حماية بيانات المرشحين ونظام PDPL في التوظيف: دليل عملي

01لماذا تُعامَل بيانات المرشح كبيانات شخصية؟

حين يرسل مرشح سيرته الذاتية، فهو يسلّمك اسمه ورقم هويته وبيانات تواصله وتاريخه المهني وربما بيانات أكثر حساسية. هذه كلها بيانات شخصية تخضع لنظام حماية البيانات الشخصية (PDPL) في المملكة، الذي تشرف عليه الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا). ومسؤوليتك عنها لا تبدأ بعد التوظيف، بل من لحظة استلام الطلب.

هذه الزاوية عملية بحتة: كيف يتعامل فريق الموارد البشرية يومياً مع بيانات المتقدمين بشكل نظامي. أما النظرة الأشمل لامتثال المنتج فتجدها في دليل الامتثال لأنظمة PDPL وحوكمة الأمن السيبراني؛ وهنا نركّز على الممارسة التطبيقية لا على المنتج.

02الأساس النظامي وتحديد الغرض

يقوم PDPL على مبدأ أن أي معالجة للبيانات الشخصية يجب أن تستند إلى أساس نظامي واضح، وأن تكون لغرض محدّد ومشروع. في سياق التوظيف يعني ذلك أمرين متلازمين: أن يعرف المرشح لماذا تُجمع بياناته، وألّا تُستخدم في غير ما جُمعت له.

🎯 الموافقة والشفافية

حين تكون المعالجة قائمة على الموافقة، ينبغي أن تكون موافقة واضحة ومستنيرة: يعرف المرشح ما البيانات المجموعة والغرض منها قبل أن يوافق. وإخطار الخصوصية عند التقديم هو الأداة العملية لذلك.

🎯 تحديد الغرض (Purpose Limitation)

البيانات التي جُمعت لتقييم الترشّح لوظيفة بعينها لا تُستخدم لغرض مختلف — كإرسال عروض تسويقية — دون أساس جديد. وإذا رغبت في الاحتفاظ بالسيرة لفرص مستقبلية، فذلك غرض إضافي يُفصح عنه ويُبنى على أساسه.

• ✅ أخبر قبل أن تجمع: إخطار خصوصية واضح عند نقطة التقديم.
• ✅ اربط كل بيان بغرضه: لا تجمع حقولاً لا تحتاجها للتقييم.
• ✅ لا تُوسّع الاستخدام صامتاً: غرض جديد يعني إفصاحاً جديداً.

03تقليل البيانات ومدة الاحتفاظ

مبدآن متكاملان يمنعان تحوّل قاعدة المرشحين إلى عبء نظامي: جمع أقل قدر ممكن من البيانات، والاحتفاظ بها لأقصر مدة لازمة. الاحتفاظ ببيانات لا حاجة لها ولا لمدة مبرَّرة يزيد المخاطرة دون فائدة.

04ضبط الوصول وأمن البيانات

حماية البيانات لا تكتمل بالإجراءات النظامية وحدها؛ فهي تحتاج إلى ضوابط تقنية وتنظيمية تمنع الوصول غير المصرّح به. القاعدة هنا: يصل إلى بيانات المرشح من يحتاجها لعمله فقط.

ومن أخطر الثغرات العملية تداول السير الذاتية عبر البريد والمجلدات المشتركة، إذ تتكاثر النسخ ويصعب حصر من يملك الوصول. تجميع البيانات في نظام واحد بصلاحيات منضبطة يعالج هذه الثغرة من جذرها، كما نوضّح في الفرق بين إدارة التوظيف بالبريد ونظام ATS.

05حقوق المرشح وكيف تستجيب لها

يمنح PDPL صاحب البيانات حقوقاً ينبغي لفريق الموارد البشرية أن يكون مستعداً للاستجابة لها بشكل منظّم. المرشح هنا هو صاحب البيانات، وطلباته ليست تفضّلاً بل استحقاقاً نظامياً.

• ✅ حق العلم: أن يعرف المرشح أن بياناته تُعالَج والغرض من ذلك.
• ✅ حق الوصول: أن يطّلع على بياناته المحفوظة لديك.
• ✅ حق التصحيح: أن يطلب تصحيح بيانات غير دقيقة.
• ✅ حق الإتلاف: أن يطلب حذف بياناته وفق الضوابط النظامية.
• ✅ سحب الموافقة: أن يسحب موافقته حيث كانت المعالجة قائمة عليها.

الجاهزية العملية لهذه الحقوق تعني وجود قناة واضحة لاستقبال الطلبات، وقدرة على تحديد بيانات مرشح بعينه بسرعة والتصرّف فيها. وهذا يصعب حين تكون البيانات مبعثرة، ويسهل حين تكون في مصدر موحّد قابل للبحث.

06أخطاء شائعة في معالجة بيانات المرشحين

• ✅ الجمع المفرط: طلب بيانات لا علاقة لها بتقييم الترشّح.
• ✅ الاحتفاظ بلا نهاية: بقاء ملفات المرشحين سنوات دون مبرّر أو حذف.
• ✅ الوصول المفتوح: اطّلاع موظفين لا تحتاج مهامهم البيانات عليها.
• ✅ توسيع الغرض صامتاً: استخدام بيانات التوظيف في التسويق دون أساس.
• ✅ تجاهل الطلبات: عدم الاستعداد للرد على حقوق المرشح في بياناته.

07كيف يساعد CareerPortal؟

يوفّر CareerPortal — نظام التوظيف وتتبّع المتقدمين من شركة وقت البيانات (Datatime) للسوق السعودي — بيئة عمل تسهّل على فريق الموارد البشرية تطبيق مبادئ حماية البيانات عملياً ضمن مسار التوظيف اليومي.

لكن يبقى الامتثال مسؤولية مؤسستك وممارساتها، والنظام أداة تُيسّرها لا بديل عنها. لفهم الصورة الأشمل راجع دليل الامتثال لأنظمة PDPL والأمن السيبراني، واستكشف كيف تنعكس هذه الضوابط في اختيار أفضل نظام توظيف في السعودية.