Guide • Compliance • 16 دقائق قراءة
اللائحة العامة لحماية البيانات للموارد البشرية: التعامل الصحيح مع بيانات الموظفين
كيفية معالجة البيانات الشخصية للموظفين بصورة قانونية بموجب اللائحة العامة لحماية البيانات — الأسس القانونية، والاحتفاظ، والحقوق، والأمن، ونقل البيانات دوليًا.
بيانات الموارد البشرية بيانات عالية المخاطر
تتعامل وظائف الموارد البشرية مع بعض أكثر البيانات الشخصية حساسية في أي منظمة: تفاصيل التواصل، والراتب، والمعلومات المصرفية، وسجلات الأداء، والمعلومات الصحية، وأحيانًا التحقق من السجل الجنائي. وبموجب اللائحة العامة لحماية البيانات (GDPR) وتطبيقاتها الوطنية — قانون حماية البيانات الأيرلندي 2018 ولائحة GDPR في المملكة المتحدة / قانون حماية البيانات 2018 — يجب معالجة هذه البيانات على نحو قانوني وعادل وشفاف.
القيام بذلك على الوجه الصحيح هو واجب قانوني وقضية ثقة في آن واحد. الموظفون هم أصحاب بيانات يتمتعون بحقوق قابلة للإنفاذ، ويمكن للجنة حماية البيانات في أيرلندا (أو مكتب مفوض المعلومات في المملكة المتحدة) التحقيق في الشكاوى وفرض غرامات كبيرة. تعامل مع بيانات الموظفين بالصرامة نفسها التي تتعامل بها مع بيانات العملاء.
اختيار أساس قانوني
تحتاج كل عملية معالجة إلى أساس قانوني. ومن الأخطاء الشائعة الاعتماد على الموافقة في علاقة العمل. وبسبب اختلال القوة بين صاحب العمل والموظف، نادرًا ما تُمنح الموافقة بحرية، وبالتالي فهي عادةً ليست الأساس الصحيح للمعالجة الأساسية في الموارد البشرية. وتكون الأسس الأنسب عادةً هي تنفيذ عقد العمل، والامتثال لالتزام قانوني (مثل الإبلاغ الضريبي وإبلاغ الإيرادات)، والمصالح المشروعة.
تحتاج البيانات من الفئة الخاصة — بما في ذلك المعلومات الصحية المستخدمة لإجازة المرض أو لأغراض الصحة المهنية — إلى شرط إضافي بموجب Article 9، وغالبًا ما يتعلق ذلك بقانون العمل والضمان الاجتماعي والحماية الاجتماعية. ارسم خريطة لكل نوع من معالجات الموارد البشرية إلى أساسه وشرطه، وسجل المبررات.
الشفافية وحقوق صاحب البيانات
يجب إبلاغ الموظفين بلغة واضحة بما تحتفظ به من بيانات، ولماذا، ومدة الاحتفاظ بها، ومع من تشاركها. ويُقدَّم ذلك عادة عبر إشعار خصوصية للموظفين، منفصل عن سياسة الخصوصية الموجهة للعملاء. قدمه عند التوظيف وأبقِه محدثًا.
يمكن لأصحاب البيانات ممارسة حقوق تشمل الوصول (طلب الوصول إلى البيانات)، والتصحيح، والمحو في بعض الظروف، والتقييد والاعتراض. اجعل لديك عملية موثقة للرد خلال المدة القانونية المحددة (عادة شهر واحد). وتعد الموارد البشرية متلقيًا متكررًا لطلبات الوصول، لذا خطط لكيفية تحديد المعلومات المخزنة عبر الأنظمة وحذف ما يلزم منها.
الاحتفاظ والتقليل والأمن
لا تحتفظ بالبيانات مدة أطول من اللازم. ابنِ جدول احتفاظ يعكس المتطلبات القانونية (سجلات الرواتب والضرائب، وسجلات وقت العمل، ووثائق الصحة والسلامة) والحاجة الفعلية للعمل، ثم احذف البيانات أو اجعلها مجهلة بعد تلك الفترات. اجمع فقط ما تستخدمه فعليًا — فتقليل البيانات مبدأ وليس مجرد ترف.
الأمن متطلب قانوني، وليس مجرد ممارسة جيدة. طبّق الوصول القائم على الأدوار بحيث يرى المدراء ما يحتاجون إليه فقط، وشفر البيانات أثناء النقل وعند rest، واحتفظ بسجل تدقيقي يوضح من اطلع على ماذا. يمنحك نظام معلومات الموارد البشرية الموثوق صلاحيات دقيقة وسجل وصول جاهزًا، وهو أكثر أمانًا بكثير من تشتيت بيانات الموظفين عبر جداول البيانات ومحركات الأقراص المشتركة.
النقل الدولي والمورّدون
إذا كان برنامج الموارد البشرية أو مزود الرواتب يخزن البيانات خارج المنطقة الاقتصادية الأوروبية، فيجب التأكد من وجود آلية نقل كافية — قرار كفاية، أو البنود التعاقدية القياسية، أو ضمانات مكافئة. ومنذ خروج بريطانيا من الاتحاد الأوروبي، تخضع التحويلات بين الاتحاد الأوروبي والمملكة المتحدة لوضع الكفاية المعتمد للمملكة المتحدة، لكن ينبغي مراقبة ذلك لأنه يخضع للمراجعة.
كلما استخدمت طرفًا ثالثًا لمعالجة بيانات الموظفين، فأنت بحاجة إلى اتفاقية مكتوبة لمعالجة البيانات تحدد التزاماته، ويجب أن تجري العناية الواجبة بشأن وضعه الأمني. احتفظ بسجل لمعالجيك ومكان استضافة البيانات حتى تتمكن من الإجابة عن الأسئلة والاستجابة للحوادث بسرعة.
