خصوصية بيانات الموظفين

تعريف خصوصية بيانات الموظفين

خصوصية بيانات الموظفين (بالإنجليزية: Employee Data Privacy) هي التزام المنشأة في معالجة ما تحتفظ به من بيانات موظفيها ومرشّحيها بأحكام نظام حماية البيانات الشخصية، الصادر بالمرسوم الملكي رقم (م/19) وتاريخ 9/2/1443هـ والمعدَّل بالمرسوم الملكي رقم (م/148) وتاريخ 5/9/1444هـ.

وهذا نظام غير نظام العمل، وجهته غير جهته. فالجهة التي تنشر النظام ولائحته وتشغّل منصّته الوطنية هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا)، لا وزارة الموارد البشرية والتنمية الاجتماعية. ومن قرأ الموضوع بعدسة نظام العمل بحث عن الحكم في الباب الخطأ.

لماذا تدخل ملفات الموظفين في نطاقه

نصّت المادة الثانية على أنّ النظام يُطبَّق على أي عملية معالجة لبيانات شخصية تتعلق بالأفراد تتمّ في المملكة بأي وسيلة كانت، ويشمل ذلك معالجة بيانات المقيمين في المملكة من أي جهة خارجها. والاستثناء الوحيد في المادة نفسها هو معالجة الفرد بياناتٍ لأغراض لا تتجاوز الاستعمال الشخصي أو العائلي، والمنشأة ليست داخله.

وعرّفت المادة الأولى البيانات الشخصية تعريفًا واسعًا: كلّ بيان، مهما كان مصدره أو شكله، من شأنه أن يؤدّي إلى معرفة الفرد على وجه التحديد، أو يجعل معرفته ممكنة بصورة مباشرة أو غير مباشرة، ومن ذلك الاسم ورقم الهوية الشخصية والعناوين وأرقام التواصل. وعرّفت المعالجة بأنّها أي عملية تُجرى على البيانات الشخصية، ومن ذلك الجمع والتسجيل والحفظ والفهرسة والترتيب والتخزين والاسترجاع والاستعمال والإفصاح والمشاركة والإتلاف.

فالاحتفاظ بـملف الموظف، واستخراج التقارير منه في تحليلات الموارد البشرية، وتداول ملفات المتقدّمين في نظام تتبّع المتقدمين، كلّها معالجة بالمعنى الوارد في النظام.

صفة المنشأة في النظام

عرّفت المادة الأولى جهة التحكم بأنّها الجهة التي تحدّد الغرض من معالجة البيانات الشخصية وكيفية ذلك، سواء باشرت المعالجة بنفسها أو بوساطة جهة المعالجة؛ وعرّفت جهة المعالجة بأنّها الجهة التي تعالج البيانات لمصلحة جهة التحكم ونيابةً عنها.

وصاحب العمل في ملفات موظفيه جهة تحكم، لأنه هو من يحدّد غرض المعالجة وكيفيتها. ومزوّد النظام الذي يعالج عنه جهة معالجة. والتمييز ليس لفظيًّا: التزامات جهة التحكم في النظام محدّدة باسمها، فمن لم يعرف صفته لم يعرف أيّ الالتزامات يخاطبه.

ما يوجبه النظام على جهة التحكم

ومنه ما يأتي، وكلّه مقرَّر في النصّ:

• تحديد الغرض من الجمع، وقصر المعالجة عليه. نصّت المادة العاشرة على أنّه لا يجوز لجهة التحكم جمع البيانات الشخصية إلّا من صاحبها مباشرةً، ولا معالجتها إلّا لتحقيق الغرض الذي جُمعت من أجله، في حدود الاستثناءات الواردة فيها. ونصّت المادة الحادية عشرة على أن يكون الغرض ذا علاقة مباشرة بأغراض جهة التحكم وألّا يتعارض مع حكم مقرَّر نظامًا.
• الاقتصار على أقلّ قدر من البيانات يفي به. نصّت المادة الحادية عشرة على أن يكون محتوى البيانات ملائمًا ومقصورًا على الحد الأدنى اللازم لتحقيق الغرض من جمعها.
• إخبار صاحب البيانات. نصّت المادة الثالثة عشرة على إبلاغه عند الجمع المباشر بالغرض من جمع بياناته، وبما هو إلزامي منها وما هو اختياري. ونصّت المادة الثانية عشرة على تبنّي سياسة خصوصية تُتاح قبل الجمع وتبيّن الغرض ضمن عناصرها.
• حماية ما يُجمع. نصّت المادة التاسعة عشرة على اتّخاذ ما يلزم من إجراءات ووسائل تنظيمية وإدارية وتقنية تضمن المحافظة على البيانات، بما في ذلك عند نقلها.
• الإتلاف متى انتفت الحاجة. نصّت المادة الثامنة عشرة على الإتلاف متى لم تعد البيانات لازمة، والمادة الحادية عشرة على التوقّف عن الجمع وإتلاف ما جُمع دون تأخير متى انتفت الحاجة إليه للغرض.
• الإبلاغ عن التسرّب. نصّت المادة العشرون على إبلاغ الجهة المختصة عند وقوع تسرّب للبيانات الشخصية، وإبلاغ صاحبها حيث يكون من شأنه الإضرار به.
• استمرار السرّية بعد انتهاء العلاقة. نصّت المادة الحادية والأربعون على أنّ التزام السرّية لا ينتهي بانتهاء العلاقة الوظيفية أو التعاقدية.
• حقوق صاحب البيانات. نصّت المادة الرابعة على حقّه في العلم، وفي الوصول إلى بياناته، وفي الحصول على نسخة منها، وفي تصحيحها، وفي إتلافها. ونصّت المادة الخامسة على أنّ المعالجة، وتغيير الغرض منها، يقومان على موافقة يجوز سحبها في أي وقت. ونصّت المادة الرابعة عشرة على أن تكون البيانات صحيحة وكاملة ومحدَّثة وملائمة للغرض قبل معالجتها.

وما هو ترتيب إداري جيّد لا واجب نظامي

هذا الفصل مقصود. فقصر الاطّلاع على من يحتاجه بحكم دوره، وكتابة سياسة داخلية للاحتفاظ والإتلاف، وتحديد من يردّ على طلب موظف يسأل عن بياناته، كلّها ممارسات إدارية تخدم الالتزام ولا يقرّرها النظام بهذه الصيغة. وموضعها دليل الموظف وسياسة استخدام الأجهزة الشخصية، لا فقرة الواجبات أعلاه. ومن عرضها بوصفها نصوصًا نسب إلى النظام ما ليس فيه.

ما لا تجد جوابه هنا

ستّة أمور لا تذكرها هذه الصفحة، ولكلٍّ منها سببه:

• مدد الاحتفاظ بالبيانات. النظام يقرّر الإتلاف عند انتفاء الحاجة ولا يذكر عددًا من السنين، ولا تُنقل مدّة من نظام آخر إلى هنا.
• أرقام الغرامات والعقوبات. وهي مقرَّرة في النظام، وإنّما تُترك من هذه الصفحة قصدًا: صفحة تعريفية ليست موضع نقل رقم عقوبة.
• الواجبات الإضافية على البيانات الحساسة، وهي فئة معرَّفة في المادة الأولى.
• نقل البيانات خارج المملكة.
• تعيين مسؤول حماية البيانات، والتسجيل في السجل الوطني، وتقييم الأثر.
• تاريخ نفاذ النظام وأي مهلة للقطاع الخاص. المادة الثالثة والأربعون تحدّد مدّة تسري من تاريخ النشر في الجريدة الرسمية، ولا تثبت التواريخ المتداولة عنها بغير الرجوع إلى عدد الجريدة نفسه.

وما سبق تعريف بالمفهوم وبما ورد في نظام حماية البيانات الشخصية، لا استشارة نظامية.

مصطلحات ذات صلة

• اتفاقية مشاركة البيانات
• ملف الموظف
• سياسة استخدام الأجهزة الشخصية
• تحليلات الموارد البشرية
• نظام تتبّع المتقدمين