أصبح التوظيف عالمياً. فشركة في Dubai توظف مهندساً مقيماً في ألمانيا، وشركة أمريكية تُلحق مستشاراً من أيرلندا، وشركة هندية تفتتح مركز تسليم في بولندا. وكل توظيف من هذه التعيينات يتضمن التحقق من هوية شخص وتعليمه وتاريخه الوظيفي، ويمكن أن يستدعي كل منها اللائحة العامة لحماية البيانات في الاتحاد الأوروبي (GDPR).
يسري GDPR منذ مايو 2018، ومع ذلك يظل التحقق من الخلفيات (BGV) من أكثر المواضع التي تتعثر فيها المؤسسات. تشرح هذه المقالة لماذا يهم GDPR في الفحص، وكيف يغيّر طريقة إجراء الفحوصات، وما هو نهج الامتثال المعقول.
لماذا يمتد GDPR إلى ما وراء أوروبا
لا يقتصر GDPR على الشركات المقيمة في الاتحاد الأوروبي. فهو ينطبق على المؤسسات المنشأة في الاتحاد الأوروبي، وكذلك على مؤسسات في أماكن أخرى تعالج البيانات الشخصية لأشخاص في الاتحاد الأوروبي فيما يتصل بتقديم سلع أو خدمات أو مراقبة السلوك. وفي طلب تحقق عن مرشح موجود في أوروبا، يمكن أن تتبع القواعد البيانات أينما انتقلت.
ولهذا يحتاج كل من مزوّد الفحص وصاحب العمل الذي يتعاقد معه إلى فهم اللائحة، حتى لو لم يكن لأي منهما مكتب في أوروبا.
الأفكار الأساسية بلغة بسيطة
يقوم GDPR على مجموعة مبادئ تنطبق على كل مرحلة من مراحل ملف التحقق:
- المشروعية والإنصاف والشفافية. يجب أن يوجد أساس قانوني صالح للمعالجة، ويجب إبلاغ المرشحين بما يجري لبياناتهم.
- تحديد الغرض. لا ينبغي إعادة استخدام البيانات المجمعة لفحص محدد في أهداف لا صلة لها.
- تقليل البيانات. اجمع فقط ما هو ذو صلة وضروري للوظيفة.
- الدقة. يجب أن تكون السجلات صحيحة ومحدّثة.
- تحديد مدة التخزين. لا ينبغي الاحتفاظ بالبيانات لمدة أطول من اللازم.
- السلامة والسرية. يجب أن يحمي الأمان المناسب البيانات.
- المساءلة. يجب أن تكون المؤسسات قادرة على إثبات امتثالها، لا مجرد الادعاء به.
اختيار الأساس القانوني المناسب
من أول الأسئلة في أي برنامج فحص أوروبي: ما الذي يسمح لنا بمعالجة هذه المعلومات؟ يوفر GDPR عدة أسس قانونية، وأكثرها اعتباراً في التوظيف الالتزام القانوني والمصالح المشروعة، وفي حالات محدودة الموافقة.
تستحق الموافقة عناية خاصة في سياق التوظيف. فقد أبدت الجهات التنظيمية منذ زمن قلقها من أن الموافقة التي يقدمها المتقدم لوظيفة قد لا تكون طوعية حقاً، لوجود اختلال واضح في ميزان القوة بين المرشح وصاحب العمل. ولذلك تعتمد مؤسسات كثيرة على تقييم موثّق للمصالح المشروعة أو على متطلب قانوني، مع الاستمرار في تقديم إشعار واضح للمرشحين. ويعتمد الجواب الصحيح على البلد ونوع الفحص، لذا تُستحسن الاستعانة بمشورة قانونية محلية.
أين يصبح التحقق من الخلفيات حساساً
فحص السجل الجنائي
تحظى المعلومات عن الإدانات الجنائية والجرائم بحماية خاصة بموجب GDPR. وبوجه عام، يجب أن تتم معالجتها إما تحت سلطة رسمية أو بتفويض من قانون الاتحاد الأوروبي أو الدولة العضو مع ضمانات مناسبة. وتختلف القواعد اختلافاً كبيراً بين الدول، وفي بعض الأماكن لا يجوز لأصحاب العمل طلب شهادة إلا حيث تبرره الوظيفة قانوناً. وتنطوي سياسة عالمية واحدة بعنوان "فحص جنائي للجميع" على مخاطر.
فئات البيانات الخاصة
تخضع الصحة والأصل العرقي والدين والعضوية النقابية وما شابهها من فئات لشروط أكثر صرامة. وينبغي لعمليات الفحص تجنب جمع هذه البيانات ما لم توجد حاجة واضحة ومشروعة، والتأكد من أن الحقول النصية الحرة وردود المراجع والمستندات المرفوعة لا تُدخل مثل هذه البيانات إلى الملف بصمت.
اتخاذ القرار الآلي
إذا نتجت نتيجة الفحص بالكامل عن عملية آلية وكان لها أثر كبير على المرشح، يمنح GDPR ذلك الشخص حمايات، منها إمكانية طلب مراجعة بشرية. ولا يزال بالإمكان استخدام التحقق بمساعدة الذكاء الاصطناعي بشكل جيد، ما دام الإنسان يشارك مشاركة حقيقية في القرارات التي تؤثر في فرص عمل الشخص.
ما الذي يستطيع المرشحون طلبه منك
يمنح GDPR الأفراد مجموعة حقوق تنطبق مباشرةً على سجلات الفحص:
- الاطلاع على البيانات الشخصية المحتفَظ بها عنهم والمعلومات عن كيفية استخدامها.
- تصحيح البيانات غير الدقيقة.
- المحو في ظروف معينة.
- التقييد والاعتراض في حالات محددة.
- قابلية النقل حيثما ينطبق ذلك.
ينبغي لأصحاب العمل وشركاء التحقق لديهم أن يكونوا قادرين على الرد على هذه الطلبات خلال مدة الشهر الواحد التي تحددها اللائحة، مما يعني معرفة موضع كل نسخة من ملف المرشح.
المسؤوليات المشتركة بين صاحب العمل والمزوّد
في معظم الترتيبات، يكون صاحب العمل هو المتحكم (controller) الذي يقرر سبب استخدام البيانات وكيفيته، بينما تكون شركة التحقق معالِجاً (processor) يعمل بتعليمات صاحب العمل. ويشترط GDPR اتفاقاً مكتوباً بين الطرفين يغطي موضوع المعالجة وتدابير الأمان والمعالجين الفرعيين والمساعدة في حقوق الأفراد وحذف البيانات أو إعادتها عند انتهاء العلاقة.
ونقطتان إضافيتان تستحقان الانتباه:
- الإخطار بالاختراق. يتعين عموماً إبلاغ السلطة الإشرافية بأي اختراق للبيانات الشخصية يشكل خطراً على الأفراد دون تأخير غير مبرر، وعند الإمكان خلال 72 ساعة. ويجب على المعالجين تنبيه المتحكمين على الفور، لذا ينبغي أن تحدد العقود مدى سرعة ذلك.
- عمليات النقل الدولية. يتطلب إرسال بيانات التحقق من الاتحاد الأوروبي إلى بلد لا يحظى بقرار كفاية ضمانة معتمدة، مثل البنود التعاقدية القياسية (Standard Contractual Clauses)، إلى جانب تقييم للمخاطر. وغالباً ما يتضمن التحقق من الشهادات في الخارج أو جهات العمل السابقة هذا النوع من النقل بالتحديد.
كلفة الخطأ
يمكن للجهات التنظيمية فرض غرامات تصل إلى 20 مليون يورو أو 4 بالمئة من حجم المبيعات السنوي العالمي، أيهما أعلى، على أخطر المخالفات. وإلى جانب الغرامات، قد يشمل الضرر العملي توقف برامج التوظيف وتضرر ثقة المرشحين ومحادثات صعبة مع العملاء الذين يعتمدون عليك في حماية بيانات موظفيهم.
قائمة عملية للفحص في أوروبا
- ارسم خريطة لكل تدفق بيانات في عملية التحقق لديك، بما في ذلك مكان تخزين البيانات ومن يمكنه الاطلاع عليها.
- وثّق أساسك القانوني لكل نوع من الفحوصات ولكل بلد.
- قدّم للمرشحين إشعار خصوصية واضحاً وموجزاً قبل جمع أي شيء.
- واءم الفحوصات مع الوظيفة، واستبعد أي فحص لا يوجد ما يبرره.
- أجرِ تقييماً لأثر حماية البيانات حين يكون الفحص واسع النطاق أو يتضمن بيانات أعلى خطورة.
- ضع اتفاقيات معالجة ممتثلة موضع التنفيذ وراجع المعالجين الفرعيين.
- حدّد فترات الاحتفاظ وتأكد من أن الحذف يحدث فعلاً.
- جهّز عملية بسيطة لطلبات الاطلاع والتصحيح والمحو.
- درّب مسؤولي التوظيف وفرق الموارد البشرية، لأن الخطأ البشري يتسبب في حوادث كثيرة.
- اختبر خطة الاستجابة للاختراق حتى تكون مهلة 72 ساعة واقعية.
الخصوصية والسرعة يمكن أن تتعايشا
يخشى بعض أصحاب العمل أن تبطئ قواعد الخصوصية التوظيف. ووفق تجربتنا، يميل الواقع إلى عكس ذلك. فالعملية ذات الموافقة الواضحة والفحوصات المستهدفة والسجلات النظيفة تنتج نزاعات أقل وإعادة فحص أقل وإلحاقاً أسرع بالعمل. كما يلاحظ المرشحون حين تتعامل المؤسسة مع معلوماتهم بعناية، وهذا يشكّل نظرتهم إلى صاحب العمل.
كيف تدعم Quinfy الفحص العالمي الممتثل
تقدم Quinfy خدمات التحقق من الخلفيات في أكثر من 45 دولة، بدعم من شهادات ISO 27001 وISO 9001 وSOC 2 Type II. وقد صُممت منصتنا بحيث تكون موافقة المرشح وضوابط الوصول والتعامل مع البيانات جزءاً من رحلة التحقق. وإذا كنتم تبنون برنامج فحص يمس أوروبا أو تراجعونه، فيسعدنا مناقشة متطلباتكم.
هذه المقالة للمعلومات العامة ولا تُعد استشارة قانونية. تختلف المتطلبات بحسب البلد والحالة، لذا يُرجى استشارة مستشار قانوني مؤهل قبل وضع سياسات الفحص لديكم في صيغتها النهائية.
عن الكاتب: Prathap P هو مدير مبيعات أول في Quinfy، وهي شركة للتحقق من الخلفيات قائمة على الذكاء الاصطناعي بطبيعتها تساعد أصحاب العمل على التحقق من المواهب حول العالم.
