كشوف الرواتب والعقود في الموارد البشرية: ماذا يتوقع GDPR

مكتب الموارد البشرية واحد من أكثر الأماكن كثافة بالبيانات في أي شركة. في يوم ثلاثاء عادي، قد يفتح شخص واحد كشف راتب، وعقدًا موقّعًا، وإجازة مرضية، وشهادة بنكية، ونسخة من هوية أحدهم. كل من هذه ملف PDF، وكل من ملفات PDF هذه يخصّ شخصًا حقيقيًا لا يرى قط كيف يُتعامل معه.

هذا هو العمل. السؤال هو ما الذي يتوقع GDPR أن تفعله بكل ذلك، وأين يقع عمل PDF اليومي ضمن القواعد.

البيانات التي تلمسها الموارد البشرية من النوع الحساس

ليست كل البيانات الشخصية متساوية بموجب GDPR. عنوان البريد الإلكتروني للعمل بيانات شخصية. وكذلك رقم الراتب، لكنه يحمل وزنًا أكبر، والموارد البشرية تجلس على كومة منه.

تُظهر كشوف الرواتب ما يكسبه الناس. وتُظهر العقود الشروط، وأحيانًا بنودًا عن الحالة الصحية أو الأسرية. وقد تكشف الإجازات المرضية عن حالة طبية، وهي فئة خاصة من البيانات تتمتع بحماية إضافية. وتفتح بيانات البنوك الباب أمام الاحتيال. وأرقام الهوية الوطنية والضمان الاجتماعي هي بالضبط ما يريده سارقو الهوية. ضع كل ذلك في قسم واحد وتصبح هدفًا.

يهتم GDPR بهذه المادة أكثر لأن الضرر الناجم عن التسريب أكبر. قائمة تسويق مسرَّبة مزعجة. أما كومة مسرَّبة من كشوف الرواتب وصور الهوية فقد تدمّر مالية أحدهم وراحة باله.

ما الذي تطلبه القواعد منك فعليًا

لست بحاجة إلى حفظ اللائحة لتتبعها. بضعة واجبات تغطي معظم ما تفعله الموارد البشرية بهذه الملفات.

حافظ على أمان البيانات. تطلب المادة 32 تدابير تقنية وتنظيمية مناسبة. بعبارة بسيطة، ينبغي حماية الملفات بطريقة تتناسب مع مدى حساسيتها. كشف الراتب يستحق عناية أكبر من قائمة طعام الغداء.

استخدم فقط ما تحتاجه، وللمدة التي تحتاجها فقط. تجمع عقدًا لإدارة التوظيف، لا للاحتفاظ به إلى الأبد على قرص مشترك يستطيع نصف المكتب قراءته. عندما يزول السبب، ينبغي أن يزول الملف أيضًا.

اعرف إلى أين تسافر البيانات. في كل مرة يغادر فيها ملف نطاق سيطرتك، يُفترض بك أن تعرف من يستقبله ولماذا. وإن سلّمت بيانات شخصية إلى خدمة خارجية تعالجها نيابة عنك، فتلك الخدمة معالِج، ويُفترض أن يكون هناك عقد يغطي ما يمكنها فعله بها.

كن مستعدًا لتفسير تصرفاتك. إن حدث خطأ ما، فعليك أن تُظهر أنك اتخذت خطوات معقولة. وعبارة “رفعته إلى موقع مجاني وجدته في نتائج البحث” ليست خطوة سترغب في الدفاع عنها.

إلى أين يذهب الملف جزء من العمل

إليك الثغرة التي توقع الأشخاص الجيدين. يفكر موظفو الموارد البشرية مليًا في من يستطيع فتح المجلد المشترك، ثم يدمجون كشفي راتب على أول موقع PDF يجدونه. التحكم الدقيق في الوصول إلى المجلد لا يعني شيئًا إذا رُفع الملف إلى مكان آخر بعد ثلاثين ثانية.

تعمل معظم أدوات PDF على الإنترنت بإرسال ملفك إلى خادمها، وتنفيذ العملية هناك، وإرسال النتيجة. يهبط الملف على جهاز لا تملكه، تديره شركة لم تفحصها قط، في موقع لا تستطيع تسميته. ربما يحذفونه في موعده. وربما تحتفظ نسخة احتياطية بنسخة. وربما يعمل كل ذلك على بنية تحتية مستأجَرة تمرّر ملفك عبر تخزين لن تسمع به أبدًا. لا يمكنك التحقق، ولا يمكن ذلك للشخص الذي أرسلت للتوّ إجازته المرضية عبر الإنترنت.

بالنسبة لإجازة مرضية أو شهادة بنكية، تلك النسخة المرفوعة هي نقطة الضعف. الملف الذي لا يغادر حاسوب الموارد البشرية المحمول لا يمكن أن يتعرّض في اختراق يقع على خادم شخص آخر.

القيام بالعمل على جهازك الخاص

هناك نوع من أدوات PDF لا يرفع أي شيء أبدًا. تجري العملية بأكملها داخل المتصفح، على الحاسوب نفسه الذي تستخدمه بالفعل. تُحمّل الشيفرة مرة واحدة، ويُفتح ملف PDF في ذاكرة المتصفح، تنجز العمل، ويُحفظ الملف الجاهز مباشرة إلى جهازك. لا يُرسل شيء إلى الخارج، لأنه لا توجد خطوة خادم لإرساله إليها.

هكذا تعمل reader.me، ولهذا تناسب مستندات الموارد البشرية. ادمج مجموعة من كشوف الرواتب، واستخرج بضع صفحات من عقد، وصغّر ملفًا ممسوحًا ليناسب بريدًا إلكترونيًا، كل ذلك يحدث على حاسوبك. أغلق التبويب وتذهب الذاكرة العاملة معه.

ليس عليك أن تثق بكلامي في ذلك. افتح أدوات المطوّر في المتصفح، وانتقل إلى تبويب Network، ونفّذ عملية، وانظر. لا يحمل أي طلب ملفك إلى الخارج. وإن لم يكن الملف في جسم أي طلب، فهو لم يُرسل إلى أي مكان. هذا هو نوع التحقق الذي تحبّه المادة 32، لأنك تستطيع فعلًا إثباته.

أمران يستحقان القيام بهما اليوم

احمِ الملفات التي تغادر المبنى. عندما ترسل كشف راتب أو عقدًا بالبريد الإلكتروني، فإن البريد نفسه نادرًا ما يكون آمنًا من طرف إلى طرف. ضع كلمة مرور على ملف PDF أولًا، حتى يصبح المستند عديم الفائدة لأي شخص يعترضه أو يصل إلى المستلم الخطأ. يمكنك فعل ذلك على جهازك الخاص باستخدام حماية PDF، دون أي رفع، وشارك كلمة المرور عبر قناة منفصلة كمكالمة هاتفية.

وقّع دون طباعة وإعادة مسح. تحتاج العقود والموافقات إلى توقيع، والروتين القديم المتمثل في الطباعة والتوقيع والمسح ورمي الورقة يترك نسخًا متناثرة في كل مكان. إضافة التوقيع إلى ملف PDF مباشرة تحفظ ملفًا واحدًا نظيفًا وتتجاوز أثر الورق. تنجز أداة توقيع PDF ذلك داخل المتصفح، فلا يغادر العقد حاسوبك ليُوقَّع.

عمل PDF اليومي في الموارد البشرية يبدو مملًا، وهذا هو الفخ. دمج ملفين أو توقيع عقد يستغرق ثوانٍ، وتلك الثواني هي حيث تبقى البيانات الحساسة في مكانها أو تغادر بهدوء. إن أردت النسخة الأطول عن كيفية تطوّر هذا عندما تمرّ المستندات عبر مكتب رواتب أو محاسب، فإن هذه المقالة عن كشوف الرواتب والخصوصية تغطيه. أبقِ العمل على الجهاز ويصبح جانب GDPR أبسط بكثير.