بيانات العاملين وقانون حماية البيانات: الأسئلة التي على الموارد البشرية الإجابة عنها

قانون حماية البيانات الشخصية، الصادر بـ المرسوم السلطاني رقم 6/2022، نافذ بالكامل منذ 5 فبراير 2026، حين انتهت الفترة الانتقالية التي تلت اللائحة التنفيذية. فالذي انتهى هو فترة السماح، أما الالتزامات نفسها فمعلنة منذ سنوات.

ويحوز نظام الموارد البشرية والرواتب وثائق الهوية والبيانات البنكية والرواتب والمعالين والغياب المرضي وسجلات الجزاءات وملاحظات الأداء. وإن كان أي نظام في الشركة سيُطلب منه إثبات الامتثال فهو هذا النظام، والأسئلة التالية هي ما يجب أن يجيب عنه دون الحاجة إلى مشروع.

«على أي أساس تعالج هذه البيانات؟»

يشترط القانون موافقة صريحة قبل معالجة البيانات الشخصية، إلا في حالات مستثناة، منها تنفيذ عقد يكون صاحب البيانات طرفًا فيه، والوفاء بالتزام قانوني. والعمل هو هذه الحالة بالضبط، ولذلك تكون الموافقة الأداة الخاطئة للاستناد إليها في معظم بيانات الرواتب.

وهذا مهم عمليًا لا نظريًا، فالموافقة قابلة للسحب. فإن أخبرت عاملًا بأنك تعالج بياناته البنكية بناءً على موافقته، فقد أوحيت له بحق في سحبها لا تستطيع الوفاء به، لأنك ملزم بدفع الأجر عبر مؤسسة خاضعة للرقابة وتسجيل ذلك. والموقف القابل للدفاع هو تحديد أي معالجة تعاقدية، وأيها التزام قانوني، وأيها تستند فعلًا إلى الموافقة، ثم معاملة الفئة الأخيرة وحدها كقابلة للسحب.

والمعالجة القائمة فعلًا على الموافقة تكون عادة في الإضافات الاختيارية: صورة في دليل داخلي، أو برنامج رعاية صحية، أو خصائص بيومترية للتسهيل. وهذه تحتاج خيارًا حقيقيًا، والخيار الحقيقي يعني ألا يتضرّر من يرفض.

«من يستطيع رؤية هذا السجل، ومن رآه فعلًا؟»

ضبط الوصول في أنظمة الموارد البشرية خشن غالبًا: دور اسمه «الموارد البشرية» يرى كل شيء عن الجميع. وهذا مريح إداريًا وصعب الدفاع عنه، لأن معظم هؤلاء لا حاجة لهم بقراءة معظم تلك البيانات.

والسؤال الأصعب هو الثاني. فضبط الوصول يحدّد من يستطيع النظر، والسجل يحدّد من نظر. وبغياب الثاني، لا يمكن التحقيق في ادّعاء بأن مديرًا قرأ راتب زميل أو غيابه المرضي، بل يمكن نفيه فقط. والنظام الذي يسجّل عمليات القراءة كما يسجّل الكتابة يحوّل ذلك من خلاف إلى استعلام.

«كم تحفظها، ولماذا هذه المدة؟»

الحفظ هو أكثر ما تتعارض فيه ممارسات الموارد البشرية مع حماية البيانات، لأن لكلٍّ حجة مشروعة. فالالتزامات العمالية والضريبية تقتضي حفظ السجلات لمدد محدّدة، وقانون حماية البيانات يتوقع ألا تُحفظ البيانات بلا نهاية دون سبب. والاثنان قابلان للاستيفاء، لكن بكتابة السبب لكل فئة، لا بحفظ كل شيء إلى الأبد لأن الحذف يبدو محفوفًا بالمخاطر.

والفئة التي لا دفاع لها عادة هي التوظيف. فالسير الذاتية وملاحظات المقابلات لمرشحين لم يُعيَّنوا تبقى في صناديق البريد والأقراص المشتركة سنوات بلا أي قرار حفظ مرتبط بها. وهذا أرخص ما يمكن إصلاحه في هذه القائمة وأكثرها إهمالًا.

«أين تُعالج، ومن مسؤول حماية البيانات لديك؟»

يضبط القانون النقل خارج الحدود، وهذا يجعل موقع معالجة رواتبك خصيصة امتثال لا تفصيلًا تقنيًا. فإن كانت منصة الموارد البشرية تعالج أو تخزّن البيانات خارج عمان، فذلك سؤال يجب أن تملك جوابه قبل أن يُسأل، لا سببًا للقلق.

وتعيين مسؤول لحماية البيانات إلزامي على جميع الجهات بموجب القانون، وهو أشدّ من المعيار القائم على المخاطر في اللائحة الأوروبية، ما يوقع المؤسسات التي افترض مستشاروها انطباق الموقف الأوروبي. وإن لم يكن أحد في مؤسستك يحمل هذا الدور بالاسم، فتلك ثغرة لا تحتاج تحقيقًا لتأكيدها.