نظام حماية البيانات الشخصية لإدارة الموارد البشرية

تعدّد المادة الرابعة خمسة حقوق لصاحب البيانات: العلم بالمسوغ النظامي لجمع بياناته والغرض من جمعها، والوصول إليها، وطلب الحصول عليها بصيغة مقروءة وواضحة، وطلب تصحيحها أو إتمامها أو تحديثها، وطلب إتلاف ما انتهت الحاجة إليه منها. ويكون الوصول والحصول على النسخة وفق الضوابط والإجراءات التي تحددها اللوائح.

ولا يكون حق الوصول مطلقاً. فلمنشأتك تقييده إذا كان ذلك ضرورياً لحماية الموظف أو غيره من أي ضرر، وفق أحكام اللوائح. وعليها ألا تمكّنه من الوصول متى تحقق أحد الأحوال الواردة في الفقرات (1) إلى (6) من المادة 16، ومنها أن يعرّض ذلك سلامة فرد للخطر، أو أن يترتب عليه انتهاك خصوصية فرد آخر غير الموظف وفق ما تحدده اللوائح.

وتشترط اللائحة ألا يضر الوصول أو الحصول على النسخة بحقوق الغير، مثل حقوق الملكية الفكرية أو الأسرار التجارية. وعلى منشأتك أن تتأكد أن ما تتيحه للموظف لا يكشف بيانات شخصية تحدد هوية فرد آخر.

ويبقى حق الإتلاف مقيداً بما توجبه المادة 18 من الاحتفاظ ببعض البيانات، كما يأتي في قسم الاحتفاظ.

تنفّذ منشأتك الطلب في مدة لا تتجاوز 30 يوماً دون تأخير. ولها تمديدها بما لا يزيد على 30 يوماً إضافية إن تطلّب التنفيذ جهداً غير متوقع أو غير معتاد، أو تعددت طلبات الموظف، بشرط أن تُشعره مسبقاً بالتمديد ومبرراته.

وعلى منشأتك أن تتحقق من هوية مقدّم الطلب قبل تنفيذه، وأن توثّق كل الطلبات وتحفظها، بما فيها الطلبات الشفهية.

الأصل في المادة الخامسة أن معالجة البيانات الشخصية تحتاج موافقة صاحبها، إلا في الأحوال التي ينص عليها النظام. ويجوز لصاحب البيانات الرجوع عن موافقته في أي وقت، وفق ضوابط تحددها اللوائح.

ومن هذه الأحوال في المادة السادسة: أن تكون المعالجة بمقتضى نظام آخر أو تنفيذاً لاتفاق سابق يكون صاحب البيانات طرفاً فيه. ومنها أن تكون ضرورية لمصالح مشروعة لجهة التحكم، ما لم يخل ذلك بحقوق صاحب البيانات أو يتعارض مع مصالحه، ولم تكن البيانات حساسة.

وتضع اللائحة شروطاً للاعتماد على المصلحة المشروعة: ألا تكون جهة التحكم جهة عامة، وألا يخالف الغرض أي نظام في المملكة، وأن توازن منشأتك بين حقوق الموظف ومصالحه ومصلحتها، وألا تتضمن المعالجة بيانات حساسة، وأن تكون المعالجة ضمن التوقعات المعقولة للموظف. وعلى منشأتك قبل المعالجة أن تُجري تقويماً موثقاً للمعالجة المقترحة وأثرها.

وإذا رجع الموظف عن موافقته، توقف منشأتك المعالجة القائمة على تلك الموافقة دون تأخير غير مبرر. ولا يمس رجوعه المعالجة القائمة على مسوغ نظامي آخر.

تتلف منشأتك البيانات بعد انتهاء الغرض من جمعها دون تأخير. ويجوز لها الاحتفاظ بها بعد ذلك إذا أزالت كل ما يدل على صاحبها على وجه التحديد، وفق الضوابط التي تحددها اللوائح.

وتحتفظ بها حتى بعد انتهاء الغرض في حالتين: إذا وُجد مسوغ نظامي يوجب الاحتفاظ بها مدة محددة، فتُتلف بعد انتهاء المدة أو الغرض أيهما أطول، أو إذا اتصلت اتصالاً وثيقاً بقضية منظورة أمام جهة قضائية وكان الاحتفاظ بها مطلوباً لذلك، فتُتلف بعد استكمال إجراءاتها.

تُشعر منشأتك الجهة المختصة عند علمها بتسرب بيانات شخصية أو تلفها أو وصول غير مشروع إليها. وتُشعر الموظف إن كان من شأن ذلك أن يضر ببياناته أو يتعارض مع حقوقه أو مصالحه، وفق ما تحدده اللوائح.

وتحدد اللائحة المهلة: لا تتجاوز 72 ساعة من وقت العلم بالحادثة، إن كان من شأنها الإضرار بالبيانات أو بصاحبها أو التعارض مع حقوقه أو مصالحه.

ويتضمن الإشعار وصف الحادثة ووقتها، وفئات أصحاب البيانات المعنيين وأعدادهم الفعلية أو التقريبية ونوع البيانات، والمخاطر والتدابير المتخذة والمستقبلية، وما إذا أُشعر أصحاب البيانات أو سيُشعرون، وبيانات التواصل. وما لم يتوافر منه في المهلة يُقدَّم في أقرب وقت مع مبررات التأخير.

وتحتفظ منشأتك بنسخة من التقارير المقدمة، وتوثّق التدابير التصحيحية. وتُشعر الموظف المتأثر دون تأخير غير مبرر بلغة مبسطة وواضحة، إن كان من شأن الحادثة أن تضر ببياناته أو تتعارض مع حقوقه أو مصالحه.

وتوجب اللائحة أن يتضمن اتفاق منشأتك مع جهة المعالجة التزامها بإشعار منشأتك بتسرب البيانات دون تأخر غير مبرر. ولا تحدد اللائحة لهذا الإشعار مدة بالساعات.

تحتفظ منشأتك بسجلات لأنشطة معالجة البيانات الشخصية، لتكون متاحة عندما تطلبها الجهة المختصة. وتشمل على الأقل: تفاصيل الاتصال بالمنشأة، والغرض من المعالجة، ووصف فئات أصحاب البيانات، والجهات التي يُفصح لها عن البيانات، وما إذا نُقلت أو ستُنقل خارج المملكة، أو أُفصح أو سيُفصح عنها لجهة خارجها، والمدة المتوقعة للاحتفاظ بها.

ويكون السجل مكتوباً، وتتأكد منشأتك من دقته وتحديثه. وتحتفظ به طوال مدة المعالجة، وخمس سنوات بعد انتهاء نشاطها.

تترك المادة الثلاثون للوائح تحديد الأحوال التي يجب فيها تعيين مسؤول لحماية البيانات الشخصية، وبيان مسؤولياته.

وتذكر اللائحة ثلاث حالات: جهة عامة تقدم خدمات تتضمن معالجة بيانات شخصية على نطاق واسع، أو جهة تقوم أنشطتها الأساسية على معالجة تتطلب مراقبة منتظمة وممنهجة لأصحاب البيانات، أو جهة تقوم أنشطتها الأساسية على معالجة بيانات شخصية حساسة. وتصدر الجهة المختصة قواعد التعيين.

ويجوز أن يكون المسؤول من مسؤولي منشأتك أو موظفيها، أو متعاقداً خارجياً. ومن مهامه تمكين أصحاب البيانات من حقوقهم، والإشعار عن حوادث التسرب، ومتابعة سجلات أنشطة المعالجة.