Pointage et données personnelles : ce que la loi 2008-12 impose à l'employeur

Un système de pointage enregistre qui était présent, où et à quelle heure. Ce sont des données personnelles, et leur traitement est encadré au Sénégal par la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel.

Beaucoup d'entreprises découvrent ces obligations après avoir installé leur système. L'ordre inverse coûte moins cher.

Qui contrôle, et sur quel fondement

La loi 2008-12 a créé la Commission de protection des données personnelles (CDP), autorité administrative indépendante composée de onze membres. Elle est compétente pour tout traitement réalisé sur le territoire sénégalais, ainsi que pour les traitements portant sur des personnes situées au Sénégal.

En installant une pointeuse, vous devenez responsable de traitement. C'est vous, l'employeur, qui portez les obligations — pas votre fournisseur de logiciel.

L'obligation que tout le monde oublie : la déclaration préalable

La loi pose un principe de déclaration préalable : un traitement de données personnelles doit être déclaré à la CDP avant sa mise en œuvre, pas après.

Concrètement, cela veut dire que la déclaration se fait avant le premier pointage, et non le jour où un salarié conteste ou le jour d'un contrôle. C'est une formalité, mais son absence est en elle-même un manquement.

Le point décisif : déclaration ou autorisation ?

Tous les traitements ne relèvent pas du même régime, et c'est là que le choix technique du système de pointage a une conséquence juridique directe.

Les données biométriques sont des données sensibles. Leur traitement ne se déclare pas : il s'autorise. Vous devez déposer une demande d'autorisation auprès de la CDP, la justifier, et attendre la réponse avant de démarrer.

C'est une différence de nature, pas de degré. Une empreinte digitale ne se change pas en cas de fuite, contrairement à un mot de passe ou à un code PIN. Le régime plus strict découle de cette irréversibilité.

Ce que cela implique en pratique : choisir une pointeuse à empreinte ou à reconnaissance faciale, c'est choisir une procédure plus longue, un dossier à monter, et une exposition durable en cas d'incident de sécurité. Un pointage fondé sur un code affiché, un matricule ou un code PIN reste dans le régime de la simple déclaration.

Une photo est-elle une donnée biométrique ?

Pas nécessairement, et la distinction est importante.

Une photo prise au moment du pointage et consultée par un responsable est une pièce justificative. Elle documente un fait.

Une photo traitée automatiquement pour en extraire un gabarit et comparer une identité devient un traitement biométrique, avec le régime d'autorisation qui va avec.

C'est le traitement qui qualifie la donnée, pas le format du fichier. Si votre fournisseur vous parle de reconnaissance faciale, vous êtes dans le second cas, et vous devez le savoir avant de signer.

Les cinq obligations à tenir

Au-delà de la formalité déclarative, la loi impose des obligations de fond.

Une finalité déterminée, explicite et légitime. Vous collectez des heures de présence pour établir la paie et respecter la durée légale du travail. Vous ne pouvez pas réutiliser ces données pour une autre finalité non annoncée.

La proportionnalité. Ne collectez que ce qui est nécessaire à cette finalité. Relever la position au moment du pointage pour vérifier la présence sur le site est proportionné. Suivre la position en continu entre deux pointages ne l'est pas.

L'information des personnes. Vos salariés doivent savoir qu'un traitement existe, à quoi il sert, quelles données sont collectées, combien de temps elles sont conservées et comment exercer leurs droits. Une note de service affichée et une mention dans le règlement intérieur sont le minimum.

Une durée de conservation définie. Les données ne se gardent pas indéfiniment. Fixez une durée cohérente avec la finalité et les délais de prescription applicables, et tenez-vous-y.

La sécurité. Chiffrement, contrôle des accès, traçabilité des consultations. Si un responsable de site peut consulter les données de tous les salariés de l'entreprise, votre contrôle d'accès est insuffisant.

Les questions à poser à votre fournisseur

Avant de choisir un système, quatre questions permettent de trancher rapidement.

• Où sont hébergées les données ? Un hébergement au Sénégal simplifie considérablement la conformité. Un transfert hors du territoire ajoute des obligations.
• Le système traite-t-il des données biométriques ? La réponse détermine votre régime : déclaration ou autorisation.
• Quelles données sont réellement collectées, et pendant combien de temps ? Demandez la liste, pas un discours.
• Qui peut consulter quoi ? Un système sans granularité d'accès vous met en difficulté sur l'obligation de sécurité.

En résumé

• Un système de pointage est un traitement de données personnelles soumis à la loi 2008-12.
• L'employeur est responsable de traitement : les obligations pèsent sur lui, pas sur son fournisseur.
• La déclaration à la CDP se fait avant la mise en service.
• La biométrie relève d'un régime d'autorisation, plus contraignant que la déclaration. Le choix technique a donc une conséquence juridique.
• Informer les salariés, limiter la collecte au nécessaire, fixer une durée de conservation et sécuriser les accès ne sont pas optionnels.

Cet article donne des repères. Pour une situation précise, rapprochez-vous de la CDP ou d'un conseil juridique : la qualification d'un traitement dépend de son détail.