ما الذي يعدّه النظام بيانات شخصية؟
البيانات الشخصية في المادة الأولى من النظام هي كل بيان، مهما كان مصدره أو شكله، يؤدي إلى معرفة الفرد على وجه التحديد أو يجعل التعرف عليه ممكنًا بصفة مباشرة أو غير مباشرة، ومن أمثلتها في النص: الاسم ورقم الهوية والعناوين وأرقام التواصل وأرقام الحسابات البنكية وصور الفرد. ومعنى ذلك أن معظم محتوى ملف الموظف بيانات شخصية.
وتعرّف المادة نفسها فئة أضيق هي البيانات الحساسة، ولها أحكام أشد:
«كل بيان شخصي يتعلق بأصل الفرد العرقي أو أصله الإثني، أو معتقده الديني أو الفكري أو السياسي. وكذلك البيانات الأمنية والجنائية، أو بيانات السمات الحيوية التي تحدد الهوية، أو البيانات الوراثية، أو البيانات الصحية، والبيانات التي تدل على أن الفرد مجهول الأبوين أو أحدهما»
نظام حماية البيانات الشخصية، المادة الأولى، تعريف «البيانات الحساسة» بصيغته المعدلة بالمرسوم الملكي (م/148)، كما تنشره هيئة الخبراء بمجلس الوزراء.
وفي ملف الموظف تقع التقارير الطبية للإجازات المرضية وتقارير إصابات العمل ضمن البيانات الصحية، وتقع شهادة خلو السوابق، إن طُلبت، ضمن البيانات الأمنية والجنائية. هذا تطبيق عام للتعريف، لا تصنيف رسمي لكل مستند.
على من ينطبق؟
يسري النظام على أي معالجة لبيانات شخصية تتعلق بالأفراد تتم في المملكة بأي وسيلة، بما في ذلك معالجة أي جهة خارج المملكة لبيانات شخصية تتعلق بالأفراد المقيمين فيها، ولا يستثني إلا معالجة الفرد للبيانات لأغراض لا تتجاوز الاستخدام الشخصي أو العائلي ما لم ينشرها أو يفصح عنها للغير (المادة 2). ولا يربط النص تطبيقه بحجم المنشأة. والمنشأة التي تحدد الغرض من معالجة بيانات موظفيها وكيفيتها هي «جهة التحكم»، أما مزوّد نظام الموارد البشرية أو الرواتب الذي يعالج البيانات لحسابها فهو «جهة المعالجة» (المادة الأولى).
متى تلزم موافقة الموظف؟
الأصل في المادة 5 ألا تُعالج البيانات الشخصية ولا يُغيَّر الغرض من معالجتها إلا بموافقة صاحبها، ويجوز له الرجوع عن موافقته في أي وقت. لكن المادة 6 لا تشترط الموافقة في أحوال، منها:
- أن تكون المعالجة بمقتضى نظام آخر، أو تنفيذًا لاتفاق سابق يكون صاحب البيانات طرفًا فيه.
- أن تكون المعالجة ضرورية لتحقيق مصالح مشروعة لجهة التحكم، ما لم يخل ذلك بحقوق صاحب البيانات أو يتعارض مع مصالحه، ولم تكن البيانات حساسة.
وتقيّد المادة 10 معالجة البيانات بالغرض الذي جُمعت من أجله إلا في أحوال محددة، وتمنع المادة 7 جعل الموافقة شرطًا لخدمة لا علاقة لها بالمعالجة. وتشترط اللائحة التنفيذية موافقة مستقلة لكل غرض من أغراض المعالجة.
قراءة عامة: معالجة بيانات العقد والرواتب والتأمينات الاجتماعية تستند عادة إلى عقد العمل والأنظمة التي توجبها. أما استخدام بيانات الموظف لغرض خارج ذلك، كنشر صورته في حسابات المنشأة التسويقية، فغرض آخر يُنظر فيه إلى قيود المادتين 5 و10.
ماذا يلزم المنشأة عند الجمع والحفظ؟
- سياسة خصوصية: تعتمدها المنشأة وتتيحها لأصحاب البيانات عند جمع بياناتهم، وتبيّن فيها الغرض ومحتوى البيانات وطريقة جمعها وحفظها ومعالجتها وإتلافها والحقوق وكيفية ممارستها (المادة 12).
- إشعار عند الجمع: المسوغ النظامي، والغرض، وما إذا كانت البيانات إلزامية أو اختيارية، وهوية الجامع، والجهات التي يُفصح لها عن البيانات، وما إذا كانت ستُنقل أو تُعالج خارج المملكة، وآثار عدم إتمام الجمع، والحقوق (المادة 13).
- الحد الأدنى: يكون محتوى البيانات ملائمًا ومقصورًا على الحد الأدنى اللازم للغرض، وما لم يعد ضروريًا يُتوقف عن جمعه ويُتلف دون تأخير (المادة 11).
- صور الهوية: لا يجوز تصوير الوثائق الرسمية التي تحدد هوية صاحب البيانات أو نسخها إلا تنفيذًا لأحكام نظام، أو عندما تطلب ذلك جهة عامة مختصة وفق ما تحدده اللوائح (المادة 28).
- جهات المعالجة: تختار المنشأة مزوّدًا يوفر الضمانات اللازمة لتنفيذ أحكام النظام، وتتحقق من التزامه، ولا يعفيها ذلك من مسؤوليتها (المادة 8).
- الحماية: إجراءات ووسائل تنظيمية وإدارية وتقنية تحافظ على البيانات، بما في ذلك عند نقلها (المادة 19).
- سجلات المعالجة: تحتفظ المنشأة بسجلات لأنشطة المعالجة تتضمن حدًا أدنى، منه الغرض وفئات أصحاب البيانات والجهات التي يُفصح لها والنقل خارج المملكة ومدة الاحتفاظ المتوقعة (المادة 31).
- النقل خارج المملكة: إذا كان نظام الموارد البشرية مستضافًا خارج المملكة، فللنقل أغراض وشروط تحددها المادة 29 ولوائحها.
كم تُحفظ البيانات؟
توجب المادة 18 إتلاف البيانات الشخصية بعد انتهاء الغرض من جمعها دون تأخير، ويجوز الاحتفاظ بها بعد ذلك إذا أزيل كل ما يؤدي إلى معرفة صاحبها. ويجب الاحتفاظ بها رغم انتهاء الغرض في حالتين: إذا وُجد مسوغ نظامي يوجب الاحتفاظ بها مدة محددة، فتُتلف بعد انتهاء تلك المدة أو انتهاء الغرض أيهما أطول، أو إذا كانت متصلة اتصالًا وثيقًا بقضية منظورة أمام جهة قضائية. ولا يحدد نظام حماية البيانات مدة بعينها لملفات الموظفين، فالمدة تتبع الأنظمة الأخرى التي توجب الحفظ.
حقوق الموظف على بياناته
تمنح المادة 4 صاحب البيانات، وفق ما تحدده اللوائح: الحق في العلم بالمسوغ النظامي لجمع بياناته والغرض منه، والحق في الوصول إليها، والحق في طلب الحصول عليها بصيغة مقروءة وواضحة، والحق في طلب تصحيحها أو إتمامها أو تحديثها، والحق في طلب إتلاف ما انتهت الحاجة إليه منها. وعلى جهة التحكم الاستجابة لهذه الطلبات خلال مدة وعبر وسيلة تبينهما اللوائح (المادة 21).
إذا تسربت البيانات
تشعر جهة التحكم الجهة المختصة عند علمها بحدوث تسرب لبيانات شخصية أو تلفها أو وصول غير مشروع إليها، وتشعر صاحب البيانات إذا كان من شأن ذلك أن يرتب ضررًا على بياناته أو يتعارض مع حقوقه أو مصالحه (المادة 20). وتحدد اللائحة التنفيذية (المادة 24) مهلة إشعار الجهة المختصة بـ72 ساعة من العلم بالحادثة، متى كان من شأنها الإضرار بالبيانات أو بأصحابها أو التعارض مع حقوقهم أو مصالحهم. والجهة المختصة بحسب قرار مجلس الوزراء الصادر مع النظام هي الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) لمدة سنتين، يُنظر خلالها في نقل الاختصاص إلى مكتب إدارة البيانات الوطنية، فتحقّق من الجهة المختصة وقت الإشعار.
العقوبات
- المادة 36: الإنذار أو غرامة لا تزيد على 5 ملايين ريال لكل شخصية طبيعية أو اعتبارية خاصة خالفت أحكام النظام أو اللوائح، وتجوز مضاعفتها عند التكرار بما لا يتجاوز ضعف الحد الأعلى.
- المادة 35: السجن مدة لا تزيد على سنتين وغرامة لا تزيد على 3 ملايين ريال، أو إحداهما، لمن أفصح عن بيانات حساسة أو نشرها مخالفًا أحكام النظام بقصد الإضرار بصاحبها أو تحقيق منفعة شخصية.
- المادة 38: يجوز الحكم بمصادرة الأموال المتحصلة من المخالفة، ونشر ملخص الحكم أو القرار على نفقة المخالف.
وتشترط قواعد السجل الوطني لجهات التحكم التسجيل على جهة التحكم التي تعالج بيانات حساسة. ولأن ملفات الموظفين كثيرًا ما تضم بيانات صحية، تحقّق من انطباق ذلك على منشأتك في المصادر الرسمية أدناه.