نظام حماية البيانات العام (GDPR) في الموارد البشرية: معالجة بيانات الموظفين

لا ينطبق نظام حماية البيانات العام (GDPR) فقط على العلاقات التجارية بين المؤسسة وعملائها: إنه ينظم أيضاً، وبطريقة دقيقة جداً، معالجة البيانات الشخصية للموظفين. التوظيف، إدارة الرواتب، التحكم في الوصول، تقييم الأداء، المراقبة بالفيديو... كل مرحلة من مراحل دورة حياة عقد العمل تولد بيانات ذات طابع شخصي يجب على صاحب العمل معالجتها في الامتثال الكامل للقانون الأوروبي. مع غرامات قد تصل إلى 20 مليون يورو أو 4% من رقم الأعمال العالمي السنوي، فإن المخاطر كبيرة جداً. توضح هذه المقالة الأساس القانوني المعمول به، والالتزامات العملية لأقسام الموارد البشرية، وأفضل الممارسات لتأمين معالجتك - بما في ذلك عند رقمنة وثائق الموارد البشرية.

الأساس القانوني لمعالجة بيانات الموارد البشرية

الأساس القانوني المقبول في قانون العمل

يحدد نظام حماية البيانات العام ستة أساس قانوني تسمح بمعالجة البيانات الشخصية (المادة 6). في سياق الموارد البشرية، يتم استخدام ثلاثة منها بشكل منتظم تقريباً:

• تنفيذ عقد العمل (المادة 6.1.ب): يشكل الأساس الرئيسي لإدارة الرواتب، ومراقبة وقت العمل، وتسليم كشوف الرواتب أو إدارة الإجازات.

• الالتزام القانوني (المادة 6.1.ج): يبرر المعالجات المفروضة من خلال قانون العمل أو التشريعات الاجتماعية، مثل الإعلان المسبق عن التوظيف (DPAE)، أو الإعلان الاجتماعي الاسمي (DSN)، أو الحفاظ على سجل الموظفين الموحد.

• المصلحة المشروعة (المادة 6.1.و): قد تشكل أساساً لمعالجات أمان تكنولوجيا المعلومات أو منع الاحتيال الداخلي، شريطة أن لا تسود هذه المصلحة على الحقوق الأساسية للموظفين.

⚠️ يجب التعامل مع أساس الموافقة بحذر شديد في سياق العمل. تذكر اللجنة الوطنية للمعلوماتية والحريات (CNIL) بانتظام أن عدم التوازن المتأصل في العلاقة بين صاحب العمل والموظف يجعل الموافقة نادراً ما تكون "حرة" بالمعنى المقصود في المادة 7 من نظام حماية البيانات العام. اللجوء إلى الموافقة للمعالجات التي يمكن أن تستند إلى أساس قانوني آخر يعرض صاحب العمل لخطر إعادة التصنيف.

الفئات الخاصة من البيانات: نظام معزز

تندرج بعض البيانات التي تجمعها أقسام الموارد البشرية تحت نظام "البيانات الحساسة" المنصوص عليه في المادة 9 من نظام حماية البيانات العام، والتي يُحظر معالجتها بمبدأ عام إلا في حالات الاستثناء:

• بيانات الصحة: إجازات المرض، عدم الأهلية التي تعلنها خدمات الصحة المهنية، تعديلات المنصب بسبب الإعاقة.

• بيانات نقابية: الانتماء إلى نقابة، التفويضات الممثلة.

• بيانات بيومترية: التحكم في الوصول من خلال بصمات الأصابع أو التعرف على الوجه.

• بيانات تتعلق بالمخالفات: التحقق من السجلات الجنائية، مصرح به فقط في القطاعات المنظمة (الأمان والطفولة، إلخ).

بالنسبة لهذه الفئات، يجب على صاحب العمل تحديد استثناء صريح (المادة 9.2)، وإجراء تقييم التأثير على حماية البيانات (AIPD) في معظم الحالات، وغالباً ما يتشاور مع CNIL قبل النشر.

الالتزامات العملية لأقسام الموارد البشرية

سجل أنشطة المعالجة

يتعين على أي منظمة توظف أكثر من 250 موظفاً الاحتفاظ بسجل أنشطة المعالجة (المادة 30 من نظام حماية البيانات العام). تحت هذا الحد، يبقى الالتزام قائماً طالما أن المعالجات ليست عرضية أو تتعلق ببيانات حساسة - وهو الحال دائماً تقريباً في الموارد البشرية. يجب أن يوثق هذا السجل:

• الغرض من كل معالجة (مثل: "إدارة كشوف الرواتب")

• فئات البيانات المعنية

• المستلمون (أطراف ثالثة، معالجون فرعيون، سلطات)

• مدد الاحتفاظ

• التدابير الأمنية المطبقة

توفر CNIL نموذج سجل قابل للتنزيل المجاني. يشكل الاحتفاظ به بدقة خط الدفاع الأول في حالة التحكم.

مدد الاحتفاظ: نقطة غالباً ما يتم إهمالها

تفرض المادة 5.1.ه من نظام حماية البيانات العام مبدأ تحديد الاحتفاظ: يجب عدم الاحتفاظ بالبيانات لفترة أطول من المدة اللازمة لتحقيق الغرض الذي تم جمعها من أجله. في الموارد البشرية، مدد الاحتفاظ القانونية المرجعية هي كما يلي:

| نوع البيانات | مدة الاحتفاظ الموصى بها | |---|---| | كشف الراتب | 5 سنوات (التقادم المدني) | | عقد العمل | 5 سنوات بعد انتهاء العقد | | بيانات التوظيف (مرشح لم يتم اختياره) | سنتان بحد أقصى بعد آخر اتصال | | ملف الإجراءات التأديبية | مدة متغيرة حسب العقوبة (بحد أقصى 3 سنوات للإنذار) | | بيانات المراقبة بالفيديو | شهر واحد كقاعدة عامة | | DSN وسجل الموظفين | 5 سنوات بعد خروج الموظف |

يجب تسجيل هذه المدد في السجل والامتثال لها من خلال إجراءات التنقية أو الأرشفة الدائمة.

إبلاغ الموظفين: التزام غالباً ما يتم التقليل من شأنه

تفرض المادة 13 من نظام حماية البيانات العام توفير إشعار معلومات شامل للأشخاص المعنيين في وقت جمع بياناتهم. في الموارد البشرية، يجب تسليم هذا الإشعار بشكل مثالي:

• منذ بداية الترشح: للبيانات المجمعة أثناء عملية التوظيف.

• عند التوظيف: المضمنة في عقد العمل أو المسلمة كملحق عند التوقيع.

• أثناء العلاقة التعاقدية: في كل معالجة جديدة يتم نشرها (مثل: نشر أداة بصمة بيومترية).

تسهل رقمنة عملية الاستقبال، خاصة من خلال التوقيع الإلكتروني للموارد البشرية، تتبع تسليم هذه المعلومات: تاريخ قراءة وتوقيع الإشعار مختوم بطريقة معترف بها، مما يشكل عنصر إثبات ثميناً في حالة النزاع.

أمان بيانات الموارد البشرية: التدابير التقنية والتنظيمية

التشفير والتحكم في الوصول والفصل

تتطلب المادة 32 من نظام حماية البيانات العام تطبيق تدابير أمان مناسبة للمخاطر. بالنسبة لبيانات الموارد البشرية، التي تكون بطبيعتها حساسة وموضوع استهداف أثناء الاختراقات، تشمل أفضل الممارسات الدنيا:

• تشفير البيانات أثناء الراحة والنقل: يجب تخزين ملفات الرواتب والعقود والملفات الشخصية مشفرة (AES-256 كحد أدنى) وتنقل عبر بروتوكولات آمنة (TLS 1.3).

• إدارة حقوق الوصول بناءً على الأدوار (RBAC): يمكن لمديري الموارد البشرية المخولين فقط الوصول إلى بيانات الرواتب؛ يمكن لمدير الفريق الوصول فقط إلى البيانات اللازمة للإدارة.

• تسجيل الوصول: يجب تتبع أي استشارة أو تعديل لملف موظف برقم المستخدم والتاريخ والوقت.

• إخفاء الهوية للمعالجات التحليلية (لوحات معلومات الموارد البشرية، دراسات التعويض).

إدارة معالجات الموارد البشرية الفرعية

تعتمد أقسام الموارد البشرية على العديد من المعالجات الفرعية: محررو نظام معلومات الموارد البشرية (SIRH)، وموفرو خدمات الرواتب المحسوبة خارجياً، ومنصات التدريب، وأدوات التوظيف عبر الإنترنت. يجب أن يكون كل طرف ثالث موضوع عقد معالجة فرعية متوافق مع المادة 28 من نظام حماية البيانات العام، محدداً على وجه الخصوص:

• طبيعة وغرض المعالجات المفوضة

• التزامات المعالج الفرعي فيما يتعلق بالأمان والسرية

• الحظر على المعالجة الفرعية الثانوية بدون تفويض مسبق

• طريقة إعادة أو حذف البيانات في نهاية العقد

عند اختيار مقدم خدمة، من المهم أيضاً التحقق من ما إذا كانت خوادمه موجودة في المنطقة الاقتصادية الأوروبية (EEA) أو إذا كان هناك آلية نقل كافية (شروط تعاقدية موحدة، قرار الكفاية) لعمليات النقل خارج EEA.

رقمنة وثائق الموارد البشرية والامتثال للنظام العام لحماية البيانات

تثير الرقمنة المتزايدة لعمليات الموارد البشرية - عقود العمل الإلكترونية وكشوف الرواتب المرقمنة والتعديلات الموقعة عن بعد - قضايا GDPR محددة. إذا كان التوقيع الإلكتروني الممتثل لنظام eIDAS يوفر ضمانات واضحة للسلامة والمصادقة، فيجب على صاحب العمل التأكد من أن المنصة المستخدمة:

• لا تجمع بيانات غير ضرورية أثناء عملية التوقيع (مبدأ التقليل، المادة 5.1.ج)

• تحتفظ بإثباتات التوقيع (مسار التدقيق) في ظروف آمنة وللمدة المناسبة

• تسمح بممارسة حقوق الموقعين (الوصول والتصحيح والحذف ضمن الحدود القانونية)

لمزيد من المعلومات حول امتثال أدوات التوقيع، يفصل الدليل الشامل للتوقيع الإلكتروني من Certyneo المعايير التقنية والقانونية التي يجب التحقق منها قبل أي نشر.

حقوق الموظفين وممارستها الفعلية

نظرة عامة على الحقوق المضمونة من خلال نظام حماية البيانات العام

يستفيد الموظفون من جميع الحقوق المنصوص عليها في المواد 15 إلى 22 من نظام حماية البيانات العام. في سياق الموارد البشرية، الحقوق التي يتم ممارستها بشكل متكرر هي:

• حق الوصول (المادة 15): يمكن للموظف طلب نسخة من جميع البيانات التي يمتلكها صاحب العمل والمتعلقة به، بما في ذلك تبادلات رسائل البريد الإلكتروني للعمل في ظروف معينة.

• حق التصحيح (المادة 16): تصحيح البيانات غير الدقيقة (خطأ في الحساب البنكي أو درجة موثقة بشكل خاطئ، إلخ).

• حق الحذف (المادة 17): محدود في الموارد البشرية من خلال التزامات الاحتفاظ القانوني، لكنه قابل للتطبيق على بيانات التوظيف لمرشح لم يتم اختياره.

• حق الاعتراض (المادة 21): يمكن ممارسته ضد معالجة تستند إلى مصلحة مشروعة، مثل معالجات المراقبة الاحتياطية.

• حق إمكانية النقل (المادة 20): قابل للتطبيق على البيانات المقدمة من الموظف نفسه في سياق تنفيذ العقد.

الموعد النهائي للرد والإجراءات الداخلية

لدى صاحب العمل شهر واحد للرد على أي طلب لممارسة الحقوق، مع إمكانية تمديد المدة إلى ثلاثة أشهر في حالة التعقيد أو حجم الطلبات الكبير (المادة 12.3). لتنظيم هذا المعالجة بكفاءة، يُنصح بـ:

• تعيين نقطة اتصال واحدة (DPO أو مسؤول GDPR) لاستقبال الطلبات

• إنشاء نموذج مخصص يمكن الوصول إليه من قبل الموظفين

• توثيق كل طلب وردوده في سجل طلبات ممارسة الحقوق

• تدريب مديري الموارد البشرية لتحديد طلب ضمني (موظف يطلب "ملفه الشخصي" يمارس فعلياً حق الوصول الخاص به)

دور مسؤول حماية البيانات في المؤسسة

يفرض نظام حماية البيانات العام تعيين مسؤول حماية البيانات (DPO) في ثلاث حالات (المادة 37): السلطة العامة، أو معالجة واسعة النطاق للبيانات الحساسة، أو المراقبة المنهجية على نطاق واسع. تندرج العديد من المؤسسات التي تتضمن معالجة الموارد البشرية بشكل كبير ضمن هذا الالتزام. يمكن أن يكون مسؤول حماية البيانات داخلياً أو خارجياً؛ يجب أن يتمتع باستقلالية وظيفية وأن يشارك في جميع القرارات التي تؤثر على حماية البيانات، بما في ذلك نشر أدوات موارد بشرية رقمية جديدة. دوره استشاري وليس قراري: تبقى المسؤولية النهائية على عاتق المسؤول عن المعالجة، أي صاحب العمل.

الإطار القانوني المعمول به في معالجة بيانات الموارد البشرية

نظام حماية البيانات العام: النص الأساسي

لائحة الاتحاد الأوروبي رقم 679/2016 من البرلمان الأوروبي والمجلس الصادرة في 27 أبريل 2016 (نظام حماية البيانات العام) تشكل الأساس التنظيمي لمعالجة البيانات الشخصية في أوروبا. يسري مباشرة على جميع الدول الأعضاء منذ 25 مايو 2018، وينطبق على أي صاحب عمل يعالج بيانات الموظفين المقيمين في الاتحاد الأوروبي، بغض النظر عن جنسية المؤسسة. المواد الرئيسية المعمول بها في سياق الموارد البشرية هي:

• المادة 5: المبادئ الأساسية (الشرعية والإنصاف والشفافية والتقليل والدقة والتحديد الزمني والنزاهة والسرية والمساءلة)

• المادة 6: أساس المعالجة القانوني

• المادة 9: نظام البيانات الحساسة

• المواد 12 إلى 22: حقوق الأشخاص المعنيين

• المواد 24 إلى 32: التزامات المسؤول والمعالج الفرعي للمعالجة

• المواد 33-34: إخطار انتهاكات البيانات (72 ساعة إلى CNIL، وإخطار الأشخاص إذا كان هناك خطر مرتفع)

• المادة 35: تقييم التأثير (AIPD) إلزامي للمعالجات عالية المخاطر

• المادة 83: عقوبات إدارية (حتى 20 مليون يورو أو 4% من رقم الأعمال العالمي)

قانون المعلوماتية والحريات المعدل

في القانون الفرنسي، فإن القانون رقم 78-17 الصادر في 6 يناير 1978 بشأن المعلوماتية والملفات والحريات، المعدل بموجب القانون رقم 2018-493 الصادر في 20 يونيو 2018 والمرسوم رقم 2018-1125 الصادر في 12 ديسمبر 2018، يكمل نظام حماية البيانات العام بفتح هوامش مناورة وطنية ("بنود الفتح"). من بين الأهم في الموارد البشرية: احتمالية معالجة البيانات النقابية في إطار إدارة هيئات التمثيل (المادة 9 من القانون)، أو القواعس المحددة لمعالجة بيانات الصحة المهنية.

قانون العمل والاجتهاد القضائي الاجتماعي

يفرض قانون العمل التزامات الإعلام والتشاور المسبق مع اللجنة الاجتماعية والاقتصادية (CSE) قبل نشر أي جهاز مراقبة أو تحكم للموظفين (المادة L. 2312-38). يعرض عدم التشاور صاحب العمل لعدم قابلية الأدلة المجمعة للمعارضة بالإضافة إلى عقوبات جنائية.

يذكر اجتهاد محكمة التمييز بانتظام أن أدوات التحكم (تحديد الموقع الجغرافي والبطاقات والبرامج تتبع النشاط) يجب أن تكون متناسبة مع الهدف المطلوب ولا يمكن تحويلها إلى أغراض أخرى غير تلك المعلنة للموظفين و CNIL.

التوقيع الإلكتروني لوثائق الموارد البشرية: eIDAS والقانون المدني

عند رقمنة عقود العمل والتعديلات أو الوثائق التأديبية، يجب على صاحب العمل احترام اللائحة (الاتحاد الأوروبي) رقم 910/2014 eIDAS، التي تحدد ثلاثة مستويات من التوقيع الإلكتروني. بالنسبة لوثائق مهمة مثل عقد عمل CDI أو وثيقة إنهاء الخدمة بالتراضي، يوصى بـ التوقيع الإلكتروني المتقدم (أو حتى الموثق) لضمان هوية الموقع وسلامة الوثيقة. يقر القانون المدني بالمادتين 1366 و1367 بالقيمة الإثباتية للكتابة الإلكترونية والتوقيع الإلكتروني، شريطة التحقق الموثوق من الموقع وضمان السلامة.

العقوبات الصادرة من CNIL في مجال الموارد البشرية

أصدرت CNIL عدة عقوبات كبيرة فيما يتعلق بمعالجة بيانات الموارد البشرية: في 2022، تم تغريم شركة بمبلغ 400000 يورو لمراقبة مفرطة للموظفين أثناء العمل من المنزل عبر برامج التقاط الشاشة. في 2023، عوقبت شركة أمن بغرامة قدرها 200000 يورو لجمع مفرط للبيانات البيومترية بدون أساس قانوني صحيح. توضح هذه القرارات اليقظة المتزايدة من قبل المنظم على هذا المجال.

سيناريوهات الاستخدام: GDPR للموارد البشرية عملياً

السيناريو 1 - تحقق شركة وسيطة صناعية توظف 450 موظفاً من امتثالها لعملية التوظيف

كانت شركة صناعية متوسطة الحجم توظف حوالي 450 شخصاً على ثلاث مواقع تستقبل كل عام أكثر من 3000 طلب تقديم تلقائي وردت على حوالي ستين عرض وظيفي. تم تخزين السير الذاتية ورسائل التحفيز بدون حد زمني في صندوق بريد إلكتروني مشترك بين ستة مسؤولي خدمات. لم يتم تسليم أي إخطار معلومات للمرشحين بشأن استخدام بياناتهم.

بعد تدقيق GDPR، تم نشر الإجراءات التالية على مدار ستة أشهر:

• الهجرة إلى نظام تتبع المتقدمين (ATS) معتمد كمتوافق مع GDPR، مع حذف تلقائي للملفات بعد 24 شهراً من عدم النشاط

• إضافة إشعار معلومات GDPR في كل نموذج طلب ترشح عبر الإنترنت

• التوقيع الإلكتروني على رسائل التعيين والعقود من خلال منصة متوافقة م