ملف الموظف وقانون KVKK في تركيا: من يحق له الاطلاع، وكيف تحمي رقم الهوية T.C. وIBAN؟

مسؤول فريق يطلب IBAN أحد العاملين عبر WhatsApp لتحويل سلفة. ومدير آخر يسأل: «هل يمكنني الاطلاع على ملفات فريقي؟» وعامل يتساءل: «ما الذي يوجد في ملفي، ومن اطلع عليه؟» الأسئلة الثلاثة تقود إلى المكان نفسه: ملف الموظف ليس مجرد مجلد أوراق، بل نظام تسجيل يحتوي على بيانات شخصية، وقواعده مكتوبة في KVKK، وهو قانون حماية البيانات الشخصية في تركيا. يشرح هذا المقال القانون التركي، ويتناول خطوة بخطوة البيانات الموجودة في ملف الموظف، ومتى لا تلزم الموافقة، ومن يحق له الوصول إلى ماذا، وكيف تُحمى الحقول الحساسة.

التزام KVKK في ملف الموظف هو أن يعالج صاحب العمل بيانات العامل، مثل الهوية والاتصال والأجر والصحة، معالجةً مشروعة، وأن يُعلِم العامل، وأن يمنع الوصول غير المصرح به إلى البيانات (القانون التركي رقم 6698، المواد 4 و10 و12).

ما البيانات الشخصية الموجودة في ملف الموظف؟

موافقة KVKK على ملف الموظف: هل تلزم الموافقة الصريحة؟

نقطة انطلاق القانون هي: لا يجوز معالجة البيانات الشخصية دون الموافقة الصريحة لصاحبها. لكن المادة نفسها تسمح بالمعالجة دون موافقة صريحة إذا توفر أحد الشروط. وأبرزها في علاقة العمل ما يلي (المادة 5):

• أن ينص عليها القانون صراحة.
• أن تكون معالجة بيانات أطراف العقد ضرورية، بشرط أن تتصل مباشرة بإبرام العقد أو تنفيذه.
• أن تكون ضرورية ليتمكن المسؤول عن البيانات من الوفاء بالتزامه القانوني.
• أن تكون ضرورية لإنشاء حق أو ممارسته أو حمايته.
• أن تكون ضرورية للمصالح المشروعة للمسؤول عن البيانات، بشرط ألا تضر بالحقوق والحريات الأساسية لصاحب البيانات.

لذلك، بدلًا من توقيع «موافقة KVKK» عامة على كل وثيقة، الأسلم أن تحدد الشرط الذي تستند إليه كل مجموعة بيانات. وقاعدة البيانات ذات الطبيعة الخاصة أشد: معالجتها محظورة، ولا تجوز إلا عند توفر أحد الشروط المعدودة، ومنها أن تكون ضرورية للوفاء بالتزامات قانونية في مجالات التوظيف والصحة والسلامة المهنية والضمان الاجتماعي، مع وجوب اتخاذ التدابير الكافية التي يحددها مجلس حماية البيانات الشخصية (المادة 6).

حتى إذا لم تلزم الموافقة، فالإشعار لازم دائمًا. عند الحصول على البيانات يُعلِم صاحب العمل العامل بما يلي (المادة 10):

• هوية المسؤول عن البيانات وممثله إن وُجد.
• الغرض من معالجة البيانات.
• الجهات التي قد تُنقل إليها البيانات والغرض من ذلك.
• طريقة جمع البيانات وسببها القانوني.
• حقوق العامل المذكورة في المادة 11.

من يحق له الاطلاع على ملف الموظف؟

لا يقدم القانون قائمة بمن يحق لهم الوصول؛ بل يشترط مبدئيًا أن تكون البيانات مرتبطة بغرض المعالجة ومحدودة ومتناسبة (المادة 4)، وأن يُمنع الوصول غير المصرح به (المادة 12). كما يشترط قانون العمل التركي رقم 4857 أن يستخدم صاحب العمل المعلومات التي يحصل عليها عن العامل وفق قواعد حسن النية والقانون، وألا يكشف المعلومات التي للعامل مصلحة مشروعة في بقائها سرية (المادة 75). وواجب الكتمان على كل من يصل إلى البيانات يستمر حتى بعد ترك الوظيفة (KVKK، المادة 12).

الجدول التالي ليس قاعدة من القانون، بل اقتراح توضيحي لتوزيع الوصول يستند إلى مبدأ التناسب. عدّله بما يناسب مؤسستك.

كيف يُحمى رقم الهوية T.C. وIBAN الخاصان بالعامل؟

لا يرد رقم الهوية T.C. وIBAN في قائمة البيانات ذات الطبيعة الخاصة في المادة 6 من KVKK؛ لكنهما بيانات شخصية، والمسؤول عن البيانات ملزم باتخاذ التدابير الفنية والإدارية اللازمة لمنع معالجتهما بشكل غير مشروع والوصول غير المصرح به إليهما وفقدانهما (المادة 12). ويفرض القانون غرامة إدارية على من لا يفي بالتزامات أمن البيانات (المادة 18)؛ ولأن المبالغ تُحدَّث، تحقق من الرقم الحالي في إعلانات هيئة حماية البيانات الشخصية.

• أخفِ رقم الهوية T.C. وIBAN جزئيًا على الشاشة وفي القوائم، واعرض القيمة الكاملة فقط حيث تلزم.
• اربط الوصول بالدور، وسجّل كل وصول إلى الوثائق.
• امنع طلب رقم الهوية T.C. وIBAN عبر WhatsApp أو البريد الإلكتروني، وحدّد قناة آمنة.
• لا تكتب رقم الهوية T.C. في أسماء الملفات.
• راجع بانتظام لمن تظهر هذه الحقول في المجلدات المشتركة والمطبوعات.
• عيّن مسؤولًا يُبلغ صاحب البيانات والمجلس في أقرب وقت إذا وقعت البيانات في أيدي الغير بطريقة غير مشروعة (المادة 12).

ماذا لو طلب العامل معرفة بياناته أو حذفها؟

وفق المادة 11 من KVKK، يحق لكل شخص أن يتقدم إلى المسؤول عن البيانات ليعرف هل تُعالَج بياناته الشخصية، وإن كانت تُعالَج فله أن يعرف المعلومات المتعلقة بذلك وغرض المعالجة والأطراف الثالثة التي نُقلت إليها، وأن يطلب تصحيح البيانات الناقصة أو الخاطئة. وفي طلب الحذف أو الإتلاف، إذا زالت جميع شروط المعالجة، يبت المسؤول في الطلب خلال ثلاثين يومًا على الأكثر ويُعلم صاحب البيانات؛ وإذا لم تزل الشروط فيجوز له الرفض مع بيان السبب (لائحة الحذف، المادة 12). وبالنسبة إلى وثائق الملف التي لا تزال مدة حفظها القانونية سارية، يكون سبب الرفض هو هذه المدة.

قائمة تحقق KVKK لملف الموظف

1. اذكر في جرد مكتوب مجموعات البيانات التي تحتفظ بها في ملفات الموظفين.
2. حدّد الأساس القانوني لكل مجموعة بيانات: القانون، أو العقد، أو الالتزام القانوني، أو المصلحة المشروعة، أو الموافقة الصريحة.
3. سلّم العاملين نص الإشعار عند التعيين وسجّل أنه سُلّم.
4. اربط البيانات ذات الطبيعة الخاصة (الصحة، السوابق العدلية، عضوية النقابة) بمجموعة صلاحيات منفصلة وأضيق.
5. أعدّ مصفوفة وصول حسب الأدوار وراجعها مرة واحدة على الأقل سنويًا.
6. حدّد قاعدة للإخفاء الجزئي وقنوات النقل لحقول مثل رقم الهوية T.C. وIBAN.
7. بيّن مدد الحفظ والإتلاف في سياسة مكتوبة.
8. اكتب من يُبلغ من، وخلال أي مدة، عند حدوث خرق للبيانات.

أين يترك الملف الورقي والمجلد المشترك بيانات الموظف مكشوفة؟

حتى الخزانة المقفلة مفتوحة لكل من يملك المفتاح، ولا يُعرف من اطلع عليها ومتى. أما في المجلد المشترك فقد يوجد التقرير الطبي وكشف الراتب وإقرار IBAN في المجلد نفسه، فيرى كل من يفتحه ذلك كله. المشكلة ليست في العاملين حسني النية، بل في تعذّر تدريج الوصول: من لا يحتاج البيانات يراها أيضًا، وعند حدوث تسريب يصبح من المستحيل معرفة من وصل إليها.

النطاق حسب الدور والإخفاء الجزئي وسجل الوصول في ملف الموظف الرقمي

في YazSis KurumsalPortal، ضمن وحدة ملف الموظف الرقمي وإدارة الموارد البشرية، يخضع الوصول إلى ملف الموظف للصلاحيات: الموارد البشرية والمديرون المخولون والعاملون يرون فقط النطاق المحدد لأدوارهم. وتُخفى جزئيًا الحقول الحساسة مثل رقم الهوية T.C. وIBAN. وتُحفظ عمليات الوصول إلى الوثائق في سجل الوصول إلى الوثائق، كما يتضمن النظام سجل تدقيق. لتفاصيل تعريف الصلاحيات راجع صفحة وحدة إدارة القوائم والصلاحيات.

تساعدك هذه الضوابط على بناء عملية تراعي KVKK. لكن البوابة وحدها لا تحل محل التزاماتك القانونية: إعداد نص الإشعار، وتحديد الأساس القانوني لكل مجموعة بيانات، وكتابة سياسة الحفظ تبقى مسؤولية المنشأة. يعمل النظام على خادم العميل نفسه، ويصل إليه العاملون من متصفح الهاتف دون تثبيت تطبيق.

إذا أردت رؤية الوصول حسب الدور والإخفاء الجزئي وسجل الوصول على ملف موظف، فراجع صفحة ملف الموظف الرقمي وإدارة الموارد البشرية.