أي بيانات حضور تُعد بيانات شخصية
نظام حماية البيانات الشخصية يعرّف البيانات الشخصية بأنها كل ما يُعرِّف الشخص أو يجعله قابلًا للتعريف، وبيانات الحضور تدخل في هذا التعريف مباشرة: إحداثيات الموقع وقت التسجيل، صورة التحقق إن استُخدمت، أوقات الدخول والخروج، وحتى نمط التأخر المتكرر الذي يستخلصه التقرير.
الخطأ الشائع هو معاملة هذه البيانات كبيانات "تشغيلية" تخص المنشأة وحدها؛ هي في الواقع بيانات تخص الموظف، والمنشأة تجمعها لغرض محدد وتتحمل مسؤولية حمايتها.
أربعة مبادئ تنطبق على سجل الحضور
المبدأ الأول هو تحديد الغرض: بيانات الموقع تُجمع لتأكيد الحضور من موقع العمل، لا لتتبع الموظف خارج ساعات دوامه. الثاني هو الإفصاح: يجب أن يعرف الموظف ما الذي يُجمع ولماذا قبل أن يبدأ باستخدام التطبيق. الثالث هو الحد الأدنى: لا تجمع صورة إن كان الموقع الجغرافي يكفي. والرابع هو الاحتفاظ: للبيانات عمر يرتبط بالغرض، لا يمتد إلى الأبد.
- ✓اكتب سياسة خصوصية داخلية تشرح للموظف ما يُجمع عند تسجيل الحضور، وأين يُحفظ، ومن يراه.
- ✓اجمع الموقع الجغرافي لحظة التسجيل فقط، لا تتبعًا مستمرًا طوال اليوم.
- ✓حدد مدة احتفاظ واضحة لبيانات الموقع والصور تختلف عن مدة الاحتفاظ بسجل الأوقات نفسه.
من يرى ماذا: الصلاحيات جزء من الامتثال
الإفصاح والغرض المحدد لا يكفيان إن كان كل مدير في المنشأة يستطيع فتح موقع أي موظف في أي وقت. صلاحيات الوصول جزء أساسي من الامتثال: المدير المباشر يرى حضور فريقه لا الشركة كلها، وبيانات الموقع التفصيلية تُتاح لمن يحتاجها فعلًا للتحقق، لا لكل من يملك حساب دخول.
سجل نشاط يوضح من فتح بيانات من ومتى يكمل الصورة؛ بدونه لا تستطيع المنشأة الإجابة عن أبسط سؤال قد يطرحه موظف أو جهة رقابية: من اطّلع على بياناتي؟
جمع البيانات مسؤولية لا امتياز؛ والمنشأة التي تعرف بالضبط ما تجمعه ولماذا ومن يراه تمتثل دون أن تشعر بعبء الامتثال.
هذا المقال بغرض التوعية العامة، ولا يُغني عن استشارة مختص عند الحاجة لقرار خاص بمنشأتك.