Guide • Compliance • 16 دقيقة قراءة
اللائحة العامة لحماية البيانات للموارد البشرية: التعامل الصحيح مع بيانات الموظفين
كيفية معالجة البيانات الشخصية للموظفين بصورة مشروعة بموجب اللائحة العامة لحماية البيانات (GDPR) — الأسس المشروعة، والاحتفاظ، والحقوق، والأمن، والتحويلات الدولية.
بيانات الموارد البشرية هي بيانات عالية المخاطر
تتعامل وظائف الموارد البشرية مع بعض أكثر البيانات الشخصية حساسية في أي مؤسسة: تفاصيل الاتصال، والراتب، والمعلومات المصرفية، وسجلات الأداء، والمعلومات الصحية، وأحياناً التحقق من السجل الجنائي. وبموجب اللائحة العامة لحماية البيانات (GDPR) وتطبيقاتها الوطنية — قانون حماية البيانات الأيرلندي 2018 ولوائح GDPR في المملكة المتحدة / قانون حماية البيانات 2018 — يجب معالجة هذه البيانات بصورة مشروعة وعادلة وشفافة.
إن تنفيذ ذلك على نحو صحيح هو واجب قانوني ومسألة ثقة في آن واحد. فالموظفون هم أصحاب بيانات لهم حقوق قابلة للإنفاذ، ويمكن للجنة حماية البيانات في أيرلندا (أو مكتب مفوض المعلومات في المملكة المتحدة) التحقيق في الشكاوى وفرض غرامات كبيرة. وتعامل مع بيانات الموظفين بالقدر نفسه من الصرامة الذي ستتعامل به مع بيانات العملاء.
اختيار أساس مشروع
تحتاج كل عملية معالجة إلى أساس قانوني. ومن الأخطاء الشائعة الاعتماد على الموافقة في العلاقة التوظيفية. ونظراً لاختلال القوة بين صاحب العمل والموظف، نادراً ما تكون الموافقة حرة فعلاً، ولذلك فهي عادةً ليست الأساس الصحيح لمعالجة الموارد البشرية الأساسية. أما الأسس الأنسب فتكون عادةً تنفيذ عقد العمل، والامتثال لالتزام قانوني (مثل التقارير الضريبية وتقارير الإيرادات)، والمصالح المشروعة.
البيانات من الفئات الخاصة — بما في ذلك المعلومات الصحية المستخدمة لإجازة المرض أو لأغراض الصحة المهنية — تحتاج إلى شرط إضافي بموجب Article 9، وغالباً ما يتعلق بقانون العمل والضمان الاجتماعي والحماية الاجتماعية. ارسموا خريطة لكل نوع من أنواع معالجة الموارد البشرية إلى أساسه وشرطه، وسجّلوا المبررات.
الشفافية وحقوق صاحب البيانات
يجب إبلاغ الموظفين، بلغة واضحة، بما تحتفظ به من بيانات، ولماذا، ومدة الاحتفاظ بها، ومع من تشاركها. ويُقدَّم ذلك عادةً من خلال إشعار خصوصية للموظفين، متميز عن سياسة الخصوصية الموجّهة للعملاء. قدّمه عند التوظيف وحافظ على تحديثه.
يمكن لأصحاب البيانات ممارسة حقوق تشمل الوصول (طلب الوصول من صاحب البيانات)، والتصحيح، والمحو في بعض الظروف، والتقييد، والاعتراض. ويجب أن تكون لديك عملية موثقة للاستجابة خلال الإطار الزمني القانوني (عادةً شهر واحد). وغالباً ما تكون الموارد البشرية متلقية لطلبات الوصول، لذا خطط لكيفية تحديد المعلومات الموجودة عبر الأنظمة المختلفة وتنقيحها.
الاحتفاظ والتقليل من البيانات والأمن
لا تحتفظوا بالبيانات مدة أطول من اللازم. أنشئوا جدول احتفاظ يعكس المتطلبات القانونية (سجلات الرواتب والضرائب، وسجلات وقت العمل، ووثائق الصحة والسلامة) والحاجة التجارية الحقيقية، واحذفوا البيانات أو اجعلوها مجهولة الهوية بعد تلك الفترات. اجمعوا فقط ما تستخدمونه فعلياً — فالتقليل من البيانات مبدأ، وليس مجرد ترف.
الأمن متطلب قانوني، وليس مجرد ممارسة جيدة. طبّق الوصول القائم على الدور بحيث لا يرى المديرون إلا ما يحتاجون إليه، واشفِر البيانات أثناء النقل وعند rest، واحتفظ بأثر تدقيقي يوضح من اطلع على ماذا. يمنحك نظام معلومات موارد بشرية موثوق أذونات دقيقة وسجلات وصول جاهزة من البداية، وهو أكثر أماناً بكثير من تشتيت بيانات الموظفين عبر الجداول الإلكترونية ومحركات الأقراص المشتركة.
التحويلات الدولية والموردون
إذا كان برنامج الموارد البشرية أو مزود الرواتب يخزن البيانات خارج المنطقة الاقتصادية الأوروبية، فيجب التأكد من وجود آلية نقل مناسبة — قرار كفاية، أو بنود تعاقدية قياسية، أو ضمانات مكافئة. ومنذ خروج بريطانيا من الاتحاد الأوروبي، تغطي التحويلات بين الاتحاد الأوروبي والمملكة المتحدة حالة الكفاية الخاصة بالمملكة المتحدة، لكن ينبغي مراقبة ذلك لأنه خاضع للمراجعة.
كلما استخدمت طرفاً ثالثاً لمعالجة بيانات الموظفين، تحتاج إلى اتفاقية مكتوبة لمعالجة البيانات تحدد التزاماته، وينبغي لك إجراء العناية الواجبة بشأن موقفه الأمني. احتفظ بسجل للمعالجين لديك ومكان استضافة البيانات حتى تتمكن من الإجابة عن الأسئلة والاستجابة للحوادث بسرعة.
