يبدأ كل توظيف بالثقة، وتبدأ كل عملية فحص للخلفية ببيانات شخصية. فالمرشح يسلّم وثائق الهوية والعناوين وسجلات التعليم والتاريخ الوظيفي، وغالباً قبل أن يلتقي حتى بمديره المستقبلي. ولسنوات طويلة، كانت هذه المعلومات تتنقل عبر مسارات التوظيف دون تدقيق يُذكر. ويغيّر قانون حماية البيانات الشخصية الرقمية (DPDP) في الهند لعام 2023 هذا الواقع.
إذا كانت مؤسستكم توظف أشخاصاً، أو تتحقق من الأشخاص الذين يوظفهم الآخرون، فقد أصبح هذا القانون جزءاً من عملياتكم اليومية. وفيما يلي عرض مبسّط لما ينص عليه القانون، ولماذا هو مهم، وكيف يعيد تشكيل التحقق من الخلفيات (BGV).
ما هو DPDP Act، بإيجاز
DPDP Act هو أول قانون مخصص في الهند يشمل الاقتصاد بأكمله ويتناول البيانات الشخصية الرقمية. وهو ينطبق على البيانات الشخصية التي تُعالج بصيغة رقمية، أو التي تُرقمَن بعد جمعها، ويمكن أن يمتد إلى مؤسسات خارج الهند حين تتعامل مع بيانات أشخاص موجودين في الهند.
يستخدم القانون مصطلحين رئيسيين:
- صاحب البيانات (Data Principal): الفرد الذي تعود إليه البيانات. وفي التوظيف، هو المرشح أو الموظف.
- الجهة الأمينة على البيانات (Data Fiduciary): المؤسسة التي تقرر سبب استخدام البيانات وكيفيته. وفي التوظيف، هي صاحب العمل. وتعمل جهات التحقق عادةً بصفة معالِجي بيانات (Data Processors) نيابةً عن صاحب العمل، مما يعني أن صاحب العمل يظل مسؤولاً عما يحدث للبيانات.
وقد جرى الإعلان عن القواعد التي تحدد كيفية تطبيق القانون، على أن تدخل الالتزامات حيز التنفيذ على مراحل. والرسالة العملية للشركات بسيطة: نافذة الاستعداد مفتوحة الآن، ولن تبقى مفتوحة إلى الأبد.
لماذا يهم هذا القانون فرق التوظيف
يُعد التوظيف من أكثر الأنشطة كثافةً بالبيانات في أي شركة. فملف التحقق الواحد قد يحتوي على رقم هوية حكومي وعنوان سكن وتفاصيل عائلية وكشوف درجات أكاديمية وتاريخ الرواتب وملاحظات أصحاب العمل السابقين. وهذا بالضبط هو النوع من المعلومات الذي يسبب ضرراً حقيقياً عند سوء التعامل معه.
يرفع القانون المعيار بعدة طرق تمس التوظيف مباشرةً:
- يجب أن تكون الموافقة ذات معنى. يجب أن تكون الموافقة حرة ومحددة ومستنيرة وواضحة، وتُعطى عبر إجراء إيجابي صريح. أما بند مدفون في خطاب العرض فهو أساس ضعيف.
- الإشعار أولاً. يجب إبلاغ المرشحين بالبيانات التي تُجمع، وسبب جمعها، وكيف يمكنهم ممارسة حقوقهم.
- تحديد الغرض. يجب استخدام البيانات المجمعة لأغراض التحقق في التحقق نفسه، لا إعادة توظيفها بصمت للتسويق أو لتحليلات لا صلة لها بالغرض.
- تحديد مدة التخزين. لا ينبغي الاحتفاظ بالبيانات الشخصية إلى أجل غير مسمى. فبمجرد تحقق الغرض منها، ينبغي محوها ما لم يقتضِ القانون خلاف ذلك.
- ضمانات الأمان. يجب على المؤسسات الحفاظ على حماية تقنية وتنظيمية معقولة ضد الاختراقات.
- الإخطار بالاختراق. في حال وقوع اختراق للبيانات الشخصية، يجب إبلاغ الجهة التنظيمية والأفراد المتضررين.
- حقوق الأفراد. يمكن للمرشحين طلب معلومات عن بياناتهم، وطلب تصحيحها أو محوها، واللجوء إلى آلية للتظلم.
- عقوبات حقيقية. قد يؤدي عدم الحفاظ على ضمانات أمنية معقولة إلى غرامات تصل إلى ₹250 crore، مما يجعل هذا الموضوع شأناً لمجلس الإدارة وليس شأناً يخص تقنية المعلومات وحدها.
ملاحظة حول "الاستخدام المشروع" في سياق التوظيف
يقرّ القانون بحالات معينة يجوز فيها معالجة البيانات دون موافقة جديدة، ومن بينها الأغراض المتعلقة بالتوظيف. ولا يمنح ذلك أصحاب العمل تفويضاً مطلقاً. فالاستثناء مرتبط بأغراض التوظيف وبحماية صاحب العمل من الخسارة أو المسؤولية، وتظل مبادئ الإنصاف والحد الأدنى من الجمع والأمان سارية. والنهج الأكثر أماناً هو الشفافية مع المرشحين وجمع ما يتطلبه الدور فعلاً فقط. وينبغي للمؤسسات استشارة مستشاريها القانونيين بشأن كيفية تطبيق ذلك على مسارات التوظيف لديها.
كيف يغيّر DPDP Act التحقق من الخلفيات
يقوم التحقق من الخلفيات على جمع البيانات الشخصية ومضاهاتها. ولذلك فهو من أولى العمليات التي تتأثر. وفيما يلي المواضع التي يظهر فيها هذا التغيير.
1. تصبح الموافقة مسار عمل لا مجرد توقيع
لم يعد النموذج الموقّع الممسوح ضوئياً هو المعيار الذهبي. يحتاج أصحاب العمل إلى سجل موافقة قابل للتتبع ومختوم زمنياً يبيّن من وافق على ماذا، ومتى، ولأي فحوصات. ويجعل التقاط الموافقة رقمياً وربطها مباشرةً بكل طلب تحقق عمليات التدقيق أيسر بكثير.
2. تقليل البيانات يغيّر قائمة الفحوصات
ليست كل وظيفة بحاجة إلى كل الفحوصات. ويصعب الدفاع عن باقة شاملة تُجري "كل شيء" لكل مرشح حين يطلب القانون جمع ما هو ضروري فقط. أما الباقات القائمة على المخاطر، حيث يحصل مرشح لمنصب مالي رفيع على مجموعة فحوصات تختلف عن مجموعة موظف دعم مبتدئ، فهي أكثر امتثالاً وأعلى كفاءة.
3. المساءلة عن الموردين مسؤولية مشتركة
عندما يعالج شريك التحقق البيانات نيابةً عنك، تبقى مسؤولاً عن كيفية التعامل معها. وينبغي لفرق التوظيف طرح أسئلة أدق أثناء اختيار المورد: أين تُخزَّن البيانات؟ ومن يمكنه الوصول إليها؟ وكم مدة الاحتفاظ بها؟ وماذا يحدث بعد وقوع اختراق؟ وتقدم الشهادات المستقلة مثل ISO 27001 وSOC 2 Type II دليلاً مفيداً على أن ممارسات الأمان لدى المزوّد قد اختبرتها أطراف خارجية.
4. الاحتفاظ بالبيانات وحذفها يتطلبان جدولاً زمنياً
لا ينبغي أن تبقى تقارير التحقق في صناديق البريد والمجلدات المشتركة إلى الأبد. تحتاج المؤسسات إلى فترات احتفاظ محددة وإلى وسيلة موثوقة لحذف البيانات أو إخفاء هويتها عند انتهاء الفترة، بما في ذلك البيانات التي يحتفظ بها مورّدوها.
5. يكتسب المرشحون صوتاً أقوى
يمكن للأشخاص أن يسألوا عمّا يُحتفظ به عنهم وأن يطلبوا تصحيحه. وهذا أمر صحي في التحقق من الخلفيات: فقد يكلّف سجل خاطئ يشير إلى مرشح بشكل غير صحيح وظيفته. والعملية التي تتيح للمرشحين مراجعة النتائج والاعتراض عليها تعزز الإنصاف والامتثال معاً.
6. التحقق عبر الحدود يتطلب عناية إضافية
يتحقق كثير من أصحاب العمل من مرشحين درسوا أو عملوا في الخارج. ويجلب نقل البيانات الشخصية عبر الحدود اعتبارات إضافية، ويتيح القانون للحكومة تقييد النقل إلى دول محددة. ومن الضروري وجود شروط تعاقدية واضحة مع شركاء التحقق ورؤية مرسومة لمسارات تدفق البيانات.
قائمة عملية للاستعداد لأصحاب العمل
- ارسم خريطة لكل نقطة تدخل منها بيانات المرشحين إلى عملية التوظيف لديك.
- استبدل الموافقة الورقية أو غير الرسمية بمسار موافقة رقمي قابل للتدقيق.
- اكتب إشعار خصوصية قصيراً وبلغة واضحة للمرشحين.
- واءم باقات التحقق لديك مع مستوى المخاطر لكل وظيفة.
- راجع عقود الموردين من حيث شروط معالجة البيانات والإبلاغ عن الاختراقات والتزامات الحذف.
- حدّد جداول زمنية للاحتفاظ واختبر أن الحذف يحدث فعلاً.
- أنشئ مساراً بسيطاً يتيح للمرشحين طرح أسئلتهم أو تقديم شكاواهم.
- درّب مسؤولي التوظيف وموظفي الموارد البشرية، لأن معظم حوادث البيانات تبدأ من الأشخاص لا من الأنظمة.
الامتثال ميزة في التوظيف
من المغري أن يُنظر إلى DPDP Act بوصفه عبئاً بحتاً. لكننا نراه بشكل مختلف. فالمرشحون يلاحظون بشكل متزايد كيف تتعامل الشركة مع معلوماتهم، وتجربة التحقق الواضحة والمحترمة تنعكس إيجاباً على العلامة التجارية لصاحب العمل. كما أن سلامة التعامل مع البيانات تقلل إعادة العمل والنزاعات والتأخير، مما يسرّع عملية الإلحاق بالوظيفة.
لن تكتفي المؤسسات التي تتكيف مبكراً بتجنب العقوبات، بل ستبني عمليات توظيف يثق بها المرشحون ويستطيع المدققون التحقق منها.
كيف تتعامل Quinfy مع هذا الأمر
في Quinfy، بنينا منصة التحقق لدينا على فكرة أن السرعة والخصوصية يجب أن تعملا معاً. وتدعم عملياتنا شهادات ISO 27001 وISO 9001 وSOC 2 Type II، ونصمم الموافقة والتحكم في الوصول والتعامل مع البيانات ضمن رحلة التحقق منذ البداية. وإذا رغبتم في مناقشة مدى توافق عملية الفحص الحالية لديكم مع إطار DPDP، فيسعد فريقنا بمساعدتكم.
هذه المقالة للمعلومات العامة ولا تُعد استشارة قانونية. يُرجى استشارة مستشاركم القانوني بشأن كيفية انطباق DPDP Act على مؤسستكم.
عن الكاتبة: تقود Rajasvi المبيعات الدولية في Quinfy، وهي شركة للتحقق من الخلفيات قائمة على الذكاء الاصطناعي بطبيعتها، تخدم عملاء في أكثر من 45 دولة.
