البصمة في تسجيل الحضور والانصراف: ماذا يقول نظام حماية البيانات؟ (2026)

من بوابة المصنع في الجبيل إلى استقبال الفندق في دبي، أصبح جهاز البصمة جزءاً من المشهد اليومي لأي موظف يعمل بنظام المناوبات في الخليج. يضع الموظف إصبعه على القارئ في بداية الوردية ونهايتها، فيُسجَّل حضوره وانصرافه تلقائياً، وتصل التقارير إلى نظام الموارد البشرية دون تدخل يدوي. لكن قلة من أصحاب العمل يدركون أن هذه اللمسة البسيطة تعني، بالمعنى القانوني الدقيق، جمعَ «بيانات حساسة» تخضع اليوم لأشد درجات الحماية في أنظمة البيانات الجديدة.

باختصار: أجهزة البصمة ليست ممنوعة في السعودية ولا في الإمارات، لكن بصمة الإصبع تُصنَّف «بيانات حساسة» بموجب نظام حماية البيانات الشخصية السعودي والمرسوم الاتحادي الإماراتي رقم 45 لسنة 2021، ما يفرض على صاحب العمل موافقة صريحة، وتقييم أثر، وتأميناً مشدداً، وإتلافاً بعد انتهاء الغرض، مع غرامات تصل إلى 5 ملايين ريال عند المخالفة.

هذا الدليل موجّه لأصحاب العمل ومديري الموارد البشرية ومسؤولي العمليات الذين يديرون جداول الورديات في السعودية والإمارات. سنستعرض ما تغيّر منذ بدء التطبيق الكامل للنظام السعودي في سبتمبر 2024، والالتزامات العملية عند استخدام أجهزة البصمة في الحضور والانصراف، ثم البديل الأخف الذي يحقق الغرض نفسه دون الاقتراب من البيانات الحيوية أصلاً.

هل جهاز البصمة قانوني في السعودية والإمارات؟

الإجابة المباشرة: نعم. لا يوجد نص يحظر استخدام أجهزة البصمة في تسجيل الحضور والانصراف، وهي ممارسة قياسية في المنشآت الخليجية من المستشفيات إلى شركات الأمن ومتاجر التجزئة. لكن «قانوني» لا تعني «بلا شروط». صدر نظام حماية البيانات الشخصية السعودي بالمرسوم الملكي رقم (م/19) بتاريخ 9/2/1443هـ الموافق سبتمبر 2021، ثم عُدّل بالمرسوم الملكي رقم (م/148) في مارس 2023، ودخل حيّز النفاذ في 14 سبتمبر 2023 مع فترة تصحيحية مدتها عام كامل، لتبدأ مرحلة التطبيق والمساءلة الفعلية في 14 سبتمبر 2024. النص الرسمي منشور على منصة الأنظمة السعودية laws.boe.gov.sa، والجهة المختصة بالإشراف والتنفيذ هي الهيئة السعودية للبيانات والذكاء الاصطناعي «سدايا» التي أصدرت اللائحة التنفيذية للنظام وأدلته الإرشادية.

والتطبيق لم يعد نظرياً. فبحسب تقارير مكاتب قانونية دولية نُشرت في 2026، أعلنت سدايا أنها أصدرت 48 قراراً خلال عام واحد بحق جهات خالفت النظام، وتركزت المخالفات في المعالجة دون أساس نظامي صحيح، والإفصاح غير المصرح به عن بيانات شخصية، وضعف التدابير الأمنية والتنظيمية. بعبارة أخرى: جهاز البصمة المثبّت عند مدخل منشأتك يقع اليوم ضمن نطاق رقابة نشطة، لا ضمن منطقة رمادية يمكن تجاهلها.

وفي الإمارات الوضع مشابه من حيث المبدأ: المرسوم بقانون اتحادي رقم (45) لسنة 2021 في شأن حماية البيانات الشخصية نافذ منذ 2 يناير 2022، ويضع البيانات البيومترية صراحة ضمن البيانات الحساسة، كما سنفصّل في فقرة خاصة أدناه.

لماذا تُعدّ بصمة الإصبع «بيانات حساسة»؟

يعرّف النظام السعودي البيانات الحساسة بأنها كل بيان شخصي يتعلق بالأصل العرقي أو الإثني للفرد، أو معتقده الديني أو الفكري أو السياسي، أو البيانات الأمنية والجنائية، أو «بيانات السمات الحيوية التي تحدد الهوية»، أو البيانات الوراثية أو الصحية. وبهذا التعريف الوارد في وثيقة النظام المنشورة على موقع سدايا، تدخل بصمة الإصبع وبصمة الوجه وقزحية العين كلها في صميم فئة البيانات الحساسة، لأنها سمات حيوية وظيفتها الأساسية تحديد هوية صاحبها.

ولماذا هذا التشدد؟ لأن البصمة تختلف جوهرياً عن كلمة المرور أو رقم البطاقة: إذا تسربت كلمة مرور فيمكن تغييرها خلال دقيقة، أما بصمة الإصبع فترافق صاحبها مدى الحياة ولا سبيل إلى «إعادة تعيينها». تسربٌ واحد يعني احتمال انتحال هوية دائماً. صحيح أن معظم الأجهزة الحديثة لا تخزن صورة البصمة نفسها بل قالباً رقمياً مشفراً، وهذا يقلل المخاطر فعلاً، لكنه لا يُخرج البيانات من التصنيف الحساس ما دامت قادرة على تحديد هوية الموظف.

وهنا نتيجة عملية بالغة الأهمية كثيراً ما تغيب عن أصحاب العمل: النظام السعودي يجيز المعالجة استناداً إلى «المصلحة المشروعة» لجهة التحكم في حالات معينة، لكنه يستثني البيانات الحساسة صراحة من هذا الأساس. أي أن صاحب العمل لا يستطيع الاحتجاج بأن «مصلحة الشركة في ضبط الدوام» تكفي وحدها لتشغيل جهاز البصمة — وهي نقطة أكثر تشدداً حتى من اللائحة الأوروبية GDPR.

ماذا يشترط نظام حماية البيانات الشخصية عند استخدام جهاز البصمة؟

إذا قررت منشأتك الإبقاء على البصمة في الحضور والانصراف، فالنظام واللائحة التنفيذية يرسمان طبقات التزام واضحة، يمكن تلخيصها في ثلاث مجموعات: أساس المعالجة، والتقييم المسبق وتحديد الغرض، ثم الأمن والاحتفاظ والحقوق.

الموافقة الصريحة أولاً: متى تصلح ومتى تسقط؟

لمعالجة البيانات الحساسة يشترط الإطار السعودي موافقة صريحة لا ضمنية: عبارة مكتوبة واضحة يعلم فيها الموظف ماذا يُجمع منه ولماذا وأين يُخزن ومتى يُحذف. الموافقة المدفونة في بند عام داخل عقد العمل، أو الموافقة الجماعية عبر تعميم داخلي، لا ترقى إلى هذا المستوى.

والأصعب من الصراحة شرطُ الحرية: الموافقة يجب أن تكون اختياراً حقيقياً، والموظف الذي يوقّع خشية أن يُحسب رفضه تمرداً على الإدارة موافقتُه محل شك. الممارسة السليمة التي تنصح بها الأدلة الإرشادية: وثّق الموافقة في مستند منفصل عن عقد العمل، ووفّر بديلاً معقولاً لمن يرفض — بطاقة تعريف، أو رمزاً شخصياً، أو تسجيلاً عبر تطبيق الجوال — بحيث لا يترتب على الرفض أي أثر وظيفي.

تقييم الأثر وتحديد الغرض

قبل تشغيل النظام، يلزم إجراء تقييم أثر لمعالجة البيانات الشخصية، وهو إلزامي متى شملت المعالجة بيانات حساسة أو انطوت على مخاطر عالية لأصحابها. التقييم ليس ورقة شكلية: عليك أن تجيب كتابةً عن سؤال الضرورة — هل يمكن تحقيق ضبط الدوام بوسيلة أقل تدخلاً؟ — وأن توثق المخاطر المحتملة وتدابير معالجتها. وجود بدائل عملية متاحة في السوق يجعل إثبات الضرورة أصعب مما يظن كثيرون.

ثم يأتي مبدأ تحديد الغرض: بيانات جُمعت لتسجيل الحضور والانصراف لا يجوز إعادة استخدامها للمراقبة السلوكية أو لتقييم الأداء أو لأي غرض آخر دون أساس نظامي جديد وموافقة جديدة. ويكمله مبدأ الحد الأدنى: هل تحتاج فعلاً إلى بصمة جميع الموظفين في جميع المواقع، أم أن فئة محددة تكفي؟ كل توسع غير مبرر في الجمع هو مخالفة مستقلة.

الأمن والاحتفاظ وحقوق الموظف

على جهة التحكم اتخاذ تدابير تنظيمية وتقنية وإدارية تناسب حساسية البيانات: تشفير القوالب الحيوية في الجهاز وأثناء النقل، وتقييد صلاحيات الوصول بأضيق نطاق، وإبرام اتفاقية معالجة مع مورّد الجهاز وأي مزود سحابي باعتبارهم جهات معالجة تعمل لحسابك، مع التحقق من مكان تخزين البيانات لأن نقلها خارج المملكة يخضع لضوابط مستقلة. وعند وقوع حادثة تسرب من شأنها الإضرار بصاحب البيانات، يجب إشعار سدايا خلال مدة لا تتجاوز 72 ساعة من العلم بها.

أما الاحتفاظ فقاعدته بسيطة: انتهاء الغرض يعني الإتلاف. عند انتهاء علاقة العمل أو استبدال النظام يُحذف قالب البصمة، ولا يصح الاحتفاظ به «احتياطاً». وللموظف طوال الوقت حقوقه كصاحب بيانات: أن يعلم بما يُجمع عنه، وأن يطّلع عليه، وأن يطلب تصحيحه أو إتلافه. وفي حالات محددة — منها أن تكون معالجة البيانات الحساسة نشاطاً أساسياً أو واسع النطاق لدى المنشأة — يلزم تعيين مسؤول حماية بيانات شخصية يتولى الإشراف على الامتثال.

ما العقوبات عند مخالفة النظام؟

العقوبات في الإطار السعودي ليست رمزية، وأشدها مخصص تحديداً للبيانات الحساسة — وهي الفئة التي تنتمي إليها بصمات موظفيك:

ويضاف إلى ذلك حق المتضرر في اللجوء إلى الجهة القضائية المختصة للمطالبة بالتعويض عن الأضرار المادية والمعنوية. ولعل الأهم من الأرقام نفسها أن العقوبة على إفصاح البيانات الحساسة عقوبة جنائية قد تطال الأفراد لا المنشأة وحدها — فالمسؤولية هنا شخصية ومؤسسية معاً.

ماذا عن الإمارات؟ المرسوم الاتحادي رقم 45 لسنة 2021

المرسوم بقانون اتحادي رقم (45) لسنة 2021 في شأن حماية البيانات الشخصية نافذ منذ 2 يناير 2022، وتشرف على تطبيقه جهة اتحادية مخصصة هي مكتب بيانات الإمارات. ويعرّف المرسوم البيانات البيومترية بأنها البيانات الناتجة عن معالجة بتقنية خاصة تتعلق بالخصائص الجسدية أو الفسيولوجية أو السلوكية للفرد وتتيح تحديد هويته بشكل فريد — كصور الوجه وبصمات الأصابع — ويدرجها صراحة ضمن «البيانات الشخصية الحساسة». المعلومات الرسمية عن المرسوم متاحة عبر البوابة الحكومية الاتحادية u.ae.

القاعدة الإماراتية العامة أن المعالجة لا تتم إلا بموافقة صاحب البيانات، مع استثناءات نصت عليها المادة الرابعة، من أبرزها لبيئة العمل: أن تكون المعالجة ضرورية لتنفيذ التزامات أو حقوق مقررة نظاماً في مجالات التوظيف والضمان الاجتماعي والحماية الاجتماعية، أو ضرورية لتنفيذ عقد يكون صاحب البيانات طرفاً فيه. لكن الاعتماد على استثناء التوظيف لتشغيل جهاز بصمة يجب توثيقه بعناية: «الضرورة» تعني عدم وجود وسيلة أقل تدخلاً تحقق الغرض نفسه، وهو اختبار يصعب اجتيازه ما دامت بدائل كالبطاقات وتطبيقات الجوال متاحة وتؤدي الوظيفة ذاتها.

نقطتان إضافيتان لأصحاب العمل في الإمارات: أولاً، تفاصيل الغرامات الإدارية تحددها قرارات مجلس الوزراء واللوائح التنفيذية للمرسوم، وقد ظلت هذه التفاصيل محل استكمال وتحديث حتى وقت إعداد هذا الدليل، لذا تلزم متابعة ما يصدر رسمياً عن مكتب بيانات الإمارات. ثانياً، المنشآت المرخصة في المنطقتين الماليتين الحرتين — مركز دبي المالي العالمي وسوق أبوظبي العالمي — تخضع لأنظمة حماية بيانات مستقلة خاصة بهما أكثر تفصيلاً وأقدم عهداً، فلا تفترض أن الالتزام الاتحادي وحده يكفيها.

كيف تستخدم جهاز البصمة دون مخالفة؟ قائمة التحقق

إن كانت طبيعة منشأتك تفرض الإبقاء على البصمة — لمتطلبات أمنية عالية مثلاً — فهذه هي الحدود الدنيا للامتثال، صياغةً عملية لما سبق:

• حدّد الغرض كتابياً: تسجيل الحضور والانصراف فقط، وامنع أي استخدام آخر للبيانات.
• أجرِ تقييم أثر لمعالجة البيانات الشخصية قبل تشغيل الجهاز، ووثّق فيه سؤال الضرورة والبدائل المدروسة.
• اجمع موافقة صريحة مكتوبة من كل موظف، في مستند منفصل عن عقد العمل، مع بديل حقيقي لمن يرفض.
• طبّق الحد الأدنى: قوالب مشفرة بدل صور البصمة، وجمع مقصور على الفئات التي يلزمها الجهاز فعلاً.
• قيّد صلاحيات الوصول إلى بيانات الجهاز بأضيق نطاق ممكن، وسجّل كل عملية اطلاع.
• وقّع اتفاقية معالجة بيانات مع مورّد الجهاز وأي مزود سحابي، وتحقق من مكان التخزين وضوابط النقل خارج الدولة.
• ضع سياسة احتفاظ وإتلاف: حذف قالب البصمة فور انتهاء علاقة العمل أو استبدال النظام.
• جهّز خطة استجابة للحوادث تضمن إشعار سدايا خلال 72 ساعة عند أي تسرب مؤثر، وإخطار الموظفين المتضررين.
• مكّن الموظفين من حقوقهم: العلم، والاطلاع، وطلب التصحيح أو الإتلاف، وراجع الحاجة إلى تعيين مسؤول حماية بيانات.

إن وجدت نفسك غير قادر على الإجابة بنعم عن كل بند من هذه القائمة، فأمامك طريقان: استكمال النواقص بكلفتها الإدارية والتقنية، أو إعادة النظر في السؤال الأسبق — هل تحتاج إلى البصمة أصلاً؟

ما البديل الأخف؟ تسجيل الحضور عبر الجوال بتحديد الموقع

المفارقة أن كثيراً من المنشآت اشترت جهاز بصمة لحل مشكلة أبسط بكثير من حجم الالتزامات التي جلبها: التأكد من أن موظف الشفت وصل إلى موقع العمل في وقته ولم يسجّل له زميله. هذه المشكلة يحلها اليوم تطبيق جوال يسجّل الحضور والانصراف بنقرة واحدة مع التحقق الآلي من الموقع الجغرافي: لا يُقبل التسجيل إلا إذا كان هاتف الموظف داخل نطاق محدد حول موقع العمل، لحظة التسجيل فقط.

قانونياً، الفرق جوهري. إحداثيات الموقع لحظة تسجيل الدخول بيانات شخصية عادية لا حساسة: تبقى عليك التزامات الشفافية وتحديد الغرض وأمن المعلومات، لكن تسقط عنك أثقل الطبقات — فلا موافقة صريحة مشددة بوصفها السبيل شبه الوحيد، ولا يُستبعد أساس المصلحة المشروعة أو تنفيذ عقد العمل، ويصبح تقييم الأثر مطلوباً بحسب نطاق المعالجة لا تلقائياً. ويبقى شرط مهم يجب احترامه: الجمع عند نقرة التسجيل فقط، لا تتبعاً مستمراً لتحركات الموظف خلال يومه — فالتتبع الدائم معالجة أوسع تفتح ملفاً قانونياً مختلفاً تماماً.

وعملياً هو أخف كذلك: لا جهاز يُشترى ويُصان في كل موقع، ولا طابور أمام القارئ عند تبادل الورديات، ويعمل بطبيعته مع الفرق الميدانية والمواقع المتعددة حيث يستحيل تركيب جهاز عند كل نقطة — الحراسات الأمنية، والتوصيل، والضيافة، والصيانة، والتجزئة متعددة الفروع. إليك مثالاً قابلاً للنسخ: جدول مناوبات أسبوعي لفريق متجر تجزئة من ستة موظفين بورديتين، صباحية (9:00–17:00) ومسائية (14:00–22:00)، بتغطية موظفَين لكل وردية يومياً، على أن يتبادل فريقا الصباح والمساء مواقعهما في الأسبوع التالي تحقيقاً للعدالة، ويسجّل الجميع حضورهم من الجوال عند بداية الشفت:

وهنا يلتقي تنظيم الجداول بحماية البيانات في أداة واحدة: تطبيقات مثل imRoster تبني جدول المناوبات بالذكاء الاصطناعي وتوصله إلى جوال كل موظف، ويسجّل الموظف حضوره وانصرافه من التطبيق نفسه مع التحقق من الموقع الجغرافي — دون جمع أي بيانات حيوية، فلا موافقات مشددة ولا تقييم أثر لبيانات حساسة، مع مراعاة حدود ساعات العمل في نظام العمل السعودي (8 ساعات يومياً و48 أسبوعياً بحسب وزارة الموارد البشرية والتنمية الاجتماعية) عند بناء الجدول نفسه. والمقارنة الكاملة بين النهجين تتضح في الجدول التالي:

الخلاصة ليست أن جهاز البصمة «ممنوع» — فهو مشروع ومنتشر وسيبقى الخيار المنطقي لمنشآت بعينها. الخلاصة أن نظام حماية البيانات الشخصية جعل له ثمناً قانونياً وإدارياً حقيقياً، وأن على كل صاحب عمل أن يزن هذا الثمن مقابل بديل يحقق الغرض ذاته — ضبط حضور فريق الورديات — بطبقة التزامات أخف بكثير. القرار الواعي، أياً كان اتجاهه، هو جوهر الامتثال.

الأسئلة الشائعة