نظام حماية البيانات الشخصية (PDPL) دخل حيّز التنفيذ في سبتمبر ٢٠٢٤. كثير من إدارات الموارد البشرية تتعامل معه باعتباره "شأن IT" — وهذا خطأ. PDPL يُعيد تعريف كيف تجمع، تخزّن، تنقل، وتحذف بيانات موظفيك.
ما الذي يَغطّيه PDPL في سياق HR؟
كل بيانات الموظف تُعتبر "بيانات شخصية" بنصّ النظام:
- الاسم، الهوية، الإقامة، الجواز.
- الحالة الاجتماعية، الراتب، البدلات.
- الفحوصات الطبية، التأمين الصحي، السجل الصحّي.
- تقييمات الأداء، الإنذارات، التحقيقات.
- صور الموظف، توقيعه، بصمته.
الأسس الستة لمعالجة البيانات
- الموافقة الصريحة من الموظف.
- تنفيذ عقد العمل — لا يحتاج موافقة منفصلة لأنه ضروري للعقد.
- الالتزام النظامي — مثل رفع الراتب على Mudad.
- المصلحة الحيوية — حالات الطوارئ.
- المصلحة العامة — لجهات حكومية.
- المصلحة المشروعة — مع موازنة حقوق الموظف.
التغييرات العملية في إدارة HR
١. سياسة خصوصية مكتوبة
يجب أن يحصل كل موظف جديد على وثيقة إشعار الخصوصية توضّح: ما البيانات التي تُجمَع، لمَ، لمن تُنقَل، كم تُحفَظ، حقوق الموظف.
٢. سجل أنشطة المعالجة
سجلّ داخلي يوثّق كل عملية على بيانات الموظفين: من قام بالعملية، متى، ولماذا. هذا ليس اختياريًا — هو مطلوب من المراقب.
٣. حقوق الموظف
- الحق في الاطلاع على بياناته.
- الحق في تصحيح البيانات الخاطئة.
- الحق في طلب الحذف عند انتهاء العلاقة (مع استثناءات الالتزامات النظامية).
- الحق في نقل البيانات لجهة عمل جديدة.
٤. نقل البيانات لخارج المملكة
تحذير مهم
إذا كانت إدارة HR تستخدم نظامًا خارج المملكة (مستضاف على AWS Frankfurt مثلًا)، فهذا نقل بيانات خارج السعودية. PDPL يُلزم بضمانات إضافية، ويمكن أن يُمنع في بعض الحالات.
سند يستضيف بياناتك داخل المملكة (Oracle Cloud Saudi)، فلا يقع تحت قيود نقل البيانات.
٥. الإفصاح عن الانتهاكات
إذا حدث تسريب أو وصول غير مصرَّح لبيانات الموظفين، يجب إخطار الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) خلال ٧٢ ساعة، وإخطار الموظفين المتأثرين.
عقوبات عدم الالتزام
- غرامات تصل إلى ٥ ملايين ريال للمخالفات الجسيمة.
- إلزام بالتعويض للموظف المتضرر.
- عقوبات مهنية ومنع من ممارسات معيّنة.
دور سند في الالتزام
نظامنا يُساعدك على الالتزام عبر:
- صلاحيات دقيقة على مستوى الحقل (من يرى الراتب، من يرى الفحوصات).
- سجل تدقيق يُسجّل كل من اطّلع على بيانات أي موظف.
- إشعار خصوصية افتراضي يُمكنك تعديله ويُعرَض للموظف عند التسجيل.
- تشفير كامل لبيانات الراتب والمستندات الحسّاسة.
- أداة "حذف الموظف" التي تحذف فعليًا (مع الحفاظ على السجلات النظامية المطلوبة).