Les dispositifs de contrôle des personnes
Les traitements biométriques nécessitent une autorisation préalable de l’ARTCI. Une solution de pointage proposée par un fournisseur ne peut donc pas être déployée sur la seule base d’un devis et du consentement des salariés. Il faut examiner la nécessité du dispositif et les modalités de collecte, de stockage et d’accès. []
Recommandation : comparer le dispositif avec des moyens moins intrusifs, tels qu’un badge, avant de décider. Documenter les raisons du choix, les personnes concernées, les données effectivement conservées, les destinataires et la procédure de suppression au départ du salarié. Le fournisseur doit préciser si les données brutes ou des gabarits biométriques sont stockés.
Une caméra doit être analysée comme un traitement de données dès lors qu’elle permet d’identifier des personnes. L’entreprise doit préparer l’information des visiteurs et salariés, limiter les accès et justifier la couverture et la durée de conservation au regard de sa finalité. [, ]
Recommandation : tenir un plan des caméras et un registre des extractions. Les zones filmées, les horaires et les droits de consultation doivent être validés avant l’installation. Un changement d’usage, par exemple le passage de la sécurité des locaux au suivi individuel permanent, appelle une nouvelle analyse.
Hébergement et transferts internationaux
La loi définit le pays tiers par référence aux États non membres de la CEDEAO et prévoit un encadrement des transferts, notamment à son article 7. Une solution cloud implique de localiser les serveurs, sauvegardes, équipes d’assistance et sous-traitants susceptibles d’accéder aux données. []
La qualification doit porter sur le flux réel, y compris l’administration à distance depuis l’étranger. La présence d’une interface commerciale en Côte d’Ivoire ne prouve pas que toutes les données y sont traitées. Un contrat type de fournisseur international ne remplace pas la formalité ivoirienne applicable.
Recommandation : demander une liste des pays de traitement, la chaîne de sous-traitance et une procédure de notification des changements. Avant toute migration, examiner l’autorisation requise et la cohérence avec les engagements envers les clients. Une obligation générale d’hébergement exclusivement local ne doit pas être présumée : toute restriction de localisation doit être rattachée à un texte, un secteur ou un contrat précis.
Clauses et contrôles du fournisseur
Le contrat devrait préciser les instructions, la confidentialité, la sécurité, l’assistance aux demandes, la gestion des incidents, la réversibilité et le sort des sauvegardes. Il doit permettre de vérifier les engagements sans exiger des accès incompatibles avec la sécurité des autres clients.
Recommandation : distinguer la restitution des données et leur effacement. La restitution nécessite un format exploitable, un délai, une assistance et un coût. L’effacement doit couvrir les copies actives et prévoir le traitement des sauvegardes selon un cycle documenté. Un test de sortie réalisé avant la fin du contrat permet de vérifier que l’entreprise peut continuer son activité.