Guide • Compliance • 16 min read
GDPR for HR: handling employee data correctly
كيفية معالجة البيانات الشخصية للموظفين بصورة قانونية بموجب GDPR — الأسس القانونية، والاحتفاظ، والحقوق، والأمن، وعمليات النقل الدولية.
بيانات الموارد البشرية بيانات عالية المخاطر
تتعامل وظائف الموارد البشرية مع بعضٍ من أكثر البيانات الشخصية حساسيةً في أي منظمة: بيانات الاتصال، والراتب، والمعلومات المصرفية، وسجلات الأداء، والمعلومات الصحية، وأحياناً فحوصات السجل الجنائي. وبموجب اللائحة العامة لحماية البيانات (GDPR) وتطبيقاتها الوطنية — قانون حماية البيانات الأيرلندي 2018 ولوائح المملكة المتحدة GDPR / قانون حماية البيانات 2018 — يجب أن تُعالَج هذه البيانات بصورة قانونية وعادلة وشفافة.
Getting this right is both a legal duty and a trust issue. Employees are data subjects with enforceable rights, and the Data Protection Commission in Ireland (or the ICO in the UK) can investigate complaints and impose significant fines. Treat employee data with the same rigour you would customer data.
اختيار الأساس القانوني المناسب
Every processing activity needs a lawful basis. A common mistake is to rely on consent for the employment relationship. Because of the power imbalance between employer and employee, consent is rarely freely given and is therefore usually the wrong basis for core HR processing. More appropriate bases are typically the performance of the employment contract, compliance with a legal obligation (for example tax and revenue reporting), and legitimate interests.
تحتاج البيانات من الفئة الخاصة — بما في ذلك المعلومات الصحية المستخدمة لإجازة المرض أو لأغراض الصحة المهنية — إلى شرط إضافي بموجب Article 9، وغالبًا ما يتعلق بقانون العمل والضمان الاجتماعي والحماية الاجتماعية. حدِّد لكل نوع من معالجة الموارد البشرية أساسه وشرطه، وسجّل المبررات.
Transparency and data-subject rights
Employees must be told, in clear language, what data you hold, why, how long you keep it and who you share it with. This is usually delivered through an employee privacy notice, distinct from your customer-facing privacy policy. Provide it at the point of hiring and keep it current.
Data subjects can exercise rights including access (the subject access request), rectification, erasure in some circumstances, restriction and objection. Have a documented process for responding within the statutory timescale (generally one month). HR is a frequent recipient of access requests, so plan for how you will locate and redact information held across systems.
الاحتفاظ، والتقليل، والأمن
لا تحتفظ بالبيانات مدة أطول من اللازم. أنشئ جدول احتفاظ يعكس المتطلبات القانونية (سجلات الرواتب والضرائب، وسجلات وقت العمل، ووثائق الصحة والسلامة) والحاجة الحقيقية للعمل، ثم احذف البيانات أو أخفِ هويتها بعد تلك الفترات. اجمع فقط ما تستخدمه فعليًا — فمبدأ تقليل البيانات مبدأ أساسي وليس مجرد تفصيل ثانوي.
Security is a legal requirement, not just good practice. Apply role-based access so that managers see only what they need, encrypt data in transit and at rest, and keep an audit trail of who accessed what. A reputable HRIS gives you granular permissions and access logging out of the box, which is far safer than scattering employee data across spreadsheets and shared drives.
التحويلات الدولية والمورّدون
إذا كانت برمجيات الموارد البشرية أو مزوّد الرواتب لديك يخزّن البيانات خارج المنطقة الاقتصادية الأوروبية، فيجب أن تضمن آلية تحويل مناسبة — قرار كفاية، أو بنود تعاقدية معيارية، أو ضمانات مكافئة. ومنذ خروج بريطانيا من الاتحاد الأوروبي، تُغطّى التحويلات بين الاتحاد الأوروبي والمملكة المتحدة بحالة الملاءمة الخاصة بالمملكة المتحدة، لكن ينبغي مراقبة ذلك لأنه خاضع للمراجعة.
Whenever you use a third party to process employee data, you need a written data-processing agreement setting out their obligations, and you should carry out due diligence on their security posture. Keep a record of your processors and where data is hosted so you can answer questions and respond to incidents quickly.
