يجمع كل مشروع توظيف كمية كبيرة من البيانات: سير ذاتية وأرقام هواتف ونتائج اختبارات وتسجيلات مقابلات وملاحظات تقييم. وهذه كلها بيانات شخصية تخضع في المملكة لأحكام نظام حماية البيانات الشخصية. ولم تعد حماية بيانات المرشحين مسألة تقنية تخص قسم تقنية المعلومات وحده، بل أصبحت التزاما نظاميا يقع على فريق الموارد البشرية والاستقطاب والموردين الذين يعملون معهم. في هذا المقال نشرح ما الذي يلزم جهات التوظيف عند جمع بيانات المرشحين ومعالجتها وحفظها، وكيف تبني ممارسات تحمي المرشحين وتحمي الجهة من المخالفات.
ملاحظة: هذا المقال معلومات عامة للتوعية وليس استشارة قانونية، وينبغي مراجعة النصوص الرسمية للنظام ولائحته التنفيذية واستشارة مختص قانوني عند تطبيقها على حالتك.
ما هو نظام حماية البيانات الشخصية في المملكة؟
نبذة عن النظام
نظام حماية البيانات الشخصية هو أول نظام شامل لحماية البيانات الشخصية في المملكة، وقد عُدّل في عام 2023، وتكمله لائحة تنفيذية ولائحة خاصة بنقل البيانات خارج المملكة، إضافة إلى أدلة وقواعد أصدرتها الهيئة المختصة.
الجهة المختصة
تشرف الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» على تطبيق النظام، ولها صلاحية استقبال الشكاوى وإصدار التحذيرات والغرامات الإدارية.
من ينطبق عليه النظام؟
• أي جهة تعالج بيانات شخصية داخل المملكة، سواء كانت شركة كبيرة أو صغيرة أو جهة حكومية.
• الجهات التي تعالج بيانات أشخاص يقيمون في المملكة حتى لو كانت خارجها، حسب نطاق النظام.
• مزودو خدمات التوظيف والتقييم الذين يعالجون بيانات المرشحين نيابة عن الشركات.
مواعيد السريان والإنفاذ
دخل النظام حيز النفاذ في 14 سبتمبر 2023، ومُنحت الجهات مهلة لتوفيق أوضاعها انتهت في 14 سبتمبر 2024، ومنذ ذلك التاريخ أصبح النظام قابلا للإنفاذ الكامل. أي أن مرحلة «التحضير» قد انتهت، والجهات مطالبة اليوم بالامتثال.
ما هي بيانات المرشحين التي يغطيها النظام؟
بيانات شخصية عامة
• الاسم ورقم الجوال والبريد الإلكتروني والعنوان.
• السيرة الذاتية والمؤهلات والخبرات السابقة.
• الصورة الشخصية ونسخ الوثائق المرفقة بالطلب.
نتائج الاختبارات والتقييمات
• درجات اختبارات القدرات والاختبارات النفسية وتقارير الشخصية.
• ملاحظات المقيّمين ودرجات المقابلات.
• نتائج تمارين المحاكاة ومراكز التقييم.
وهذه النتائج حساسة من الناحية العملية، لأنها تؤثر في فرص المرشح الوظيفية، ويجب التعامل معها بحذر أكبر من البيانات العادية.
تسجيلات المقابلات والاختبارات
• تسجيلات الصوت والفيديو في المقابلات المسجلة.
• لقطات الشاشة والكاميرا في الاختبارات التي تجرى عن بعد.
• صور وثائق الهوية المستخدمة في التحقق.
البيانات الحساسة
يعامل النظام فئات من البيانات معاملة أشد حذرا، مثل البيانات الصحية والوراثية والبيانات الحيوية والمعتقدات الدينية والأصل العرقي والسجل الجنائي. ومن أهم القواعد العملية هنا:
• لا تطلب من المرشح ما لا تحتاجه فعلا للوظيفة، فهذا يخفض مخاطرك قبل أن يكون التزاما نظاميا.
• إن احتجت إلى بيانات حساسة، مثل لياقة طبية لوظيفة معينة، فحدد المبرر وطبق ضوابط أشد.
• احفظها في مكان منفصل ومحمي، وقلص عدد المطلعين عليها.
من المسؤول: جهة التحكم وجهة المعالجة
جهة التحكم
هي الجهة التي تحدد غرض معالجة البيانات وكيفيتها. وفي التوظيف تكون عادة الشركة التي تعلن عن الوظيفة وتقرر المرشحين.
جهة المعالجة
هي الجهة التي تعالج البيانات بالنيابة عن جهة التحكم، مثل منصة استقطاب أو مزود اختبارات إلكترونية.
لماذا يهم هذا التمييز؟
• تبقى جهة التحكم مسؤولة عن الامتثال حتى لو استعانت بمزود خارجي.
• ينبغي أن تكون هناك عقود مكتوبة تحدد ما يجوز للمزود فعله بالبيانات وما لا يجوز.
• تقارن الجهة مزوديها وتتحقق من التزامهم بشكل دوري.
التزامات جهات التوظيف عند جمع بيانات المرشحين
الموافقة والأساس النظامي للمعالجة
الموافقة هي الأساس الرئيسي لمعالجة البيانات في النظام، مع استثناءات يحددها النظام ولائحته.
• اجعل الموافقة واضحة وحرة ومحددة الغرض، لا مدفونة في شروط طويلة.
• احفظ دليلا على موافقة كل مرشح، مثل نموذج إلكتروني موثق بالتاريخ.
• أتح للمرشح سحب موافقته بطريقة بسيطة، واشرح له أثر ذلك على طلبه.
• اطلب موافقة منفصلة لأي استخدام إضافي، مثل الاحتفاظ بالسيرة لفرص مستقبلية.
الشفافية وإشعار الخصوصية
قبل جمع البيانات، أخبر المرشح بما يلي في إشعار خصوصية مختصر وواضح:
• ما البيانات التي يجمعها ولماذا.
• من يطلع عليها داخل الشركة وخارجها.
• مدة الاحتفاظ بها.
• حقوقه وكيفية ممارستها.
• وسيلة التواصل مع الجهة المسؤولة.
تحديد الغرض وتقليل البيانات
• اجمع ما تحتاجه فعلا للتوظيف فقط.
• لا تستخدم البيانات لغرض مختلف عن المعلن للمرشح دون موافقة جديدة أو أساس نظامي.
• تجنب نماذج التقديم التي تطلب حقولا كثيرة غير ضرورية، مثل رقم الهوية قبل أن تصل إلى مرحلة تستدعيه.
دقة البيانات وحداثتها
على جهة التحكم أن تتحقق من أن بيانات المرشح دقيقة وكاملة وذات صلة قبل معالجتها.
• امنح المرشح وسيلة لتحديث بياناته وتصحيحها.
• لا تعتمد على بيانات قديمة في قرارات جديدة دون مراجعتها.
• صحح الأخطاء في ملفات المرشحين فور اكتشافها.
مدة الاحتفاظ والإتلاف
لا يجوز الاحتفاظ ببيانات المرشح مدة أطول مما يحتاجه الغرض الذي جمعت من أجله، وعند انتهاء الغرض ينبغي إتلاف البيانات أو إخفاء هويتها بحسب ما تسمح به الأنظمة.
• حدد مدة معلنة لحفظ ملفات المرشحين غير المقبولين، وليكن لذلك مبرر واضح.
• لا تحتفظ بالسير الذاتية إلى أجل غير مسمى بحجة وجود فرص مستقبلية، إلا بموافقة صريحة من المرشح.
• نفذ إتلافا فعليا وموثقا للبيانات عند انتهاء المدة، بما فيها النسخ الاحتياطية.
• راجع الأنظمة الأخرى التي قد تفرض مددا حدا أدنى لحفظ بعض السجلات.
أمن البيانات
تلزم جهة التحكم باتخاذ إجراءات تقنية وتنظيمية مناسبة لحماية بيانات المرشحين من الوصول غير المصرح به أو الفقد أو التسريب.
• قيد صلاحيات الاطلاع على ملفات المرشحين لمن يحتاج إليها فعلا.
• استخدم كلمات مرور قوية ومصادقة متعددة العوامل لأنظمة الاستقطاب.
• شفر البيانات أثناء التخزين والنقل.
• لا ترسل ملفات المرشحين عبر قنوات غير آمنة، مثل مجموعات المراسلة العامة.
• درب فريق التوظيف على التعامل الآمن مع البيانات.
سجل أنشطة المعالجة
تفرض اللائحة على جهات التحكم الاحتفاظ بسجل لأنشطة معالجة البيانات، ويشمل غرض المعالجة وفئات البيانات والجهات التي تطلع عليها، ويحفظ السجل مدة تحددها اللائحة ذكرت بعض المصادر القانونية أنها لا تقل عن خمس سنوات من انتهاء النشاط.
• وثق كل نشاط يخص بيانات المرشحين، من الاستقطاب إلى الاحتفاظ بالبيانات.
• حدث السجل عند إضافة أداة جديدة أو مزود جديد.
تقييم الأثر ومسؤول حماية البيانات
• تلزم اللائحة بإجراء تقييم موثق لأثر المعالجة في حالات معينة، منها معالجة البيانات الحساسة واستخدام تقنيات جديدة.
• تلزم بتعيين مسؤول لحماية البيانات في حالات محددة تذكرها اللائحة وقواعد الهيئة المختصة.
• حتى حين لا يكون التعيين إلزاميا، فمن الأفضل تحديد شخص مسؤول عن ملف حماية البيانات داخل الشركة.
الإبلاغ عن تسرب البيانات
إذا علمت الجهة بتسرب بيانات قد يضر بالبيانات أو بأصحابها أو يمس حقوقهم، فعليها إبلاغ الجهة المختصة خلال اثنتين وسبعين ساعة من علمها بالتسرب، وإبلاغ أصحاب البيانات المتضررين دون تأخير.
• ضع خطة مكتوبة للاستجابة لحوادث التسرب قبل وقوعها.
• حدد من يقرر ومن يبلغ ومن يتواصل مع المرشحين.
• وثق كل حادثة ونتائج التحقيق فيها.
نقل البيانات خارج المملكة
يقيد النظام ولائحة النقل إرسال بيانات المرشحين إلى خارج المملكة، ولا يجوز ذلك إلا وفق ضوابط محددة.
• تحقق من مكان تخزين بيانات المرشحين عند استخدام منصات استقطاب أو اختبارات سحابية.
• اسأل المزود عن خوادمه وعن ضمانات النقل التي يلتزم بها.
• لا ترسل ملفات المرشحين إلى جهات في دول أخرى دون التأكد من استيفاء الضوابط النظامية.
العقود مع مزودي الخدمة
• اشترط في العقد حدود استخدام البيانات وأمنها وإتلافها عند انتهاء التعاقد.
• اطلب من المزود الإبلاغ الفوري عن أي حادثة تخص بياناتك.
• نظم حق الجهة في مراجعة التزام المزود بشكل دوري.
حقوق المرشح في النظام
الحق في العلم
من حق المرشح أن يعرف لماذا تجمع بياناته وكيف ستستخدم ومع من ستشارك.
الحق في الاطلاع والحصول على نسخة
له أن يطلب الاطلاع على بياناته التي تحتفظ بها الجهة والحصول على نسخة منها، مع استثناءات يحددها النظام.
الحق في التصحيح والإتلاف
له أن يطلب تصحيح بياناته غير الدقيقة أو إتلافها متى انتفت الحاجة إليها أو سحب موافقته.
الحق في سحب الموافقة والاعتراض
له أن يسحب موافقته على المعالجة في أي وقت، وتتوقف الجهة عن المعالجة المعتمدة عليها ما لم يكن هناك أساس نظامي آخر.
كيف تتعامل الجهة مع الطلبات؟
• خصص قناة واضحة لطلبات المرشحين، مثل بريد إلكتروني مخصص.
• حدد من يستلم الطلبات ومن يرد عليها.
• التزم بالمدة التي تحددها اللائحة للرد على الطلبات، وتذكر بعض المصادر أنها ثلاثون يوما، فراجع النص الرسمي للتأكد.
• وثق كل طلب والرد عليه.
حماية البيانات في أدوات التوظيف الحديثة
الاختبارات الإلكترونية
• أبلغ المرشح بنوع البيانات التي يجمعها الاختبار ومن سيطلع على نتائجه.
• لا تستخدم النتائج لغير غرض التوظيف دون موافقة.
• احفظ النتائج في نظام آمن وبصلاحيات محدودة.
المراقبة بالكاميرا في الاختبارات عن بعد
• لا تسجل إلا ما تحتاجه فعلا للتحقق من نزاهة الاختبار.
• اشرح للمرشح مسبقا ما سيسجل ولماذا ومتى سيحذف.
• اجعل مراجعة المخالفات بشرية، ولا تتخذ قرارا ضد المرشح بناء على تنبيه آلي وحده.
الذكاء الاصطناعي والقرارات الآلية
• أخبر المرشح إذا كانت أداة آلية تشارك في فرز طلبه أو تقييمه.
• أبق لمختص بشري مراجعة النتائج واتخاذ القرار.
• اختبر الأداة دوريا للتأكد من أنها لا تميز ضد فئات معينة.
المقابلات المسجلة
• احصل على موافقة صريحة قبل تسجيل المقابلة.
• حدد مدة حفظ التسجيل وأتلفه بعدها.
• قيد الاطلاع على التسجيلات بالمقيّمين المعنيين فقط.
خطوات عملية للامتثال في فريق التوظيف
الخطوة الأولى: ارسم خريطة بيانات المرشحين
اعرف أين تجمع بيانات المرشحين ومن يطلع عليها وأين تحفظ ومتى تتلف.
الخطوة الثانية: حدّث إشعار الخصوصية ونماذج الموافقة
اجعلها واضحة ومختصرة وبالعربية، وتأكد من تطابقها مع الواقع الفعلي.
الخطوة الثالثة: ضع سياسة للاحتفاظ والإتلاف
حدد مدد الاحتفاظ لكل نوع بيانات، وكلف جهة بتنفيذها ومراجعتها.
الخطوة الرابعة: راجع مزودي الخدمة
تأكد من العقود ومكان التخزين والضمانات الأمنية.
الخطوة الخامسة: درّب الفريق
درب أعضاء فريق التوظيف على التعامل مع البيانات وطلبات المرشحين والإبلاغ عن الحوادث.
الخطوة السادسة: جهز خطة الاستجابة للتسرب
اكتب إجراءات واضحة بما فيها مهلة الاثنتين وسبعين ساعة، وجربها مرة على الأقل.
الخطوة السابعة: راجع الامتثال دوريا
أجر مراجعة سنوية لإجراءات حماية بيانات المرشحين، وحدثها عند تغير الأدوات أو الأنظمة.
أخطاء شائعة في التعامل مع بيانات المرشحين
• الاحتفاظ بالسير الذاتية دون حد زمني: يخالف مبدأ الاحتفاظ بالقدر اللازم فقط.
• إرسال الملفات عبر قنوات غير آمنة: مثل تطبيقات المراسلة الشخصية أو البريد المشترك دون ضوابط.
• طلب بيانات حساسة دون حاجة: مثل ديانة أو حالة صحية دون ارتباط بالوظيفة.
• استخدام البيانات في غرض آخر: مثل إدراج المرشح في قوائم تسويقية.
• غياب عقد واضح مع مزود الاستقطاب أو الاختبارات: يترك الجهة مسؤولة دون ضمانات.
• تجاهل طلبات المرشحين: قد يؤدي إلى شكاوى أمام الجهة المختصة.
• غياب خطة للتسرب: تؤخر الإبلاغ وتضاعف الضرر.
ما العقوبات على المخالفة؟
يتضمن النظام عقوبات متدرجة بحسب جسامة المخالفة، وبحسب ما تذكره المصادر القانونية المتخصصة فهي تشمل:
• غرامة تصل إلى خمسة ملايين ريال في المخالفات العامة للنظام، وقد تضاعف عند تكرار المخالفة.
• عقوبات أشد، قد تشمل السجن والغرامة، لمن يفصح عن بيانات حساسة أو ينشرها بقصد الإضرار بصاحبها أو لتحقيق منفعة شخصية.
• إمكانية نشر الحكم على نفقة المخالف ومصادرة الأموال المتحصلة من المخالفة.
وتتفاوت تفاصيل هذه العقوبات بحسب نص النظام ولوائحه، لذا ينبغي الرجوع إلى النص الرسمي أو إلى مستشار قانوني للتأكد من الحالة المحددة.
كيف تساعدك منصة البيان للتقييم؟
عند استخدام منصة البيان للتقييم في اختبارات المرشحين وتقاريرهم، يمكنك مناقشة فريق التقييم حول كيفية التعامل مع بيانات المرشحين، من مكان تخزينها إلى صلاحيات الاطلاع عليها ومدة الاحتفاظ بها، وربط ذلك بسياسة الخصوصية في جهتك. وإذا كنت تبني مسار تقييم جديدا للمرشحين، فيمكن للفريق مساعدتك في مراعاة هذه المتطلبات من البداية.
الأسئلة الشائعة
هل تحتاج الشركات الصغيرة إلى الامتثال لنظام حماية البيانات الشخصية؟
نعم، فالنظام يسري على أي جهة تعالج بيانات شخصية، ولا يستثني الشركات الصغيرة بسبب حجمها، وإن كانت بعض الالتزامات تختلف بحسب طبيعة المعالجة وحجمها.
هل أحتاج موافقة المرشح لحفظ سيرته الذاتية؟
الموافقة هي الأساس الرئيسي للمعالجة في النظام، مع استثناءات يحددها النظام ولائحته. ولذلك الأفضل إخبار المرشح بغرض جمع بياناته ومدة الاحتفاظ بها، والحصول على موافقته خاصة إذا أردت حفظ سيرته لفرص مستقبلية.
كم مدة الاحتفاظ بملفات المرشحين غير المقبولين؟
لا يحدد النظام رقما واحدا ينطبق على كل الحالات، فالمبدأ أن تحتفظ بالبيانات مدة لازمة لتحقيق الغرض فقط. وحدد في سياسة الجهة مدة معقولة ومبررة، وراجع أي متطلبات نظامية أخرى.
ماذا أفعل إذا تسربت بيانات المرشحين؟
احتو الحادثة فورا وقيّم حجم الضرر، وأبلغ الجهة المختصة خلال اثنتين وسبعين ساعة إذا كان التسرب قد يضر بالبيانات أو بأصحابها، وأخبر المرشحين المتضررين دون تأخير، ووثق الإجراءات المتخذة.
هل يحق للمرشح طلب حذف بياناته؟
نعم، من حق المرشح طلب إتلاف بياناته عند انتفاء الحاجة إليها أو سحب موافقته، ما لم يوجد أساس نظامي يلزم الجهة بالاحتفاظ بها.
خلاصة
حماية بيانات المرشحين التزام نظامي وأخلاقي في آن واحد، وتبدأ بجمع القدر اللازم من البيانات بموافقة واضحة، ثم حفظها بأمان، والاحتفاظ بها المدة اللازمة فقط، واحترام حقوق المرشح، والاستعداد للإبلاغ عن أي تسرب. وكلما كانت العملية موثقة ومعلنة، زادت ثقة المرشحين بجهتك وقلت مخاطر المخالفة. وإذا كنت تريد بناء مسار تقييم للمرشحين يراعي هذه المتطلبات، فتواصل مع فريق البيان للتقييم واحجز استشارة تساعدك على البدء، وراجع مستشارك القانوني للتأكد من الامتثال الكامل.
