حماية البيانات الشخصية للموظفين (KVKK)

1) مقدمة: التوازن بين حقوق الحوكمة والخصوصية

يستند حق صاحب العمل في الإدارة إلى أهداف مشروعة، كالحفاظ على النظام في مكان العمل، وضمان الصحة والسلامة المهنية، وتعزيز استمرارية وكفاءة عمليات العمل. في المقابل، تُحمي قوانين العمل وحماية البيانات الحقوق الشخصية للموظف. ونظرًا لمكانة صاحب العمل في علاقات العمل، فإن ضمان أن تكون أدوات المراقبة قابلة للتنبؤ ، ومتناسبة ، وشفافة ، يُشكل أساس الامتثال للتشريعات. لذا، من الضروري إجراء تحليل منفصل للوسائل والغايات والتناسب لكل تقنية مراقبة؛ وربط أنشطة معالجة البيانات بأغراض محددة ومشروعة ؛ ومعالجة وتخزين فئات البيانات الضرورية فقط .

---

2) الإطار المفاهيمي: البيانات الشخصية، بيانات الفئات الخاصة، الأساس القانوني

البيانات الشخصية هي أي معلومات تتعلق بشخص طبيعي محدد أو قابل للتحديد. ويشمل ذلك الصور الملتقطة بكاميرات أماكن العمل، وإحداثيات الموقع ومعلومات السرعة التي تولدها أنظمة تتبع المركبات، ومحتويات حسابات البريد الإلكتروني للشركات، وبيانات المرور/البيانات الوصفية. تخضع فئات البيانات الخاصة (مثل البيانات البيومترية كبصمة الوجه وبصمات الأصابع ، والمعلومات الصحية والنقابية) لحماية صارمة، ولا يجوز معالجتها إلا في ظروف محددة. يشترط وجود أساس قانوني لكل عملية معالجة بيانات، كإبرام/تنفيذ عقد، أو مصلحة مشروعة، أو التزام قانوني، أو موافقة صريحة، وما إلى ذلك. ونظرًا لأن مسألة ما إذا كانت الموافقة تشكل إرادة حرة محل نقاش في علاقات العمل، فإن أسسًا كالمصلحة المشروعة أو تنفيذ عقد تُعدّ في معظم الحالات أكثر موثوقية؛ ومع ذلك، في حالات المصلحة المشروعة، يجب إجراء موازنة ، وتحليل ما إذا كانت حقوق الموظف وحرياته الأساسية تفوق بعضها بعضًا كتابيًا.

---

3) التسجيل بالكاميرا في مكان العمل

3.1 الغرض والأساس القانوني

تُستخدم كاميرات المراقبة عادةً لأغراضٍ مثل سلامة مكان العمل ، ومراقبة إجراءات الصحة والسلامة المهنية ، وحماية الممتلكات ، وجمع الأدلة بعد وقوع حادث ، وتنظيم حركة الزوار . في هذه الحالات ، يُمكن أن يُشكّل المصلحة المشروعة أساسًا قانونيًا قويًا. مع ذلك، عندما يكون الهدف هو السلامة، فإن استخدام الكاميرات لقياس الأداء بشكلٍ مستمر يُخلّ بمبدأ التناسب ويُعرّض العامل لضغط مراقبة مفرط ومستمر . إذا كان تقييم الأداء ضروريًا، فينبغي إعطاء الأولوية للبدائل التي تتطلب تدخلًا أقل (مثل بيانات الإنتاج، وعمليات مراقبة الجودة).

3.2 الإضاءة والشفافية والإعلانات في مكان العمل

قبل بدء المراقبة بالكاميرات، يجب تزويد الموظفين بإشعار معلوماتي ؛ يجب أن يوضح هذا الإشعار بوضوح جهة التحكم بالبيانات/الشخص المسؤول عن التواصل، والأغراض، والأساس القانوني، وفئات البيانات التي يتم جمعها (الصور، والصوت إن وجد)، وفترات الاحتفاظ بها، والفئات المستفيدة، والحقوق، وإجراءات التقديم. لافتات مرئية (رسوم توضيحية ومعلومات موجزة) عند مداخل مناطق الكاميرات؛ ويجب توفير الوصول إلى الإشعار المفصل عبر رمز الاستجابة السريعة (QR code). يُسهّل الاحتفاظ بسجل في ملف الموظف الشخصي يُؤكد استلام الإشعار المعلوماتي تقديم الإثبات عند الطلب.

3.3 تحديد الموقع، مجال الرؤية، وقيود المنطقة الخاصة

ينبغي وضع الكاميرات لمراقبة المناطق المتعلقة بالعمل ؛ ولا ينبغي وضعها في المناطق التي تتطلب أعلى مستوى من الخصوصية، مثل دورات المياه وغرف تغيير الملابس والاستحمام وغرف الرضاعة . ويُفضّل تجنّب وضع الكاميرات في أماكن مثل غرف الرضاعة إلا في حالات الضرورة القصوى؛ وفي حال الضرورة، يجب استخدام أضيق مجال رؤية ممكن، مع توضيح هذا المبرر في تقرير التناسب .

3.4 تسجيل الصوت – التعرف البيومتري – تحليل الذكاء الاصطناعي

يزيد تسجيل الصوت بالتزامن مع الفيديو من احتمالية التداخل؛ وفي معظم الحالات، يمكن تحقيق الأهداف الأمنية دون تسجيل الصوت . لذا، ينبغي أن يكون تسجيل الصوت استثنائيًا ومدعومًا بمبررات واضحة وقوية. أما الحلول البيومترية، مثل تقنية التعرف على الوجوه ، فتخضع لأنظمة بيانات خاصة ؛ إذ تتطلب إجراءات فنية وإدارية صارمة، وموافقة صريحة ومنفصلة ، ​​وتقييمًا للأثر . وفي حال استخدام تحليل سلوكي قائم على الذكاء الاصطناعي (مثل تحليل كثافة الحشود) على الكاميرات ، يجب توضيح الغرض من هذه المعالجة الإضافية، وأساسها القانوني، وممارسات إخفاء الهوية بشكل دقيق.

3.5 فترة التخزين، الوصول والتخلص

ينبغي تحديد مدة الاحتفاظ بالسجلات بناءً على المخاطر والاحتياجات المحددة (مثلاً، فترة تتراوح بين 15 و60 يومًا، وفقًا لسياسة الشركة)، ويجب أن تتم عملية الإتلاف/إخفاء الهوية تلقائيًا عند انتهاء المدة. يجب تقييد الوصول إلى عدد محدود من الموظفين لأغراض تشغيلية ؛ ويجب الاحتفاظ بسجلات الوصول؛ كما يجب تطبيق التشفير والتخزين المنفصل ومصفوفات التخويل. في حال تطلب الأمر مشاركة السجلات مع جهات خارجية لأغراض التحقيق في الحوادث، يجب تطبيق تقنيات تقليل البيانات ، مثل الإخفاء/التمويه، على النسخة المشتركة

---

4) أنظمة تحديد المواقع العالمية (GPS) / أنظمة تتبع المركبات

4.1 قيود تتبع مواقع الأعمال

يُستخدم نظام تحديد المواقع العالمي (GPS) في إدارة المركبات والعاملين الميدانيين لأغراضٍ مثل تحسين المسارات ، وأمن الخدمات اللوجستية ، ومنع السرقة ، وإدارة الوقود والوقت . والنقطة الأساسية هنا هي عدم تتبع موقع الموظف في أوقاتٍ أو مناطق لا علاقة لها بالعمل . وإذا استخدم الموظف المركبة خارج ساعات العمل، فيجب توفير آلية لإيقاف التتبع تلقائيًا في نهاية يوم العمل أو لتمكين الموظف من تعطيله . إن الأنظمة التي تنتهك خصوصية الموظف وتُظهر مراقبةً على مدار الساعة تُخلّ بالتوازن بين المصالح المشروعة.

4.2 الإضاءة، فئات البيانات والتردد

يجب توضيح البيانات التي تتم معالجتها في نظام الإضاءة (خطوط الطول والعرض، السرعة، فترات التوقف، الطابع الزمني)، وتواتر التسجيل (مثلاً، كل 30 ثانية)، ومدة التخزين، وعمليات المشاركة والحذف. يجب تجنب جمع البيانات غير الضرورية ؛ على سبيل المثال، لا ينبغي تسجيل بيانات السرعة إذا لم تكن ضرورية للعمل. مع الأجهزة ذات دقة تحديد المواقع العالية، يمكن تقليل البيانات عن طريق ضبط خاصية تحديد المواقع الجغرافية لتتبع المسارات ضمن نطاق العمل فقط

4.3 أذونات الوصول والتقارير

ينبغي حصر الوصول إلى بيانات الموقع على وحدة العمليات والأمن ؛ ويجب تقديم التقارير إلى الإدارة العليا بصيغة مجهولة المصدر/مجمعة . ولا ينبغي مشاركة التقارير الفردية المفصلة بانتظام وعلى نطاق واسع؛ بل يجب إعدادها فقط عند الضرورة وبمبررات موثقة .

---

5) مراقبة البريد الإلكتروني وتتبع الاتصالات

5.1 البريد الإلكتروني للشركات، وسرية الاتصالات، والتوازن مع اللائحة العامة لحماية البيانات (GDPR)

يُعدّ حساب البريد الإلكتروني الخاص بالشركة أداة عمل مملوكة لصاحب العمل ، ويحقّ له مراقبة استخدامه لأغراض العمل . مع ذلك، لا يجوز لهذه المراقبة أن تُخلّ بسرية الاتصالات. وبدلاً من المسح المستمر والعام للمحتوى ، يُفضّل استخدام أساليب تدريجية وموجّهة ، مثل استخبارات التهديدات/ فلاتر البرامج الضارة، والفحوصات الآلية على مستوى البيانات الوصفية ، ومؤشرات المخاطر الرئيسية (مثل عمليات تصدير كميات كبيرة من البيانات) . ويُعتبر الوصول إلى المحتوى استثناءً؛ ففي حالات المخاوف الأمنية الجدية، يُمنح الوصول عبر عملية مصادقة ثنائية تتضمن الحصول على إذن وتسجيل .

5.2 الإضاءة، وسياسة الاستخدام، ومسائل الموافقة

ينبغي إبلاغ الموظفين بسياسة استخدام البريد الإلكتروني وأدوات التواصل عند بدء عملهم؛ ويجب أن تحدد هذه السياسة بوضوح الظروف التي يُسمح فيها بالمراقبة، ومن يقوم بها، وبأي طريقة. إن الاعتماد على الموافقة الصريحة فقط أمرٌ محفوف بالمخاطر نظرًا لاختلال موازين القوى في علاقة العمل ؛ لذا يُفضّل الاعتماد على أساس أكثر اتساقًا يتمثل في المصلحة المشروعة والالتزامات التعاقدية . مع ذلك، في حال استخدام أنظمة مراقبة متخصصة (مثل المسح التفصيلي لمحتوى جهاز شخصي)، فقد يلزم الحصول على موافقة منفصلة وطوعية

5.3 التخزين والحذف وحجم الأدلة

ينبغي وضع سياسة أرشفة وحذف تلقائية لحسابات البريد الإلكتروني (مثلاً، ١٢/٢٤/٣٦ شهرًا)؛ وفي حال وجود نزاع قانوني، يُطبَّق إجراء الحفظ القانوني لتعليق حذف المجلدات ذات الصلة مؤقتًا. يجب الحفاظ على سلامة وتسلسل السجلات المستخدمة كأدلة ؛ وينبغي تعزيز قيمتها الإثباتية باستخدام قيم التجزئة عند الضرورة

---

6) مقارنة بين KVKK و GDPR (النقاط الحرجة)

6.1 المبادئ والأساس القانوني

يتبنى كلا النظامين مبادئ الشفافية ، وتحديد الغرض ، وتقليل البيانات ، والدقة ، وقيود الاحتفاظ ، والأمان . غالبًا ما لا يعتبر نظام حماية البيانات العامة (GDPR) الموافقة مناسبة في العلاقات التجارية؛ عمليًا، تُعطى الأولوية للمصلحة المشروعة وأداء العقد . كما تُشكل المصلحة المشروعة أساسًا قويًا في قانون حماية البيانات الشخصية التركي (KVKK)؛ ومع ذلك، فإن توضيح معيار الموازنة أمر بالغ الأهمية.

6.2 تقييم الأثر ومسؤول حماية البيانات

يفرض النظام الأوروبي العام لحماية البيانات ( GDPR ) إجراء تقييم لأثر حماية البيانات (DPIA) للعمليات عالية المخاطر . ويشمل هذا التقييم في الغالب تتبع المواقع، والمراقبة المنهجية، ومعالجة البيانات البيومترية. لا ينص قانون حماية البيانات التركي (KVKK) صراحةً على متطلبات محددة لتقييم أثر حماية البيانات؛ ومع ذلك، فإن النهج القائم على المخاطر ومنطق التدابير الفنية والإدارية يستلزمان فعليًا إجراء تقييم مماثل. وقد تم إنشاء منصب مسؤول حماية البيانات (DPO) بموجب النظام الأوروبي العام لحماية البيانات ؛ ولا يوجد التزام مباشر بتعيين مسؤول حماية البيانات في قانون حماية البيانات التركي؛ وفي الواقع، يتولى مسؤول/لجنة الامتثال نفس المهمة .

6.3 التحويل إلى الخارج والضمانات التعاقدية

يستخدم نظام حماية البيانات العامة (GDPR) أدوات مثل "قرارات التأهيل" و"القواعد المؤسسية الملزمة" و"البنود التعاقدية النموذجية". كما يتضمن قانون حماية البيانات الشخصية التركي (KVKK) آليات منفصلة للحصول على التراخيص والضمانات ، بالإضافة إلى إجراءات الالتزام المتعلقة بنقل البيانات إلى الخارج . عمليًا، ينبغي إنشاء خريطة لموقع البيانات الخاصة بالبريد الإلكتروني/التخزين السحابي ، وتوثيق الأساس القانوني للنقل.

6.4 إرشادات خاصة بالحياة العملية

في تطبيق اللائحة العامة لحماية البيانات (GDPR)، تُعتبر بيانات الموظفين فئة عالية المخاطر؛ وقد أسفرت التوجيهات المحلية (التوازن بين العمل والحياة، ومراقبة البريد الإلكتروني والإنترنت، وكاميرات المراقبة) عن سوابق قضائية مفصلة في سياق الحياة العملية. وفي تطبيق قانون حماية البيانات الشخصية (KVKK)، تُعتبر قرارات مجلس الإدارة وإعلاناته بمثابة معايير مرجعية؛ حيث تم وضع معايير أكثر وضوحًا فيما يتعلق بوضع الكاميرات، وتسجيل الصوت، وقيود الخصوصية، وممارسات التخزين والإتلاف والإفصاح.

---

7) المعايير القضائية واستخدام الأدلة في النزاعات

تنظر المحاكم في محورين متزامنين عند تقييم القيمة الإثباتية لتسجيلات الكاميرات، وتقارير نظام تحديد المواقع العالمي (GPS)، أو مطبوعات البريد الإلكتروني المقدمة من صاحب العمل: (أ) ما إذا تم الحصول عليها وفقًا للإجراءات القانونية (الإفصاح، والتناسب، وسلسلة الوصول)، و(ب) مدى صلتها بالنزاع العمالي . قد تخضع التسجيلات التي تم الحصول عليها بطريقة غير مشروعة لقيود إثباتية أو قد تكون قيمتها الإثباتية ضعيفة. في المقابل، يمكن أن تكون التسجيلات التي تم الحصول عليها من أنظمة متوافقة مع القوانين حاسمة، لا سيما في حالات مثل السرقة، وحوادث العمل، وتزوير التقارير، وتسريب المعلومات السرية. لذلك، ينبغي صياغة استراتيجية الإثبات قبل بدء المراقبة؛ كما يجب تضمين إجراءات سلامة التسجيلات وتحديد وقتها في الإجراءات الداخلية

---

8) برنامج التكيف: خارطة طريق خطوة بخطوة

8.1 جرد وتحليل الأهداف

• قم بجرد جميع أجهزة المراقبة (CCTV، NVR، VMS؛ أجهزة GPS؛ بوابة أمان البريد الإلكتروني؛ DLP، CASB، SIEM، إلخ).

• قم بإنشاء مصفوفة الغرض - الأساس القانوني - فئة البيانات - مجموعات المستلمين - فترة الاحتفاظ لكل أداة

• في تقرير التناسب الخاص بك، استكشف ما إذا كانت هناك طرق بديلة وأقل تدخلاً ممكنة .

8.2 مجموعة الإضاءة والسياسات

• يجب كتابة نص المعلومات العامة (للموظفين) + إضاءة كاميرات المراقبة + إضاءة نظام تحديد المواقع العالمي (GPS) + سياسة البريد الإلكتروني/الاتصال بشكل منفصل

• السياسات حقوق الوصول، وإجراءات التدقيق، وإدارة السجلات، والحذف/التدمير ، الاستئناف/الاعتراض .

• عند بوابات الدخول ومناطق الكاميرات، قم بتوفير معلومات موجزة وإمكانية الوصول إلى نص مفصل عبر رموز الاستجابة السريعة (QR).

8.3 التدابير الفنية والإدارية

• التحكم في الوصول (RBAC)، والمصادقة متعددة العوامل ، والتشفير ، وسلامة السجلات ، وإدارة الوصول المميز

• إخفاء البيانات/التشويش، وتشويش الوجه، وإخفاء اللوحة، وتقنيات التصغير الأخرى.

• تعزيز الأمن من خلال اختبار الاختراق وعمليات تدقيق التكوين

• التدريب: تدريب سنوي للتوعية باللائحة العامة لحماية البيانات (GDPR) + إجراءات الإبلاغ عن الحوادث والاختراقات.

8.4 التخزين – الإتلاف – إخفاء الهوية

• سياسة للاحتفاظ والتدمير وتحديد المدد الزمنية القائمة على النظام (على سبيل المثال، كاميرات المراقبة 30 يومًا؛ نظام تحديد المواقع العالمي 30/60 يومًا؛ أرشيف البريد الإلكتروني 24/36 شهرًا).

• التدمير التلقائي ؛ واحتفظ بسجلات التدمير وسجلات النظام.

• إخفاء الهوية، اكتب قواعد إزالة التعريف.

8.5 تحليل واختبار المخاطر العالية

• قم بإجراء تقييم للأثر لعمليات مثل التعرف البيومتري، وتتبع الموقع المستمر، ومسح البريد الإلكتروني القائم على المحتوى ؛ أضف ضوابط تخفيف المخاطر (مثل تقييد التغطية، وتقليل المدة، والبيانات الأكثر خشونة/مجهولة المصدر).

• يجب تضمين بنود معالجة البيانات ، وقوائم التدابير الفنية والإدارية ، وحقوق التدقيق ، والتزامات الإبلاغ عن المخالفات في عقود الموردين

8.6 إدارة التطبيقات والحقوق

• قم بإنشاء إجراء تطبيق يتضمن اتفاقية مستوى الخدمة لطلبات وصول الموظفين /التعديل/الحذف/الاعتراض

• قم بتحديث اختبار موازنة المصالح المشروعة عند الاستئناف ؛ وقم بتضييق نطاقه إذا لزم الأمر.

الخلاصة والتوصيات

تُعدّ أنظمة المراقبة بالكاميرات ونظام تحديد المواقع العالمي (GPS) والبريد الإلكتروني، عند تطبيقها بشكل صحيح، أدواتٍ تُعزز أمن مكان العمل، وتُساعد في توفير الأدلة بعد وقوع أي حادث، وتدعم استمرارية الأعمال. مع ذلك، فإن شرعية هذه الأدوات تعتمد على تحديد غرضها ونطاقها بدقة ، وضمان الشفافية والوضوح ، والتناسب والتقليل من الاستخدام ، والالتزام بسياسات الاحتفاظ بالبيانات وإتلافها ، وتوفير وصول آمن إليها . إنّ برنامج امتثال يُراعي الاختلافات في النهج بين قانون حماية البيانات الشخصية التركي (KVKK) واللائحة العامة لحماية البيانات ( GDPR )، ويُقنن المصالح المشروعة ، ويُحوّل السياسات إلى وثائق حية، ويُجسّد التدابير الفنية والإدارية ، يُقلل من مخاطر العقوبات ويُعزز قيمة الأدلة في النزاعات.