الاحتفاظ ببيانات الموارد البشرية دون أرقام ثابتة

الاحتفاظ ببيانات الموارد البشرية هو انضباط تحديد المدة التي ينبغي أن يوجد فيها كل نوع من سجلات الموظفين، ثم جعل النظام ينفذ ذلك فعلًا. وهو صعب لسبب لا علاقة له بالتقنية: الجواب مختلف في كل ولاية قضائية ولكل فئة من السجلات، ولا يوجد رقم واحد يمكن أن يكون صحيحًا في كل مكان.

يعرض هذا الدليل لماذا لا توجد مدة عالمية، وكيف تنقسم سجلات الموظفين إلى مجموعات بساعات مختلفة، وأي المبادئ تحكم القرار، وما يجب أن يغطيه الحذف ليعني شيئًا.

لماذا لا توجد مدة احتفاظ واحدة؟

لأن المدة يحددها من يملك سلطة على السجل، وهذا يتفاوت بحسب الولاية القضائية، وبحسب نوع السجل داخل الولاية الواحدة كثيرًا.

فبعض المدد موجودة لأن مطالبة يمكن أن تُقام خلالها، وتُضبط المدة بحيث تنجو الأدلة من المطالبة. وبعضها موجود لأن جهة تنظيمية تشترط السجل للتفتيش. وبعضها موجود لخدمة الشخص الذي يتعلق به السجل، بحيث يستطيع الحصول على شهادة خبرة أو إثبات فترة عمل بعد سنوات. وبعضها موجود فقط لأن النظام لم يُطلب منه قط التوقف عن الاحتفاظ بها، وهذا ليس قاعدة بل غياب قاعدة.

والنتيجة العملية أن من يصمم الاحتفاظ ينبغي أن يعامل المدة كإعداد يوفره مشغّل النظام لولايته، لا كثابت يختاره المطوّر. فالمدة المكتوبة في الكود خاطئة في معظم الأماكن التي ستعمل فيها، وهي خاطئة بصمت، لأن لا شيء في النظام يفحص إن كان الرقم لا يزال ينطبق. وحيث تكون المدة قابلة للإعداد، يستطيع المشغّل أن يجيب عنها؛ وحيث تكون مغروسة في الكود، لا يستطيع أحد.

كيف تنقسم سجلات الموظفين حسب الغرض؟

بحسب ما وُجد السجل من أجله، لأن ذلك هو ما يحدد ساعته. وأربع مجموعات تغطي معظم ما يحتفظ به نظام توظيف.

والمجموعتان الأخيرتان تسببان أكبر قدر من المتاعب، وللسبب نفسه: تُنشأ في منتصف عملية، من أشخاص لا يفكرون في نظام سجلات، وتعيش غالبًا خارج النظام الذي يدير كل شيء آخر. فالملاحظات المدوَّنة في اجتماع، والرسائل بين من يقابلون، والجدول الذي يُقارَن به المرشحون، كلها سجلات موظفين. وسياسة احتفاظ تغطي نظام تتبع المتقدمين وحده إنما تغطي جزءًا من الصورة.

ومعاملة المجموعات الأربع كسجل واحد بتاريخ انتهاء واحد هي خطأ التصميم الأكثر شيوعًا. وهي تنتج أسوأ النتيجتين: مواد مرشحين تُحفظ أطول بكثير مما يقتضيه القرار، وسجلات عمل تنتهي أبكر مما تسمح به التزامات المشغّل نفسه.

أي المبادئ ينبغي أن تحكم القرار؟

ستة، وهي المبادئ العادية للمعلومات الشخصية مطبقة على سياق توظيف.

1. تحديد الغرض — اجمع السجل لغرض معلن ولا تعِد استخدامه لاحقًا لمجرد أنه موجود.
2. التقليل — احتفظ بما يقتضيه الغرض ولا شيء مما قد يكون مفيدًا فقط.
3. الدقة — أبقِ السجل صحيحًا، وامنح الشخص طريقًا لتصحيحه.
4. تحديد مدة الحفظ — عرّف مدة بقاء كل سجل، وأنفذها بدل افتراضها.
5. السلامة والسرية — قلّل من يستطيع الوصول إلى السجل، واعرف من وصل.
6. المساءلة — كن قادرًا على إظهار أن الخمسة الأولى تحدث فعلًا.

واثنان من هذه يُعلنان كثيرًا ويُنفذان قليلًا. فمبدأ تحديد مدة الحفظ يوجد عادة كسياسة مكتوبة بلا آلية خلفها، فتتجاوز السجلات مدتها ولا يعلم أحد. والمساءلة تعني عادة مستندًا لا ممارسة، فلا سبيل للإجابة عن سؤال عمّا حُذف ومتى.

ويستحق مبدأ التقليل تحذيرًا خاصًا في سياق التوظيف، لأن الإغراء يمضي في الاتجاه المعاكس. فالمعلومة الإضافية تبدو غير ضارة وقت الجمع وهي بالضبط المادة التي تخلق التعرّض لاحقًا. والحقل الذي لا تحتاجه القرار ليس إضافة محايدة؛ إنه مسؤولية موصولة بساعة احتفاظ.

ماذا يجب أن يغطي الحذف؟

كل ما لمسه السجل، وهو لا يكاد يكون جدولًا واحدًا أبدًا.

فحياة السجل تترك آثارًا في المواضع التي مر بها، وكل موضع من هذه يحتاج قاعدة. التخزين الحيّ، والنسخ الاحتياطية والأرشيفات، والتصديرات المُنتجة للتقارير، ومدخلات السجل التي تحتوي قيم حقول، وفهارس البحث المبنية من السجل، والنسخ المخزَّنة مؤقتًا التي تحتفظ بها أي تكامل، وأي نسخة نزّلها شخص إلى جهاز محلي. وحذف الصف والتوقف عنده خطأ شائع وجسيم في العدّ.

وثلاثة تمييزات تجعل التصميم قابلًا للتعامل. افصل الحذف عن إخفاء الهوية، وكن صريحًا في أيّهما يجري—فإزالة الصلة بشخص ليست إزالة للسجل، وسجل مُخفى الهوية يمكن إعادة ربطه لم تُخفَ هويته أصلًا. وافصل الانتهاء التلقائي عن الحذف المطلوب بناءً على طلب، لأن أحدهما يجري على جدول والآخر يصل في لحظة عشوائية وعليه أن ينتشر في المواضع نفسها. وافصل السجل عن الدليل على أن الحذف جرى، وهو دليل يحتاج عادة إلى النجاة من الحذف نفسه.

والنسخ الاحتياطية هي الجزء الذي يقاوم كل هذا، لأن الآلية العادية لاستعادة أحدث حالة هي الآلية نفسها التي تحفظ السجل المحذوف. والموقف المتفق عليه عادة أن النسخ الاحتياطية مستثناة من الحذف الفوري لكنها مشمولة بانتهاء يصل إليها في النهاية، وأن النسخة المستعادة تعيد تطبيق ما جرى من حذف بعد أخذها. وأي موقف يُتخذ ينبغي أن يكون قرارًا مكتوبًا لا إسقاطًا لم يلاحظه أحد.

للمطورين: الاحتفاظ كإعداد والحذف النهائي

عامل المدة كبيانات. أعطِ كل فئة سجلات مدتها المُعدَّة، يوفرها مشغّل النظام، ودع النظام ينفذ ما يُقال له بدل أن يحمل رأيًا.

وخمس عادات تصنع الفرق. اوسم كل سجل بالفئة التي تحدد ساعته، بحيث يستطيع الحذف النهائي إيجاد السجلات بقاعدة لا بقائمة تُصان يدويًا. وأرفق الساعة بالفئة لا بالجدول، لأن الجدول نفسه يحمل سجلات من عدة أنواع. وسجّل عملية الحذف نفسها—متى جرت، وما طابقته، وما حذفته—واحفظ ذلك السجل حيث لا يستطيع الحذف إزالته. واجعل الحقول التي تجمعها هي التي يحتاجها غرضك الموثق، بحيث يكون التقليل خاصية في المخطط لا وعدًا. وأعطِ كل بيئة تحمل بيانات موظفين، بما فيها بيئات الاختبار والعرض، النظام نفسه، لأن نسخة في بيئة اختبار نسخة.

وهذه النقطة الأخيرة هي التي ينبغي التصرف عليها أولًا. فبيانات الموظفين ينبغي ألا تُستخدم لتعبئة بيئات الاختبار على الإطلاق. والسجلات النموذجية ينبغي أن تُبنى لهذا الغرض، وحيث تكون نسخة من بيانات حقيقية لا مفر منها لتحقيق محدد، ينبغي أن تُدار كما لو كانت بيانات إنتاج. وكل ما في هذا الموقع مُنشأ للاختبار والعرض، وسجلات الموظفين التي ينتجها مصممة لتحل محل السجلات الحقيقية في تلك البيئات بالضبط، لا لتُضاف إليها أبدًا. والقواعد المتعلقة بالاحتفاظ تنتمي إلى النظام نفسه الذي يحكم أي معالجة أخرى، وفي الأسواق التي يطبَّق فيها GDPR تصبح هذه القواعد أكثر تحديدًا لا أكثر مرونة.

الخطوات التالية

اعرف إن كانت أنظمتك تستطيع الإجابة عن سؤال واحد: أي سجلات مرشحين من عامين لم يعد لها غرض، وما الذي لا يزال يحتفظ بها. والجواب عادة قائمة مواضع لم يفكر فيها أحد، وهي نقطة بداية أفضل من مستند سياسة. وكيف يُجمَّع سجل مهني مُنشأ في المقام الأول يتناوله دليل بيانات اختبار السجل المهني، وأحد أكثر الحقول حساسية في مثل هذا السجل مُعالَج على حدة في الراتب والعملة والفترة. وأداة السجل المهني تُنتج سجلات مقصودة للاختبار والعرض لا للإنتاج.