے ان پہلوؤں میں مداخلت نہ کریں۔ 11
کمپیوٹر کے غلط استعمال کا قانون (1990)
اجازت کے بغیر ڈیٹا یا کمپیوٹر پروگرامز تک رسائی کو غیر قانونی بناتا ہے اور
چار جرائم قائم کرتا ہے:
▪ کمپیوٹر پر موجود ڈیٹا یا پروگرام تک غیر مجاز رسائی، مثلاً حاصل کرنے کے لیے یا
دوستوں اور رشتہ داروں کے بارے میں معلومات دیکھیں.
▪ مزید جرائم کا ارتکاب کرنے یا سہولت فراہم کرنے کی نیت سے غیر مجاز رسائی
مثال کے طور پر، دھوکہ دہی یا بلیک میل کرنے کے لیے۔.
▪ غیر مجاز اعمال کا مقصد نقصان پہنچانا، یا لاپرواہی سے نقصان پہنچانا،,
کمپیوٹر کا آپریشن، جیسے کہ کمپیوٹر پر موجود ڈیٹا یا پروگرام کو موڈیفائی کرنا
بغیر اجازت کے؛ اور
جرائم 1-3 میں استعمال کے لیے اشیاء بنانا، فراہم کرنا یا حاصل کرنا
رازداری کا عام قانون کا فرض
اگر کسی کی رضامندی کے بغیر خفیہ طور پر دی گئی معلومات کو ظاہر نہ کیا جائے جب تک کہ
ایک جائز وجہ e.g. قانون کا تقاضہ یا کوئی عوامی مقتضیٰ
کرنے میں دلچسپی.
ضمن ب
کیا رپورٹ کیا جانا چاہئے؟
ذاتی ڈیٹا کے غلط استعمال اور سیکورٹی کے واقعات کی اطلاع دی جانی چاہئے تاکہ اقدامات اٹھائے جا سکیں
مسئلہ کو حل کرنے کے لیے جو اقدامات کیے گئے ہیں اور یہ یقینی بنانے کے لیے کہ وہی مسئلہ دوبارہ نہ ہو
دوبارہ.
تمام خلاف ورزیوں کی اطلاع سروس مینیجر، ہیڈ آف آپریشنز یا سی ای او کو دینی چاہیے۔.
سی ای او کو تمام خلاف ورزیوں سے آگاہ کیا جانا چاہیے۔.
اگر ملازمین کو اس بات کا یقین نہیں ہے کہ کوئی خاص سرگرمی معلومات کی خلاف ورزی ہے
گورننس یا آئی ٹی سیکیورٹی پالیسی، انہیں اپنے خدشات پر اپنے سے بات کرنی چاہیے
خدمت منیجر۔ درج ذیل فہرست ایسی خلاف ورزیوں کی مثالیں دیتی ہے جو اس پالیسی کی خلاف ورزی سمجھی جائیں گی
رپورٹ کیا جانا چاہئے:
```urdu پاس ورڈ کا اشتراک ```
▪ ملازمین یا کسی تیسرے فریق کی جانب سے سسٹم تک غیر مجاز رسائی
▪ غیر مجاز رسائی اشخاص کی شناخت سے متعلق معلومات جہاں رکن
ملازمین کو رسائی کی ضرورت نہیں ہے یا جاننے کی ضرورت نہیں ہے 12
* پوشیدگی سے متعلق معلومات کسی تیسرے فریق کو ظاہر کرنا جہاں کوئی
تو جسٹی فیکیشن ہے اور آپ کو خدشات ہیں کہ یہ ڈیٹا کے مطابق نہیں ہے
تحفظ قانون سازی.
▪ ایسے طریقے سے بھیجی جانے والی معلومات جو کسی شخص کی شناخت کر سکتی ہو یا خفیہ نوعیت کی ہو اور جو خلاف ورزی ہو
رازداری
▪ عوامی جگہ پر قابل شناخت یا خفیہ معلومات کو ایسے ہی چھوڑ دینا
علاقہ
▪ چوری یا جانکاری کے قابل شناخت یا خفیہ معلومات کا ضائع ہونا
▪ قابل شناخت یا خفیہ معلومات کو اس طرح تلف کرنا کہ
رازداری کی خلاف ورزی کرتا ہے یعنی ایسے طریقے سے کسی شخص کی شناخت کی معلومات کو ضائع کرنا
عام کوڑے دان والا کاغذ.
راہنمائی کی تلاش
ہر ممکن صورتحال کے لیے تفصیلی رہنمائی فراہم کرنا ممکن نہیں ہے۔ اس لیے، جہاں
مزید وضاحت کی ضرورت ہے، سروس مینیجر کا مشورہ حاصل کیا جانا چاہیے۔.
ضمیمہ سی
شخص کی شناخت سے متعلق معلومات وہ چیزیں ہیں جن میں کسی شخص کی شناخت کا ذریعہ ہوتا ہے
شخص، مثلاً نام، پتا، پوسٹ کوڈ، تاریخ پیدائش، این ایچ ایس نمبر، نیشنل
انشورنس نمبر وغیرہ۔ کوئی بھی ڈیٹا یا ڈیٹا کا مجموعہ اور دیگر معلومات، جو
بالواسطہ طور پر شخص کی شناخت ہو سکے گی، تعریف بھی پوری ہو جائے گی۔.
رازداری
اعتماد کا فرض اس وقت پیدا ہوتا ہے جب ایک شخص دوسرے کو معلومات ظاہر کرتا ہے (مثال کے طور پر.
(مریض معالج سے) ایسے حالات میں جب یہ توقع رکھنا جائز ہو کہ
معلومات کو خفیہ رکھا جائے گا۔.
ذاتی معلومات کے خصوصی زمرے (جنہیں پہلے ‘حساس’ کہا جاتا تھا)’
(ذاتی ڈیٹا) جیسا کہ GDPR اور DPA 2018 کے ذریعہ بیان کیا گیا ہے، ذاتی سے مراد ہے۔
معلومات کے بارے میں:
نسل یا نسلی اصل
سیاسی آراء
مذہبی یا فلسفیانہ عقائد 13
▪ تجارتی یونین کی رکنیت
▪ جینیاتی اور بائیو میٹرک ڈیٹا
صحت کا ڈیٹا
جنسی تاریخ اور/یا جنسی رجحان
مجرمانہ سزاؤں کا ڈیٹا
غیر شخصی شناخت کے قابل معلومات کو بھی خفیہ کی درجہ بندی کیا جا سکتا ہے جیسے
رازداری کے کاروبار کی معلومات، مثلاً مالی رپورٹیں؛ تجارتی طور پر حساس
معلومات مثلاً معاہدے، تجارتی راز، حصول کی معلومات، ان سب کو بھی
اسی قدر احتیاط برتی جائے.