Les dispositifs de pointage biométriques ne sont pas nouveaux au Sénégal, étant déjà largement utilisés dans de nombreuses structures. En 2022, la mairie de Ziguinchor a adopté cette technologie à l’initiative d’Ousmane SONKO, maire de la commune, et actuellement Premier ministre de la République du Sénégal.
Aujourd’hui, des rumeurs suggèrent que le nouveau régime en place envisage d’étendre leur usage à tous les établissements publics. Mais que sait-on réellement de ces outils ? Et surtout, que dit la législation sénégalaise à ce sujet ?
Le dispositif de pointage biométrique ?
Dans notre cas, la pointeuse biométrique est un dispositif électronique permettant aux salariés d’une structure de s’identifier grâce à leurs caractéristiques biométriques. Son objectif est d’assurer un meilleur suivi des temps de présence des travailleurs.
Plus fiable que la feuille de présence ou encore le badge magnétique, la pointeuse biométrique est quasiment incontournable, car elle nécessite des caractéristiques biométriques propres à chaque individu, comme les empreintes digitales, le visage, la voix ou l’iris. Par conséquent, la loi encadre son usage, notamment lorsqu’il est mis en œuvre dans les lieux de travail.
Surveillance des dispositifs biométriques sur le lieu de travail
Depuis 2008, le Sénégal dispose d’une loi relative à la protection des données personnelles, en l’occurrence la loi n° 2008-12 du 25 janvier 2008 relative à la protection des données personnelles.
La Commission de Protection des Données Personnelles (CDP), en tant qu’autorité administrative indépendante, veille au respect de cette loi. Ainsi, en fonction de la nature des données collectées, il détermine le régime de protection applicable, ainsi que les formalités à suivre.
Formalités préalables au traitement des données biométriques
La loi relative aux données personnelles prévoit quatre (4) régimes de protection : le régime d’exonération, le régime de déclaration, le régime d’autorisation, ainsi que le régime de demande d’avis. Conformément à l’article 20-5 de la loi précitée, le traitement de données personnelles incluant des données biométriques nécessite une autorisation de la Commission pour la Protection des Données Personnelles (CDP).
En conséquence, tout organisme, qu’il soit public ou privé, souhaitant mettre en place un dispositif de collecte et de traitement de données biométriques, tel qu’une pointeuse biométrique, doit adresser une demande d’autorisation au CDP. Cette demande est réputée favorable si l’autorité ne prend pas de décision dans un délai de deux (2) mois à compter de la réception de ladite demande.
Données biométriques autorisées à la collecte
Au Sénégal, la Commission pour la protection des données personnelles (CDP) recommande l’utilisation de pointeuses biométriques avec empreintes digitales. Conformément à sa délibération générale du 13 avril 2023, seul le prélèvement d’un maximum de deux (02) empreintes digitales par salarié ou de l’empreinte palmaire est autorisé. Toutefois, sur présentation de motifs légitimes par le responsable du traitement, le CDP peut autoriser le prélèvement d’un maximum de trois (03) empreintes digitales.
Le responsable du traitement de ces données est donc tenu, entre autres, à une obligation de sécurité et de confidentialité. En outre, elle doit garantir que les personnes concernées peuvent exercer leurs droits, notamment le droit d’accès, le droit d’opposition, ainsi que le droit de rectification et de suppression de leurs données faisant l’objet d’un traitement.
Aussi, avant la mise en place d’un système de collecte et de traitement des données biométriques sur les lieux de travail, le CDP exige que les personnes concernées soient informées par note, note d’information ou tout autre document dûment notifié.
Quant à la collecte de données biométriques du visage, de la voix ou encore de l’iris, le CDP peut exceptionnellement autoriser leur collecte, à condition que le dispositif soit installé dans des établissements publics stratégiques ou sensibles.
La durée de conservation des données biométriques
En vertu de l’article 35 de la loi n° 2008-12 du 25 janvier 2008, les données personnelles ne peuvent être conservées de manière illimitée. Elles doivent en effet être conservées pendant une durée n’excédant pas la durée nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées. Ex : les données personnelles collectées à partir d’un système de géolocalisation d’un véhicule ne doivent pas être conservées plus de 2 ans. Cette durée est de 3 mois lorsque les données personnelles proviennent d’un système de vidéosurveillance.
Concernant les données biométriques, la loi ne fixe pas expressément de durée de conservation. Toutefois, cela ne signifie pas que les données doivent être conservées indéfiniment. En effet, conformément à la délibération générale n°2021-558/CDP du 30 décembre 2021 du CDP relative à la durée de conservation des données personnelles, les données biométriques sont conservées pendant la présence des personnes concernées. Autrement dit, ils doivent être supprimés dès le départ des personnes concernées.
Mamadou Lamine N. DIA, avocat en Droit du numérique
 – .){kind=link}