أمن بيانات الموظفين في أنظمة HR ونظام حماية البيانات الشخصية PDPL: دليل الامتثال

نظام حماية البيانات الشخصية يُغطي في سياق الموارد البشرية: البيانات الشخصية الأساسية (الهوية، العنوان، جهة الاتصال)، البيانات الوظيفية (الراتب، المسمى، التقييمات)، البيانات الحساسة (السجلات الطبية، الانتماءات، البيانات البيومترية للحضور)، وبيانات الأداء والتأديب. النظام يُحدّد متطلبات واضحة لجمع هذه البيانات وتخزينها ومعالجتها ومشاركتها وحذفها، وعدم الامتثال يُعرّض الجهة لعقوبات تصل إلى 5 ملايين ريال.

الأول: تشفير البيانات — البيانات الحساسة في الراحة وأثناء النقل مُشفَّرة بمعايير AES-256 أو ما يعادلها. الثاني: إدارة الصلاحيات الدقيقة — كل مستخدم يصل فقط إلى ما تُتيحه وظيفته، لا أكثر. الثالث: سجل وصول مفصّل — من وصل إلى أي بيانات، متى، وماذا فعل. الرابع: التحكم في مشاركة البيانات — إجراءات رسمية لأي مشاركة خارجية. الخامس: دورة حياة البيانات — تحديد مدة الاحتفاظ وإجراءات الحذف الآمن. السادس: إشعار الاختراق — آلية للكشف الفوري والإشعار الإلزامي في حالة الاختراق.

مراجعة منظومات HR في الجهات الحكومية السعودية كشفت عن ثغرات متكررة: صلاحيات واسعة لموظفي HR على بيانات لا يحتاجونها في عملهم اليومي، وغياب سجل وصول للبيانات الحساسة (الرواتب، السجلات الطبية)، وتبادل ملفات بيانات الموظفين عبر البريد الإلكتروني دون تشفير، واحتفاظ الجهة ببيانات موظفين سابقين لمدد تتجاوز المتطلب النظامي، وغياب سياسة رسمية لمدة الاحتفاظ وإجراء الحذف.

الخطوة الأولى: إجراء تقييم فجوات الخصوصية (Privacy Gap Assessment) للمنظومة الحالية. الخطوة الثانية: مراجعة وتحديث سياسات الصلاحيات لتطبيق مبدأ الحد الأدنى من الوصول. الخطوة الثالثة: وضع سياسة مكتوبة لدورة حياة بيانات الموظفين. الخطوة الرابعة: تدريب فريق HR على متطلبات PDPL وإجراءات التعامل مع بيانات الموظفين. الخطوة الخامسة: مراجعة دورية نصف سنوية للامتثال.