آؤٹ باؤنڈ کال سینٹرز کے لیے GDPR کمپلائنس

آؤٹ باؤنڈ کالنگ اور یورپی یونین کا General Data Protection Regulation (Regulation (EU) 2016/679، جس کا برطانوی ہم پلہ UK GDPR ہے) ایک دوسرے کے بہت قریب ہیں۔ آپ کی ہر ڈائل میں ذاتی ڈیٹا شامل ہوتا ہے: فون نمبر، نام، قرض کا بیلنس، لیڈ اسکور، یا ریکارڈ شدہ آواز۔ یعنی جس لمحے آپ کے ایجنٹس EU یا UK میں رابطوں کو کال کرنا شروع کرتے ہیں، GDPR آپ کے آپریشن کے تقریباً ہر کام پر لاگو ہو جاتا ہے — اور غلطی کی سزائیں عالمی ٹرن اوور کے فیصد کے حساب سے لگتی ہیں۔

یہ گائیڈ GDPR کے ان حصوں کا جائزہ لیتی ہے جو آؤٹ باؤنڈ ٹیموں کے لیے سب سے اہم ہیں: قانونی بنیاد کا انتخاب، ePrivacy قواعد سے تعلق، ڈیٹا سبجیکٹ کے حقوق سے نمٹنا، کالز کی قانونی ریکارڈنگ، ریٹینشن، سرحد پار منتقلی، اور وینڈرز کے ساتھ درکار معاہدے۔ یہ BPOs، کلیکشن آپریشنز، ٹیلی کام ری سیلرز اور ان ریگولیٹڈ کانٹیکٹ سینٹرز کے لیے لکھی گئی ہے جو کال کرتے ہیں EU اور UK مارکیٹس میں.

GDPR آؤٹ باؤنڈ کالنگ پر کیوں لاگو ہوتا ہے

GDPR "ذاتی ڈیٹا" کی پروسیسنگ کو کنٹرول کرتا ہے — یعنی کسی شناخت شدہ یا قابلِ شناخت زندہ شخص سے متعلق کوئی بھی معلومات۔ آؤٹ باؤنڈ میں اس میں خود فون نمبر، رابطے کا نام اور پتہ، اکاؤنٹ یا قرض کی تفصیلات، کال ڈسپوزیشنز، ایجنٹ نوٹس، اور گفتگو کی کوئی بھی ریکارڈنگ شامل ہے۔ حتیٰ کہ "do not call" فلیگ بھی ذاتی ڈیٹا ہے کیونکہ اس کا تعلق ایک شناخت شدہ فرد سے ہے۔

دو کردار اہم ہیں۔ کنٹرولر طے کرتا ہے کہ ذاتی ڈیٹا کیوں اور کیسے پروسیس ہو — عموماً وہ کاروبار جس کی مصنوعات، قرضوں یا خدمات کے بارے میں کال کی جا رہی ہو۔ پروسیسر کنٹرولر کی دستاویزی ہدایات پر عمل کرتا ہے — مثلاً کوئی ٹیکنالوجی وینڈر یا آؤٹ سورس کالنگ پارٹنر۔ اگر آپ کسی کلائنٹ کی جانب سے کال کرنے والا BPO ہیں تو آپ عموماً اس کلائنٹ کے ڈیٹا کے پروسیسر اور اپنے عملے کے ڈیٹا کے کنٹرولر ہیں۔ ان کرداروں کا درست تعین طے کرتا ہے کہ کون کس چیز کا جوابدہ ہے۔

آؤٹ باؤنڈ کالز کے لیے قانونی بنیاد کا انتخاب

آپ قانونی بنیاد کے بغیر ذاتی ڈیٹا پروسیس نہیں کر سکتے، جو طے کی گئی ہے آرٹیکل 6میں۔ آؤٹ باؤنڈ مارکیٹنگ اور رابطوں کے لیے دو بنیادیں نمایاں ہیں: رضامندی اور جائز مفاد۔ کلیکشن اور سروس کالز اکثر اس کے بجائے معاہدے یا قانونی ذمہ داری پر انحصار کرتی ہیں۔

رضامندی

GDPR کے تحت رضامندی آزادانہ، مخصوص، باخبر اور غیر مبہم ہونی چاہیے، اور واضح مثبت عمل کے ذریعے دی گئی ہو۔ پہلے سے ٹک کیے گئے خانے، خاموشی یا غیر فعالیت شمار نہیں ہوتے۔ آپ کو یہ ثابت کرنے کے قابل ہونا چاہیے کہ رضامندی دی گئی، اس کا ریکارڈ رکھنا چاہیے کہ کیسے اور کب، اور اسے واپس لینا اتنا ہی آسان بنانا چاہیے جتنا دینا تھا۔ ایک مقصد کے لیے حاصل کی گئی رضامندی خود بخود دوسرے مقصد پر لاگو نہیں ہوتی۔

جائز مفاد (Legitimate Interest)

جائز مفاد بعض آؤٹ باؤنڈ سرگرمیوں کی بنیاد بن سکتا ہے — مثلاً B2B رابطے، یا موجودہ صارفین سے قریبی متعلقہ خدمات کے بارے میں رابطہ۔ اس کے لیے تین حصوں پر مشتمل دستاویزی توازن ٹیسٹ ضروری ہے: جائز مفاد کی نشاندہی کریں، دکھائیں کہ پروسیسنگ اسے حاصل کرنے کے لیے ضروری ہے، اور تصدیق کریں کہ فرد کے حقوق اور توقعات اس پر غالب نہیں۔ GDPR کا Recital 47 واضح طور پر تسلیم کرتا ہے کہ ڈائریکٹ مارکیٹنگ جائز مفاد ہو سکتی ہے — لیکن اس سے فرد کا اعتراض کا قطعی حق کبھی ختم نہیں ہوتا۔

آپ جو بھی بنیاد منتخب کریں، اس کا فیصلہ کرنا ضروری ہے اس سے پہلے کہ کال کرنا شروع کرنے سے پہلے، اسے دستاویزی شکل دیں اور اپنے پرائیویسی نوٹس میں ظاہر کریں۔ آپ تعمیل کی کمی دور کرنے کے لیے بعد میں بنیاد تبدیل نہیں کر سکتے۔

ePrivacy Directive اور مارکیٹنگ کالز

الیکٹرانک مارکیٹنگ کے لیے GDPR پوری کہانی نہیں۔ ePrivacy Directive (2002/58/EC، ترمیم شدہ)، جو رکن ممالک کے قومی قوانین اور برطانیہ کے PECR میں شامل کیا گیا ہے، غیر مطلوبہ مارکیٹنگ کالز کے لیے مخصوص اصول طے کرتا ہے۔ یہ اصول GDPR کے ساتھ ساتھ لاگو ہوتے ہیں، اور جہاں لاگو ہوں وہاں مارکیٹنگ چینل کے لیے انہیں فوقیت حاصل ہے۔

عملی نتائج ملک کے لحاظ سے مختلف ہیں۔ کچھ رکن ممالک آپٹ آؤٹ رجسٹر چلاتے ہیں جن کے مقابل آپ کو اسکریننگ کرنی ہوتی ہے؛ دوسرے صارفین کو لائیو مارکیٹنگ کالز کے لیے پیشگی رضامندی ضروری قرار دیتے ہیں۔ خودکار یا پہلے سے ریکارڈ شدہ کالز کے اصول عموماً زیادہ سخت ہیں اور اکثر دائرۂ اختیار سے قطع نظر واضح رضامندی درکار ہوتی ہے۔ چونکہ قومی نفاذ مختلف ہے، اس لیے کئی EU مارکیٹس میں کال کرنے والے آپریشن کو ہر منزل کے لیے سب سے سخت قابلِ اطلاق اصول لاگو کرنا ہوگا — نہ کہ ایک ہی عمومی پالیسی۔ زیرِ التوا EU ePrivacy Regulation سے اس میں کچھ یکسانیت آنے کی توقع ہے، لیکن اس کے لاگو ہونے تک قومی قانون ہی نافذ رہے گا۔

ڈیٹا سبجیکٹ کے وہ حقوق جن کی آپ کے سسٹمز کو معاونت کرنی چاہیے

GDPR افراد کو قابلِ نفاذ حقوق دیتا ہے جنہیں آپ کے کال سینٹر کے عمل اور ٹیکنالوجی کو پورا کرنے کے قابل ہونا چاہیے، عموماً درخواست کے ایک ماہ کے اندر۔ آؤٹ باؤنڈ ٹیموں کے لیے سب سے متعلقہ حقوق یہ ہیں:

• رسائی کا حق (Art. 15): کوئی شخص پوچھ سکتا ہے کہ آپ کے پاس اس کا کون سا ڈیٹا ہے، بشمول کال ریکارڈز، ریکارڈنگز اور نوٹس، اور اس کی کاپی حاصل کر سکتا ہے۔
• حذف کا حق (Art. 17): "بھلائے جانے کا حق" افراد کو حذف کی درخواست کرنے دیتا ہے جہاں ڈیٹا رکھنے کی کوئی غالب قانونی وجہ نہ ہو۔
• اعتراض کا حق (Art. 21): ڈائریکٹ مارکیٹنگ کے لیے یہ حق قطعی ہے — جب کوئی اعتراض کر دے تو آپ کو اسے مارکیٹنگ بند کرنی ہوگی، کسی توازن ٹیسٹ کے بغیر۔
• درستگی کا حق (Art. 16): غلط رابطہ یا اکاؤنٹ ڈیٹا درست کرنا۔
• پروسیسنگ محدود کرانے کا حق (Art. 18) اور ڈیٹا پورٹیبلٹی (Art. 20) متعلقہ حالات میں۔

عملی طور پر اس کا مطلب ہے کہ آپ کو اپنے ڈائلر، CRM، ریکارڈنگز اور لیڈ لسٹس میں کسی ایک رابطے کو تلاش کر کے اس کی درخواست پر جلد عمل کرنا ہوگا۔ بکھرا ہوا، ٹیننٹس میں دہرایا گیا، یا بغیر انڈیکس کی ریکارڈنگز میں دبا ہوا ڈیٹا حقوق کی درخواستوں کو سست اور غلطیوں سے بھرپور بنا دیتا ہے — اور چھوٹ جانے والا حذف یا اعتراض کے بعد جاری رہنے والی کال بالکل اسی قسم کی ناکامی ہے جس پر ریگولیٹرز سزا دیتے ہیں۔

GDPR کے تحت کال ریکارڈنگ

آواز کی ریکارڈنگ ذاتی ڈیٹا ہے، اور اس میں خصوصی زمرے کا ڈیٹا بھی آ سکتا ہے (مثلاً کلیکشن یا انشورنس کال کے دوران ظاہر کی گئی صحت کی معلومات)۔ قانونی ریکارڈنگ کے لیے اپنی الگ قانونی بنیاد اور واضح شفافیت درکار ہے۔ اہم توقعات یہ ہیں:

• اطلاع: کالر کو بتائیں کہ کال ریکارڈ ہو سکتی ہے اور کیوں، بہتر ہے کال کے آغاز میں۔
• مقصد کی حد: صرف بیان کردہ مقاصد (کوالٹی، تربیت، تنازعات کا حل، ریگولیٹری ذمہ داریاں) کے لیے ریکارڈ کریں اور ریکارڈنگز کو کسی اور مقصد کے لیے استعمال نہ کریں۔
• سیکیورٹی: ریکارڈنگز کو اسٹوریج اور منتقلی دونوں میں انکرپٹ کریں اور رسائی صرف ضرورت کی بنیاد پر دیں۔
• ریٹینشن: ریکارڈنگز صرف اتنی دیر رکھیں جتنی بیان کردہ مقصد کے لیے ضروری ہو، پھر انہیں حذف کر دیں۔

کچھ شعبے اور رکن ممالک اضافی یا متضاد اصول عائد کرتے ہیں — بعض مالیاتی خدمات کے نظام مقررہ مدت کے لیے ریکارڈنگ اور ریٹینشن لازمی قرار دیتے ہیں، جبکہ بعض قومی قوانین ریکارڈنگ کو محدود کرتے ہیں۔ بڑے پیمانے پر لاگو کرنے سے پہلے ہر مارکیٹ کے ریکارڈنگ کے اصولوں کا نقشہ بنائیں۔

ڈیٹا ریٹینشن اور کم سے کم وصولی

GDPR کا اسٹوریج کی حد کا اصول تقاضا کرتا ہے کہ آپ ذاتی ڈیٹا مقصد کے لیے ضروری مدت سے زیادہ نہ رکھیں۔ دنوں کا کوئی ایک "GDPR نمبر" نہیں — ریٹینشن کا جواز ہر ڈیٹا ٹائپ اور مقصد کے لحاظ سے دینا ہوگا۔ ایک عام طریقہ تحریری ریٹینشن شیڈول ہے جو لیڈ ڈیٹا، کال ریکارڈنگز، ڈسپوزیشنز اور رضامندی کے ریکارڈز کے لیے الگ الگ مدت طے کرتا ہے، اور مدت ختم ہونے پر خودکار حذف یا گمنامی کا اطلاق کرتا ہے۔ کم سے کم وصولی بھی لاگو ہوتی ہے: صرف وہی فیلڈز جمع اور ڈائل کریں جن کی آپ کو واقعی ضرورت ہے۔

سرحد پار ڈیٹا منتقلی

اگر ذاتی ڈیٹا EEA یا UK سے باہر جائے — بشمول بیرونِ ملک سپورٹ ٹیم، کلاؤڈ ریجن یا سب پروسیسر کو — تو آپ کو Chapter V کے تحت منتقلی کا درست طریقہ کار درکار ہے۔ عملی طور پر اس کا مطلب عموماً Standard Contractual Clauses (SCCs، یا UK کا IDTA/Addendum)، منزل کے ملک کا احاطہ کرنے والا adequacy فیصلہ، یا کوئی اور تسلیم شدہ تحفظ ہوتا ہے، جس کے ساتھ اکثر transfer impact assessment بھی کیا جاتا ہے۔ آؤٹ باؤنڈ آپریشن کے لیے اہم سوال یہ ہیں: آپ کا ڈائلر کہاں ہوسٹ ہے، ریکارڈنگز کہاں اسٹور ہیں، اور پلیٹ فارم کا انتظام کون کرتا ہے؟ EU/UK ڈیٹا کو خطے کے اندر رکھنا اسے کافی آسان بنا دیتا ہے۔

ڈیٹا پروسیسنگ معاہدے اور سب پروسیسرز

آرٹیکل 28 ہر کنٹرولر اور پروسیسر کے درمیان ایک تحریری معاہدہ ضروری قرار دیتا ہے — ایک ڈیٹا پروسیسنگ معاہدہ (DPA) — DPA میں پروسیسنگ کا موضوع، مدت، نوعیت اور مقصد، ڈیٹا کی اقسام اور افراد کے زمرے، اور کنٹرولر کی ہدایات درج ہونی چاہییں۔ اس میں پروسیسر کو رازداری، حفاظتی اقدامات، ڈیٹا سبجیکٹ کے حقوق میں معاونت، خلاف ورزی کی اطلاع، معاہدے کے اختتام پر ڈیٹا کے حذف یا واپسی، اور آڈٹ کے حقوق کا پابند بھی کرنا ہوگا۔

پروسیسرز صرف کنٹرولر کی اجازت سے سب پروسیسرز کو شامل کر سکتے ہیں اور انہیں یہی ذمہ داریاں معاہدے کے ذریعے آگے منتقل کرنی ہوں گی۔ کال سینٹر کے لیے سب پروسیسرز میں عموماً کلاؤڈ ہوسٹنگ، ٹیلی فونی کیریئرز (یہاں عمومی طور پر ذکر کیے گئے) اور اینالیٹکس ٹولز شامل ہوتے ہیں۔ آپ کو سب پروسیسرز کی تازہ فہرست رکھنی چاہیے اور تبدیلیوں سے کنٹرولرز کو مطلع کرنا چاہیے۔ کسی بھی ڈائلر وینڈر کا جائزہ لیتے وقت شروع میں ہی اس کا DPA اور سب پروسیسر فہرست طلب کریں۔

DialerBee، GDPR سے آگاہ آپریشنز میں کیسے معاون ہے

DialerBee تعمیل میں معاون پلیٹ فارم کے طور پر بنایا گیا ہے، تعمیل کی ضمانت کے طور پر نہیں: آپ کا ادارہ ہی ڈیٹا کنٹرولر رہتا ہے اور قانونی بنیاد، اطلاعات اور ٹول کی کنفیگریشن کا ذمہ دار ہے۔ اس فریم ورک کے اندر DialerBee فراہم کرتا ہے تعمیل میں معاون کنٹرولز جو EU اور UK آپریشنز کو قابلِ دفاع انداز میں کام کرنے میں مدد دیتے ہیں — بشمول قابلِ کنفیگر رضامندی اور ڈو-ناٹ-کال ہینڈلنگ، مارکیٹنگ پر اعتراض کی صورت میں سپریشن، اور کال ریکارڈنگ پالیسیاں جن کی ریٹینشن سیٹنگز آپ ہر کیمپین کے لیے طے کرتے ہیں۔

اس کا ملٹی ٹیننٹ آرکیٹیکچر ہر کلائنٹ کا ڈیٹا الگ رکھتا ہے، جو متعدد کنٹرولرز کے لیے پروسیسر کا کردار ادا کرنے والے BPOs اور ٹیلی کام ری سیلرز کے لیے اہم ہے، اور کسی ایک رابطے کی حقوق کی درخواست کو تلاش کرنا اور اس پر عمل کرنا زیادہ قابلِ انتظام بناتا ہے۔ آڈٹ لاگز جوابدہی کے لیے کنفیگریشن کی تبدیلیاں اور رسائی ریکارڈ کرتے ہیں، اور EU/UK خطے کے اندر آپریشن سرحد پار منتقلی کی پیچیدگی کم کرنے میں مدد دیتا ہے۔ چونکہ DialerBee کا زبان سے آگاہ AI 11 زبانوں کو سپورٹ کرتا ہے، اس لیے کثیر القومی ٹیمیں ریکارڈنگ اور رضامندی کی اطلاعات کالر کی زبان میں دے سکتی ہیں۔ ایک ڈیٹا پروسیسنگ معاہدہ دستیاب ہے، اور آپ ہماری سیکیورٹی اور تعمیل کی صورتحال کا جائزہ لے سکتے ہیں Trust صفحے پر۔ منتخب پائلٹ حالات میں ٹیموں نے بتایا ہے کہ مرکزی سپریشن اور رضامندی کی ٹریکنگ سے اعتراضات پر عمل کرنے کی دستی محنت کم ہوئی — نتائج ڈیپلائمنٹ اور کنفیگریشن کے لحاظ سے مختلف ہوتے ہیں۔

اکثر پوچھے جانے والے سوالات

کیا GDPR کے تحت آؤٹ باؤنڈ کال سینٹرز کو ہر کال کے لیے رضامندی درکار ہے؟

ہمیشہ نہیں۔ رضامندی ایک قانونی بنیاد ہے، لیکن جائز مفاد بعض آؤٹ باؤنڈ سرگرمیوں کی بنیاد بن سکتا ہے، جیسے B2B رابطے یا موجودہ صارفین سے متعلقہ خدمات کے بارے میں رابطہ، بشرطیکہ آپ توازن ٹیسٹ کو دستاویزی شکل دیں۔ تاہم قومی ePrivacy قواعد بعض مارکیٹنگ کالز کے لیے پھر بھی رضامندی ضروری قرار دے سکتے ہیں، اور افراد کو ڈائریکٹ مارکیٹنگ پر اعتراض کا قطعی حق ہمیشہ حاصل رہتا ہے۔

کیا GDPR کے تحت کال ریکارڈنگ قانونی ہے؟

جی ہاں، اگر درست طریقے سے کی جائے۔ ریکارڈنگ اس وقت قانونی ہے جب آپ کے پاس درست قانونی بنیاد ہو، آپ کالر کو بتائیں کہ کال ریکارڈ ہو سکتی ہے اور کیوں، استعمال کو بیان کردہ مقاصد تک محدود رکھیں، ریکارڈنگز کو انکرپشن اور رسائی کنٹرولز سے محفوظ کریں، اور ریٹینشن کی مدت ختم ہونے پر انہیں حذف کر دیں۔ بعض مالیاتی اور ریگولیٹڈ شعبے ریکارڈنگ کو لازمی بھی قرار دیتے ہیں، جبکہ بعض دائرہ ہائے اختیار اسے محدود کرتے ہیں، اس لیے ہر مارکیٹ کی جانچ کریں۔

ہم کال ریکارڈنگز اور لیڈ ڈیٹا کتنی دیر رکھ سکتے ہیں؟

صرف اتنی دیر جتنی اس مقصد کے لیے ضروری ہو جس کے لیے آپ نے انہیں جمع کیا۔ GDPR دنوں کی کوئی مقررہ تعداد طے نہیں کرتا۔ بہترین طریقہ تحریری ریٹینشن شیڈول ہے جس میں لیڈ ڈیٹا، ریکارڈنگز، ڈسپوزیشنز اور رضامندی کے ریکارڈز کے لیے الگ الگ مدت ہو، اور ہر مدت ختم ہونے پر خودکار حذف یا گمنامی ہو۔ بعض ریگولیٹڈ سرگرمیاں کم از کم مقررہ ریٹینشن ضروری قرار دیتی ہیں جو آپ کے ڈیفالٹ شیڈول پر فوقیت رکھتی ہے۔

DPA کیا ہے اور کیا ہمیں اپنے ڈائلر وینڈر کے ساتھ اس کی ضرورت ہے؟

ڈیٹا پروسیسنگ معاہدہ آرٹیکل 28 کا وہ معاہدہ ہے جو اس وقت ضروری ہے جب کوئی کنٹرولر پروسیسر استعمال کرے۔ یہ پروسیسنگ کا دائرہ طے کرتا ہے اور پروسیسر کو سیکیورٹی، رازداری، حقوق کی درخواستوں میں معاونت، خلاف ورزی کی اطلاع اور ڈیٹا کے حذف کا پابند بناتا ہے۔ جی ہاں — آپ کو ہر اس ڈائلر وینڈر کے ساتھ DPA درکار ہے جو آپ کی جانب سے ذاتی ڈیٹا پروسیس کرتا ہے، اور آپ کو اس کی سب پروسیسر فہرست کا جائزہ لینا چاہیے۔

کیا ہم EU رابطوں کو کال کر سکتے ہیں اگر ہماری ٹیم یا سرورز EU سے باہر ہوں؟

کر سکتے ہیں، لیکن EEA یا UK سے باہر ذاتی ڈیٹا کی ہر منتقلی کے لیے درست طریقہ کار درکار ہے، جیسے Standard Contractual Clauses، UK IDTA، یا adequacy فیصلہ، اکثر transfer impact assessment کے ساتھ۔ اس میں آپ کے سرورز، ریکارڈنگ اسٹوریج، سپورٹ اسٹاف اور سب پروسیسرز سب شامل ہیں۔ EU اور UK ڈیٹا کو خطے کے اندر ہوسٹ اور منظم رکھنا اس پیچیدگی کو کافی حد تک کم کر دیتا ہے۔

کیا ڈائلر ہمیں GDPR کے مطابق بنا دیتا ہے؟

کوئی ٹول اکیلے آپ کو قانون کے مطابق نہیں بنا سکتا۔ آپ ہی ڈیٹا کنٹرولر ہیں جو اپنی قانونی بنیاد، پرائیویسی نوٹسز اور کنفیگریشن کے ذمہ دار ہیں۔ DialerBee جیسا تعمیل میں معاون ڈائلر کنٹرولز فراہم کرتا ہے — رضامندی اور ڈو-ناٹ-کال ہینڈلنگ، اعتراض پر سپریشن، ریکارڈنگ اور ریٹینشن سیٹنگز، ٹیننٹ ڈیٹا علیحدگی، آڈٹ لاگز، اور دستیاب DPA — جو قابلِ دفاع انداز میں کام کرنا آسان بناتے ہیں، لیکن جوابدہی آپ کے ادارے کی ہی رہتی ہے۔

یہ مضمون عمومی معلومات کے لیے ہے اور قانونی مشورہ نہیں۔ GDPR کی تشریح رکن ممالک کے لحاظ سے مختلف ہے اور بدلتی رہتی ہے — کسی اہل ڈیٹا پروٹیکشن مشیر یا قانونی ماہر سے مشورہ کریں۔