التوقيع الإلكتروني للموارد البشرية والـ RGPD: دليل شامل 2026

تسارعت رقمنة الموارد البشرية تسارعًا كبيرًا منذ 2020: عقود العمل، والملاحق، وكشوف الأجور، ومواثيق استعمال المعلوماتية، واتفاقات العمل عن بُعد — كل هذه المستندات تقريبًا صارت تنتقل بصيغة رقمية. غير أن الرقمنة لا تعني التحلّل من الالتزامات القانونية. بل على العكس: فـ التوقيع الإلكتروني لمستند الموارد البشرية وحماية البيانات موضوع بمدخلين تنظيميين، إذ يجمع بين إطار eIDAS الخاص بالقوة الثبوتية للتوقيع، واللائحة الأوروبية لحماية البيانات الشخصية. وسوء ضبط هذا القيد المزدوج يعرّض المؤسسة لمخاطر قانونية ولجزاءات من سلطة حماية البيانات. يقدّم هذا الدليل القواعد الجوهرية والممارسات السليمة ونقاط اليقظة الواجب معرفتها حتمًا في 2026.

لماذا تنطبق حماية البيانات على التوقيع الإلكتروني في الموارد البشرية؟

التوقيع الإلكتروني يعالج بالضرورة بيانات شخصية

توقيع عقد عمل عبر الإنترنت يقتضي جمع بيانات ذات طابع شخصي ونقلها وتخزينها بمفهوم المادة 4 من اللائحة رقم 2016/679: الاسم، واللقب، والبريد الإلكتروني المهني، وأحيانًا رقم الهاتف المحمول، والختم الزمني وعنوان بروتوكول الإنترنت عند التوقيع. وفي سياق الموارد البشرية، تكون هذه البيانات حسّاسة على نحو خاص لأنها تعرّف الأجير مباشرةً وترتبط بعلاقته التعاقدية بصاحب العمل.

ويوصَف مقدّم خدمات الثقة الذي يوفّر حل التوقيع بأنه مناوِل بمفهوم المادة 28. ويبقى صاحب العمل المسؤول عن المعالجة. وهذا التمييز أساسي: فالمؤسسة هي التي تُسأل أمام سلطة حماية البيانات عند الإخلال، لا مورّد البرمجية.

الأسس القانونية القابلة للاستناد في سياق الموارد البشرية

لكل فئة من مستندات الموارد البشرية المرقمنة، على صاحب العمل تحديد الأساس القانوني الأنسب للمعالجة:

• تنفيذ العقد (المادة 6.1.ب): توقيع عقد العمل، والملحق المتعلق بالأجر، واتفاقية الأيام المقطوعة. وهو الأساس القانوني الأمتن للمستندات التعاقدية.

• الالتزام القانوني (المادة 6.1.ج): التسليم الرقمي لكشف الأجر (المصرَّح به منذ 2015 بشروط)، وسجلات المستخدَمين.

• المصلحة المشروعة (المادة 6.1.و): مواثيق استعمال المعلوماتية، والأنظمة الداخلية، ومستندات السياسة الداخلية — شريطة اجتياز اختبار الموازنة.

أما أساس الرضا (المادة 6.1.أ) فينبغي تجنّبه في سياق الموارد البشرية: إذ ترى سلطة حماية البيانات والمجلس الأوروبي لحماية البيانات أن علاقة التبعية بين صاحب العمل والأجير تجعل الرضا نادرًا ما يكون حرًّا. فالأجير الذي يرفض التوقيع إلكترونيًا قد يخشى عواقب مهنية.

الالتزامات الملموسة للمسؤول عن المعالجة في الموارد البشرية

تحديث سجل أنشطة المعالجة

تفرض المادة 30 على كل هيئة تستخدم أكثر من 250 أجيرًا (وعلى المؤسسات الصغيرة والمتوسطة التي تعالج بيانات حسّاسة على نطاق واسع) مسك سجل لأنشطة المعالجة. وإدخال أداة توقيع إلكتروني لمستندات الموارد البشرية يجب أن يرد فيه مع:

• غاية المعالجة (مثلًا: رقمنة وأرشفة المستندات التعاقدية للموارد البشرية)

• فئات البيانات المعالَجة (الهوية، وبيانات الاتصال، وبيانات التحقق من الهوية)

• مدة الحفظ (المدة القانونية لحفظ عقد العمل: خمس سنوات بعد انتهاء العقد وفق قانون العمل)

• بيانات المناوِل (منصّة التوقيع)

• تدابير الأمن المعتمَدة

توقيع اتفاق لمعالجة البيانات مع المزوّد

وفقًا للمادة 28، فإن كل لجوء إلى مناوِل لمعالجة بيانات شخصية يجب أن يُشكلَن في عقد لمعالجة البيانات. ويجب أن يحدّد هذا العقد:

• موضوع المعالجة ومدتها

• طبيعة المعالجة وغايتها

• نوع البيانات الشخصية وفئات الأشخاص المعنيين

• التزامات المسؤول عن المعالجة وحقوقه

• موقع البيانات (يُنصح بالاستضافة داخل الاتحاد الأوروبي تفاديًا للنقل خارج الفضاء الاقتصادي الأوروبي)

• تدابير الأمن التقنية والتنظيمية

ومقدّم خدمات توقيع إلكتروني جادّ يقترح دائمًا اتفاقًا مطابقًا. وغيابه يشكّل عدم مطابقة قابلة للجزاء فورًا.

إعلام الأجراء قبل أول توقيع

تفرض المادة 13 إعلامًا مسبقًا للأشخاص الذين تُجمع بياناتهم. لذا، قبل نشر التوقيع الإلكتروني لمستندات الموارد البشرية، على صاحب العمل إعلام الأجراء بـ:

• هوية المسؤول عن المعالجة

• الغاية والأساس القانوني

• مدة حفظ البيانات

• حقوقهم (الاطلاع، والتصحيح، والمحو في حدود الالتزامات القانونية بالحفظ، وقابلية النقل)

• بيانات مسؤول حماية البيانات إن عُيّن

ويمكن إدماج هذا الإعلام في مسار التوقيع نفسه (شريط إعلامي قبل التوقيع)، أو في النظام الداخلي المحدَّث، أو عبر مذكرة خدمة تُنشر عند النشر.

مستوى التوقيع المطلوب لمستندات الموارد البشرية: بسيط أم متقدّم أم مؤهَّل؟

تدرّج مستويات eIDAS

تعرّف لائحة eIDAS رقم 910/2014 ثلاثة مستويات للتوقيع الإلكتروني، لكل منها قوة ثبوتية متصاعدة:

• البسيط (التوقيع الإلكتروني البسيط): قوة ثبوتية ضعيفة، ملائم للمستندات منخفضة الرهان (إشعارات التسلّم، والاستمارات الداخلية)

• المتقدّم (التوقيع الإلكتروني المتقدّم): مرتبط ارتباطًا فريدًا بالموقِّع، ومُنشَأ انطلاقًا من بيانات تحت سيطرته الحصرية. ملائم لأغلب مستندات الموارد البشرية الجارية.

• المؤهَّل (التوقيع الإلكتروني المؤهَّل): أعلى المستويات، ويعادل التوقيع بخط اليد وفق المادة 25.2 من eIDAS. ويستلزم تحققًا معزَّزًا من الهوية (حضوريًا أو بالتعرّف عبر الفيديو).

أي مستوى لأي مستند من مستندات الموارد البشرية؟

الخريطة الموصى بها في 2026، مع مراعاة مواقف الاجتهاد القضائي الفرنسي والتوصيات القطاعية:

وبالنسبة إلى المستندات ذات الرهان النزاعي المرتفع (اتفاقية الأيام المقطوعة، والإنهاء الاتفاقي)، يفرض التوقيع المؤهَّل نفسه واقعيًا لضمان النفاذ أمام المحاكم العمالية. فقد شدّدت محكمة النقض تدريجًا متطلباتها بشأن إثبات موافقة الأجير.

الحفظ والأرشفة وحقوق الأشخاص: المزالق الواجب تفاديها

مدد الحفظ القانونية لمستندات الموارد البشرية الموقَّعة

يخضع حفظ مستندات الموارد البشرية الموقَّعة إلكترونيًا لمدد قانونية آمرة. وهذه المدد تعلو على الحق في المحو (المادة 17.3.ب):

• عقد العمل: خمس سنوات بعد انتهاء العقد (تقادم الدعوى العمالية)

• كشوف الأجور: خمس سنوات (تقادم الأجور)، مع التوصية بالحفظ حتى تصفية حقوق الأجير في التقاعد

• المستندات المتعلقة بحوادث الشغل: ثلاثون سنة (خطر نزاعي طويل الأمد)

• التكوين المهني (الخطط والشهادات): ثلاث سنوات

• سجلات المستخدَمين: خمس سنوات من تاريخ مغادرة الأجير للمؤسسة

ويجب أن تستجيب الأرشفة الإلكترونية ذات القيمة الثبوتية لمتطلبات المعيار NF Z 42-013 ، ومثاليًا للمعيار ETSI EN 319 162 (الأرشفة طويلة الأمد للتوقيعات الإلكترونية). فالتخزين البسيط على خادم لا يكفي: بل يجب ضمان سلامة المستندات وقابليتها للقراءة وختمها الزمني المؤهَّل طوال مدة الحفظ.

إدارة حقوق الأجراء من دون المساس بالقوة الثبوتية

يمكن للأجير أن يمارس مشروعًا حقه في الاطلاع (المادة 15) للحصول على نسخة من بيانات التوقيع التي تخصّه. ويمكنه أيضًا طلب تصحيح بيانات غير دقيقة.

في المقابل، لا يمكن ممارسة الحق في المحو (المادة 17) على مستندات الموارد البشرية الخاضعة لالتزامات قانونية بالحفظ. وعلى صاحب العمل أن يكون قادرًا على شرح هذا الرفض بوضوح، مع ذكر الأساس القانوني المطبَّق. وتوثيق هذه المراسلات في سجل طلبات الحقوق ممارسة سليمة موصى بها.

أما قابلية النقل (المادة 20) فتنطبق على البيانات التي قدّمها الأجير على أساس الرضا أو تنفيذ العقد. وعمليًا، يمكن للأجير طلب بيانات توقيعه بصيغة مهيكلة — وهو التزام ينبغي استباقه عند اختيار حل التوقيع.

الأمن التقني والتنظيمي: التدابير التي لا غنى عنها

المتطلبات التقنية لمنصّة التوقيع

وفقًا للمادة 32، يجب أن تكون تدابير الأمن ملائمة للخطر. وبالنسبة إلى حل توقيع إلكتروني للموارد البشرية، يُترجَم ذلك خصوصًا بـ:

• تشفير البيانات أثناء النقل (TLS 1.3 كحد أدنى) و أثناء السكون (AES-256)

• التحقق المتعدّد العوامل للولوج إلى المنصّة

• سجلات التدقيق مختومة زمنيًا وغير قابلة للتزوير، تتتبّع كل إجراء على المستند

• الاستضافة داخل الاتحاد الأوروبي (أو الفضاء الاقتصادي الأوروبي) تفاديًا للنقل خارجه من دون ضمانات ملائمة

• اختبارات اختراق سنوية وشهادة ISO 27001 للمزوّد

• خطة استمرارية تضمن توافر الخدمة واسترجاع الأرشيف عند وقوع حادث

دراسة الأثر: متى تكون إلزامية؟

تفرض المادة 35 إجراء دراسة أثر على حماية البيانات حين يُرجَّح أن تُحدِث المعالجة خطرًا مرتفعًا. وقد نشرت سلطة حماية البيانات قائمة بأنواع المعالجات التي تستلزم مثل هذه الدراسة، وذُكرت فيها المعالجة الواسعة النطاق لبيانات الحياة المهنية.

وعمليًا، يُنصح بإجراء دراسة أثر (بل تكون إلزامية للمؤسسات الكبرى) عند نشر حل توقيع إلكتروني للموارد البشرية يمسّ مجموع العاملين. ويجب أن تحدّد المخاطر (فقدان السرية، وانتحال الهوية، وتحريف المستندات)، وتقيّم جسامتها واحتمالها، وتقترح تدابير للتخفيف. ويجب توثيق هذه الدراسة ومراجعتها عند تطوّر المعالجة.

الإطار القانوني المطبَّق على التوقيع الإلكتروني في الموارد البشرية وحماية البيانات

النصوص الأوروبية المؤسِّسة

لائحة eIDAS رقم 910/2014 (ومراجعتها eIDAS 2.0 الجاري نشرها): يعرّف هذا النص مستويات التوقيع الإلكتروني الثلاثة وقيمتها القانونية في مجموع الدول الأعضاء. وتنصّ المادة 25 على أن للتوقيع المؤهَّل أثرًا قانونيًا معادلًا للتوقيع بخط اليد. وتعدّد المادة 26 المتطلبات التقنية للتوقيع المتقدّم. ويُدرَج مقدّمو خدمات الثقة المؤهَّلون في قوائم الثقة الوطنية.

اللائحة رقم 2016/679: سارية منذ 25 مايو 2018، وتحكم كل معالجة لبيانات شخصية داخل الاتحاد الأوروبي. والمواد 5 (المبادئ) و6 (الأسس القانونية) و13-14 (الإعلام) و28 (المناوِلون) و30 (السجل) و32 (الأمن) و35 (دراسة الأثر) و37-39 (مسؤول حماية البيانات) وثيقة الصلة مباشرةً بالتوقيع الإلكتروني في الموارد البشرية.

القانون الفرنسي المطبَّق

القانون المدني، المادتان 1366 و1367: تضع المادة 1366 مبدأ التكافؤ الوظيفي بين الكتابة الإلكترونية والكتابة الورقية. وتعترف المادة 1367 بالتوقيع الإلكتروني وسيلةَ إثبات، شريطة أن يقوم على أسلوب موثوق للتعرّف يضمن الصلة بالتصرّف الذي يتعلق به. والموثوقية مفترَضة في التوقيع المؤهَّل، ويمكن إثباتها في المتقدّم.

قانون العمل: لا تفرض المادة L. 1221-1 شكلًا خاصًا لعقد العمل (باستثناءات: العقد محدّد المدة، وعقد التمهين، وغيرهما). وقد فتح قانون 2015 الطريق أمام كشف الأجر الإلكتروني، وتحكم المادة L. 3243-2 كيفياته.

قانون المعلوماتية والحريات المعدَّل (قانون 6 يناير 1978): وهو النقل الفرنسي للائحة، ويخوّل سلطةَ حماية البيانات صلاحيات التحقيق والجزاء. وقد تبلغ الغرامات 20 مليون يورو أو 4 % من رقم الأعمال السنوي العالمي في أخطر الانتهاكات.

المعايير التقنية المرجعية

• ETSI EN 319 132: صيغة التوقيع الإلكتروني المتقدّم XAdES، المطبَّقة على مستندات XML

• ETSI EN 319 122: صيغة CAdES للتوقيعات الإلكترونية لمستندات CMS

• ETSI EN 319 162: الأرشفة طويلة الأمد للتوقيعات الإلكترونية

• NF Z 42-013: المواصفات الوظيفية لنظام أرشفة إلكترونية ذي قيمة ثبوتية

• ISO/IEC 27001: إدارة أمن المعلومات، وهو المرجع المنتظَر اعتماده لدى المزوّدين

المخاطر القانونية عند عدم المطابقة

تراكم المخاطر معتبَر: فعقد عمل موقَّع بمستوى توقيع غير كافٍ قد يُطعَن فيه أمام مجلس نزاعات العمل، ما يعرّض صاحب العمل لإعادة التكييف أو البطلان. وعلى صعيد حماية البيانات، فإن غياب اتفاق معالجة مع المزوّد، أو إغفال إعلام الأجراء، أو استضافة خارج الاتحاد من دون ضمانات ملائمة، قد يؤدي إلى إعذار من سلطة حماية البيانات، بل إلى جزاء إداري علني.

سيناريوهات الاستعمال: توقيع إلكتروني في الموارد البشرية مطابق لحماية البيانات

السيناريو 1: مؤسسة صناعية متوسطة الحجم تضم 600 أجير ترقمن عقود عملها

مؤسسة صناعية متوسطة الحجم، موزّعة على أربعة مواقع في فرنسا، كانت تعالج سنويًا نحو 180 تعيينًا بعقود غير محدّدة أو محدّدة المدة، ما يولّد العدد نفسه من الملفات الورقية الواجب طبعها وتوقيعها بنسختين ومسحها وأرشفتها. وكانت الآجال بين الوعد بالتعيين والتوقيع الفعلي للعقد تبلغ وسطيًا ثمانية أيام عمل.

وبعد نشر حل توقيع إلكتروني متقدّم مدمج بنظام معلومات الموارد البشرية، مع اتفاق معالجة مطابق موقَّع مع المزوّد ودراسة أثر موثَّقة، قلّصت المؤسسة هذا الأجل إلى أقل من 24 ساعة. وانخفضت نسبة الملفات الناقصة بمقدار 34 %. واعتُمدت استضافة البيانات في فرنسا معيارًا تعاقديًا، ما ألغى كل خطر نقل خارج الفضاء الاقتصادي الأوروبي. ويُعلَم الأجراء بالمعالجة عبر إطار إعلامي مدمج في مسار التوقيع، بما يضمن المطابقة للمادة 13.

السيناريو 2: شبكة امتياز في التجزئة تنشر التوقيع المؤهَّل لاتفاقيات الأيام المقطوعة

شبكة توزيع متخصّصة تضم نحو ستين نقطة بيع ومئة إطار خاضعين لنظام الأيام المقطوعة، واجهت خطرًا عماليًا حدّده مستشاروها القانونيون: إذ لم يكن بالإمكان إثبات عدة اتفاقيات أيام مقطوعة إلا بنسخ ورقية رديئة الجودة. وبما أن محكمة النقض شدّدت متطلباتها في إثبات هذا النوع من الاتفاقيات، قُدّر خطر النزاع بمئات آلاف اليوروهات.

فنشرت الشبكة حل توقيع مؤهَّل لكل الاتفاقيات الجديدة، واقترحت على الأطر العاملين إعادة توقيع اتفاقياتهم القائمة. واعتُمد التحقق من الهوية عبر الفيديو. وحُدِّث سجل أنشطة المعالجة، وصادق مسؤول خارجي لحماية البيانات على مطابقة المسار. وفي ستة أشهر، أُمِّن مجموع اتفاقيات الأيام المقطوعة. واعتُبرت كلفة العملية (نحو 15 إلى 25 يورو لكل توقيع مؤهَّل بحسب مزوّدي السوق) أدنى بكثير من الخطر النزاعي المغطّى.

السيناريو 3: جماعة محلية ترقمن ملاحقها ومواثيق العمل عن بُعد

جماعة محلية تضم نحو 1 200 عون دائم رغبت في رقمنة إدارة ملاحق العمل عن بُعد بعد الاتفاق الإطاري الوطني لعام 2021 بشأن العمل عن بُعد في الوظيفة العمومية. وكان الحجم الواجب معالجته نحو 400 مستند سنويًا، مع قيود خاصة: فالأعوان أشخاص عموميون تخضع بياناتهم لمعالجة مؤطَّرة على نحو خاص.

واختارت الجماعة توقيعات متقدّمة، مع استضافة سيادية لدى مزوّد مؤهَّل. وعُرضت دراسة الأثر على مسؤول حماية البيانات لدى الجماعة قبل النشر. وأُعلِم الأعوان عبر مذكرة خدمة نُشرت على الشبكة الداخلية وإطار إعلامي في المسار الرقمي. وقدّرت مصلحة الموارد البشرية مكسبًا بثلاثة أيام-عمل شهريًا في الإدارة الإدارية للملاحق، أي وفرًا سنويًا يعادل نحو 35 000 يورو من الكلفة المباشرة.

أسئلة متكرّرة

ما الفرق بين المسؤول عن المعالجة والمناوِل في إطار توقيع إلكتروني للموارد البشرية؟

المسؤول عن المعالجة هو صاحب العمل: فهو من يحدّد غايات معالجة بيانات الأجراء الشخصية ووسائلها. أما المزوّد الذي يوفّر منصّة التوقيع الإلكتروني فيوصَف مناوِلًا بمفهوم المادة 28. وعند إخلال تعاينه سلطة حماية البيانات، فإن صاحب العمل هو من تُثار مسؤوليته أولًا، بصرف النظر عن أخطاء المزوّد المحتملة.

لماذا يُنصح بتجنّب رضا الأجير أساسًا قانونيًا للتوقيع الإلكتروني على مستندات الموارد البشرية؟

ترى سلطة حماية البيانات والمجلس الأوروبي لحماية البيانات أن رابطة التبعية الملازمة لعقد العمل تحرم الأجير من الحرية الفعلية في الرفض. والرضا المعطى تحت ضغط ضمني ليس حرًّا بمفهوم اللائحة ويمكن إبطاله. أما أساسا تنفيذ العقد أو الالتزام القانوني فأمتن قانونًا لتغطية أغلب مستندات الموارد البشرية المرقمنة.

كم يجب على صاحب العمل حفظ البيانات المرتبطة بتوقيع إلكتروني في الموارد البشرية؟

يجب أن تقابل مدة الحفظ الالتزام القانوني المطبَّق على المستند الموقَّع. فبالنسبة إلى عقد العمل، يفرض قانون العمل حفظًا لا يقل عن خمس سنوات بعد انتهاء العلاقة التعاقدية. ويجب حفظ بيانات التحقق من الهوية وأدلة التوقيع مدة لا تقل عن مدة حفظ المستند نفسه، ضمانًا لقوته الثبوتية عند النزاع.

هل اتفاق معالجة البيانات إلزامي حتى إن كان مقدّم التوقيع الإلكتروني معتمَدًا وفق eIDAS؟

نعم؛ فالاعتماد وفق eIDAS يشهد بالمطابقة التقنية للمزوّد لكنه لا يحلّ محل الالتزامات التعاقدية الناشئة عن اللائحة. فالمادة 28 تفرض عقدًا مشكلَنًا لمعالجة البيانات، أيًّا كان مستوى تأهيل المزوّد. ويجب أن يحدّد هذا المستند خصوصًا موقع البيانات، وتدابير الأمن المطبَّقة، وكيفيات ردّ البيانات أو حذفها عند انتهاء العقد.

هل يمكن فرض التوقيع الإلكتروني على أجير من دون موافقته الصريحة؟

يمكن لصاحب العمل فرض التوقيع الإلكتروني بوصفه كيفية لتنفيذ العقد، ما دام يضمن للأجير مستوى أمن معادلًا للتوقيع بخط اليد ويُعلِمه مسبقًا وفقًا للمادة 13. في المقابل، لا يمكنه إلزام أجير باستعمال تجهيزه الشخصي أو بتقديم بيانات بيومترية من دون أساس قانوني خاص. ورفضٌ مبرَّر بانعدام إعلام كافٍ قد يُضعف المستند الموقَّع قانونًا.

خاتمة

إن مطابقة التوقيع الإلكتروني لمستندات الموارد البشرية لقواعد حماية البيانات ليست خيارًا: فهي تحكم في آن واحد القيمة القانونية لتصرّفاتك وحماية حقوق أجرائك. وفي 2026، تعرّض المؤسسات التي لم تحدّث بعد سجل معالجاتها، ولم توقّع اتفاق معالجة مع مزوّدها، ولم تُلائم مستوى التوقيع مع كل نوع من المستندات، نفسها لخطر مزدوج — عمالي وإداري — قد تكون نتائجه المالية معتبَرة.

والخبر الجيد أن حلًّا حسن الاختيار وحسن الضبط يتيح التوفيق بين سلاسة التشغيل والمطابقة للائحة eIDAS واحترام قواعد حماية البيانات، من دون احتكاك لا لفرق الموارد البشرية ولا للأجراء.

وترافقك Certyneo في هذا المسعى: منصّة مطابقة للائحة eIDAS، واتفاق معالجة متاح، واستضافة أوروبية، ومسارات توقيع مصمَّمة للموارد البشرية. اكتشف حلّنا المخصّص للموارد البشرية أو احسب العائد على الاستثمار في انتقالك إلى الرقمي الكامل في بضع نقرات.