مزود خدمة الرواتب ونظام حماية البيانات الشخصية: ما الذي تسألون عنه قبل مشاركة بيانات الموظفين؟
قبل مشاركة بيانات الموظفين مع مزود خدمة رواتب أو موارد بشرية، اسألوه عن ثمانية أمور: ما البيانات التي يحتاج إليها فعلاً، وأين تُخزَّن، ومن يطّلع عليها، وهل يستعين بجهات أخرى، وكيف يُبلغكم بالحوادث، وماذا يحدث للبيانات عند نهاية العقد، وهل تستطيعون إثبات ذلك مكتوباً. يرتب هذا الدليل الأسئلة، ويوضح كيف تحوّلونها إلى بنود في العقد، ولا يغني عن استشارة مختص نظامي في نظام حماية البيانات الشخصية.
الخلاصة
- الأصل أن تُشارك أقل بيانات تكفي للخدمة، وأن يُحدد الغرض كتابةً قبل أي مشاركة.
- اسألوا عن مكان التخزين، ومن يطّلع، والجهات الفرعية التي يستعين بها المزود، وعن الصلاحيات وسجلات الدخول.
- اطلبوا إجراءً مكتوباً للحوادث وللحذف أو الإعادة عند نهاية التعاقد.
- حوّلوا الإجابات إلى بنود في العقد، وراجعوها مع المختص النظامي، وحدّثوها عند تغيير الخدمة.
محتوى الدليل
لماذا يهم المزود حتى لو كانت المنشأة ملتزمة؟
تحمل بيانات الرواتب والموارد البشرية أكثر ما يخص الموظف: الهوية، والحساب البنكي، والأجر، والحالة الاجتماعية، وربما بيانات صحية. وعند مشاركتها مع مزود خدمة تبقى مسؤولية المنشأة عن اختياره وتوجيهه قائمة، فلا يزيلها قولكم إن التعامل تقني أو إن المزود معروف. ولهذا يُنظر إلى التعاقد مع المزود كجزء من برنامج حماية البيانات لا كشراء خدمة فقط.
وللخلفية العامة عن بيانات الموظفين والنظام راجعوا دليل حماية البيانات الشخصية وبيانات الموظفين، ولدروس عملية من قرارات المخالفات راجعوا دليل دروس قرارات سدايا. أما هذا الدليل فيعطي قائمة أسئلة قابلة للتطبيق عند التعاقد وعند المراجعة السنوية.
الأسئلة الثمانية
أولاً: ما الغرض بالتحديد؟ اطلبوا وصفاً مكتوباً للخدمة وما تتطلبه من بيانات. ما لا تحتاجه الخدمة لا تشاركوه، ولا يُستخدم لغرض آخر كالتسويق أو التحليل لحساب المزود.
ثانياً: ما البيانات المطلوبة فعلاً؟ قارنوا قائمة الحقول المطلوبة بحاجة الخدمة. وللاستعانة في ذلك بحصر منظم راجعوا دليل حصر بيانات الموظفين.
ثالثاً: أين تُخزَّن البيانات؟ مكان الاستضافة، وهل تُنقل خارج المملكة، وبأي أساس. هذه نقطة نظامية تُعرض على المختص ولا يُجتهد فيها.
رابعاً: من يطّلع على البيانات؟ صلاحيات موظفي المزود، وسجلات الدخول، وفصل البيانات بين العملاء، وكيف تُراجع الصلاحيات.
خامساً: هل يستعين بجهات فرعية؟ اسألوا عن أي جهة تعالج البيانات بالنيابة عنه، وعن إلزامه إياها بالشروط نفسها، وعن إشعاركم قبل أي تغيير.
سادساً: ماذا يحدث عند حادثة أمنية؟ من يبلغكم، وبأي طريقة، وخلال أي مدة يلتزم بها المزود تعاقدياً، وما المعلومات التي يقدمها لتتمكنوا من أداء التزاماتكم.
سابعاً: ماذا عن نهاية التعاقد؟ إعادة البيانات أو حذفها، وبأي صيغة، وشهادة تثبت الحذف، وما الذي يُحتفظ به لأسباب نظامية.
ثامناً: كيف نثبت ذلك؟ نسخة مكتوبة من الإجابات، وبنود في العقد، وحق مراجعة معقول، وتقارير أو شهادات أمنية تتحققون منها.
ضعوا علامة على ما أنجزتموه. تُحفظ إجاباتكم على هذا الجهاز فقط.
ماذا عن خدمات الأجور المرتبطة بالراتب؟
إذا كان المزود يقدم خدمات إضافية مرتبطة بالراتب، فاطلبوا منه فصل البيانات المطلوبة لكل خدمة، وألا تُفعَّل خدمة جديدة على بيانات الموظفين إلا بقرار مكتوب منكم وبحسب الغرض المعلن، وبموافقة الموظف حيث يلزم ذلك.
كيف تقرؤون إجابات المزود؟
الإجابة الجيدة محددة ومكتوبة وتنسجم مع وصف الخدمة. وتستدعي الحذر الإجابات التالية:
- العموميات مثل «بياناتكم آمنة» دون وصف للضوابط أو الصلاحيات أو الجهة المسؤولة.
- التهرب من سؤال التخزين أو الجهات الفرعية أو إحالته إلى ملحق لا يُقدَّم.
- الاستعداد لكل طلب شفهياً وعدم الاستعداد لكتابته في العقد.
- جمع بيانات أوسع مما تتطلبه الخدمة بحجة الاستعداد لمزايا مستقبلية.
وليس المقصود اتهام المزود، بل التفريق بين مزود يعرف بياناتكم وطريقة حمايتها ومزود لم يفكر في ذلك. وحين تتعدد العروض اجعلوا الأسئلة نفسها لجميع المزودين، فمقارنة الإجابات المكتوبة أدق من مقارنة العروض التسويقية.
من يتولى ماذا؟
- الموارد البشرية: تحديد البيانات اللازمة وأغراضها.
- المالية والمشتريات: إدراج الأسئلة في طلب العرض وفي العقد.
- تقنية المعلومات والأمن: مراجعة التخزين والصلاحيات والحوادث.
- المختص النظامي أو مسؤول حماية البيانات: الصياغة والنقل خارج المملكة وسائر الأحكام.
صياغة بند حماية البيانات في العقد
البند الجيد قصير وواضح ويغطي عناصر محددة. استعينوا بالمنشئ التالي لإعداد مسودة نقاش داخلي تُراجع قبل الاعتماد:
اختاروا الخيارات لتظهر مسودة البند، ثم انسخوها لمراجعتها داخلياً.
مراجعة المزود بعد التعاقد
لا ينتهي العمل بتوقيع العقد. اجعلوا للمزود مراجعة سنوية قصيرة تسأل: هل تغيّرت الخدمة أو البيانات المشاركة؟ هل تغيّر مكان التخزين أو الجهات الفرعية؟ هل وقعت حوادث أو شكاوى؟ ومن لديه صلاحية الوصول إلى النظام من جانبكم، وهل ما زال بحاجة إليها؟ ثم سجّلوا النتيجة في ملف المزود. ويفيد في ذلك أن يكون لكل مزود مسؤول داخلي يعرفه المزود باسمه، فتصل إليه الإشعارات ولا تضيع بين الإدارات.
أخطاء شائعة في التعامل مع المزود
- مشاركة ملف كامل للموظفين بينما تحتاج الخدمة جزءاً منه فقط.
- قبول شروط المزود كما هي دون قراءتها أو مقارنتها بسياسة المنشأة.
- غياب إجراء للحوادث، فيتأخر العلم بها ويتأخر الرد.
- ترك الحسابات مفتوحة بعد نهاية العلاقة أو بعد مغادرة المسؤول عنها.
- عدم مراجعة العقد سنوياً رغم تغير الخدمة أو المزود الفرعي.
وعند طلبات تغيير بيانات الدفع التي تصل بالمراسلة أو المكالمة، طبّقوا إجراءات التحقق الواردة في دليل التزييف العميق وانتحال الهوية.
أسئلة شائعة
ما الأسئلة التي أطرحها على مزود خدمة الرواتب بشأن البيانات؟
عن الغرض والبيانات اللازمة، ومكان التخزين، ومن يطّلع، والجهات الفرعية، والحوادث، ونهاية التعاقد، وكيف يثبت المزود التزامه كتابةً.
هل أظل مسؤولاً عن بيانات الموظفين بعد مشاركتها مع المزود؟
تبقى للمنشأة مسؤولية اختيار المزود وتوجيهه وفق نظام حماية البيانات الشخصية، ولذلك تُكتب الأسئلة والإجابات في العقد. وتفاصيل الأحكام تُعرض على مختص نظامي.
هل يجوز تخزين بيانات الموظفين خارج المملكة؟
هذه مسألة نظامية تتعلق بالنقل خارج المملكة وشروطه، فاعرضوها على المختص النظامي قبل التعاقد ولا تعتمدوا على وعد شفهي.
ماذا يحدث لبيانات الموظفين عند إنهاء التعاقد مع المزود؟
ينبغي النص كتابةً على إعادتها بصيغة متفق عليها أو حذفها مع ما يثبت ذلك، مع استثناء ما يُلزم النظام بحفظه.
كم مرة نراجع تعاقد المزود؟
مرة في السنة على الأقل، وعند تغيير الخدمة أو الجهات الفرعية أو مكان التخزين أو الصلاحيات.
ثقة الموظف تبدأ من احترام بياناته.
تعتمد أَولى مبدأ الحد الأدنى من البيانات: الموارد البشرية ترى مؤشرات مجمّعة ومجهولة الهوية، ولا يُشارك أي بيان خام دون موافقة صريحة. انضموا إلى الشركاء المؤسسين بخطاب اهتمام غير ملزم.
أدلة ذات صلة
انتهت فترة السماح وبدأت لجان سدايا إصدار العقوبات. ما الذي يعنيه ذلك لبيانات الموظفين، مع قائمة تحقق قابلة للحفظ.
5 دقائق قراءة · 3 مصادرالخصوصية وحماية البياناتدليلحصر بيانات الموظفين: كيف تعرف الموارد البشرية ما تجمعه ولماذا وإلى متى تحتفظ به؟سجل عملي بما تجمعه الموارد البشرية من بيانات الموظفين: لماذا، وأين تُحفظ، ومن يطّلع عليها، ومتى تُتلف.
5 دقائق قراءةالخصوصية وحماية البياناتدراسة حالةماذا تعلّمنا قرارات سدايا عن مخالفات حماية البيانات الشخصية؟خمس مخالفات أعلنتها سدايا، وما الذي يعنيه كل منها لمنشأتكم، مع أداة لحساب مهلة إشعار التسرب.
5 دقائق قراءة · 3 مصادرمحتوى تثقيفي عام وليس استشارة قانونية أو مالية. الأمثلة الرقمية الافتراضية معلّمة بـ«مثال توضيحي»، وكل رقم حقيقي منسوب لمصدره المؤرَّخ.