J'utilise la biométrie pour le pointage du personnel
Que faut-il examiner avant de mettre en place un pointage biométrique du personnel ?
Ce qu’il faut retenir
Un traitement de données personnelles comportant des données biométriques est soumis à une autorisation préalable de l’Autorité de protection, avant toute mise en œuvre. Ce principe s’applique au pointage du personnel lorsqu’il comporte de telles données.
Avant de démarrer, examinez l’objectif du dispositif, les données qu’il conserve et les garanties prévues. L’autorisation préalable ne signifie pas que tout dispositif envisagé sera accepté.
Pourquoi cette situation mérite votre attention
Un pointage par empreinte digitale ou reconnaissance faciale utilise des caractéristiques d’une personne pour la reconnaître. Il ne faut pas le confondre avec un simple relevé d’horaires : le dispositif peut aussi traiter des données biométriques.
La loi vise expressément les traitements comportant des données biométriques. L’Autorité de protection rappelle également, dans ses informations officielles, qu’ils doivent faire l’objet d’une autorisation préalable.
Le choix d’un équipement ne règle pas, à lui seul, les questions de protection des données. La quantité d’informations conservées, leur durée de conservation et les accès d’un prestataire doivent aussi être examinés.
Ce qui peut changer l’analyse
- Quel objectif précis le pointage doit-il remplir ? Une solution par badge ou code peut-elle répondre au même besoin ?
- Le dispositif conserve-t-il des empreintes, des images du visage ou une représentation numérique de ces caractéristiques ?
- Les données sont-elles stockées dans une base commune ou sur un support individuel ?
- Qui peut accéder aux données, y compris chez le prestataire, et où sont-elles hébergées ?
- Quelle durée de conservation est prévue, notamment lorsque la personne quitte l’organisme ?
- Les données servent-elles uniquement au pointage ou également à d’autres usages, comme le contrôle d’accès ?
Ces questions aident à comprendre votre situation ; leurs réponses ne valent pas décision.
Que pouvez-vous faire ?
Vérifications avant le choix du dispositif
- Décrivez l’objectif du pointage et demandez au fournisseur quelles données sont réellement collectées et conservées.
- Repérez les lieux de stockage, les personnes pouvant accéder aux données et les modalités de suppression prévues.
Précautions recommandées
- Comparez le dispositif biométrique avec une solution par badge ou code, pour apprécier les moyens adaptés à votre besoin.
- Préparez une description du dispositif, de ses accès et de ses garanties pour échanger avec l’Autorité de protection. Cette préparation n’est pas une liste de pièces obligatoires.
Formalité préalable
- Pour un traitement comportant des données biométriques, obtenez l’autorisation préalable de l’Autorité de protection avant sa mise en œuvre.
- Consultez la demande d’autorisation de dispositif biométrique publiée par l’Autorité et ses indications officielles. Faites préciser les modalités applicables à votre projet avant de le démarrer.
Ce que prévoit la loi
« Sont soumis à autorisation préalable de l’Autorité de protection avant toute mise en œuvre : - le traitement des données à caractère personnel comportant des données biométriques ; »
Ce que ce texte établit. L’article 7 soumet à autorisation préalable, avant toute mise en œuvre, les traitements de données personnelles comportant des données biométriques. Il s’agit d’un principe réglementaire, et non d’une simple recommandation.
Pourquoi il concerne votre situation. Si le pointage du personnel comporte des données biométriques, il entre dans la catégorie expressément visée par ce texte. La description technique du dispositif permet d’identifier les données réellement traitées.
Ce qui reste à apprécier
- L’appréciation du dispositif concret dépend de ses caractéristiques et de ses usages ; la fiche ne préjuge pas de la décision de l’Autorité sur une demande.
- L’article 16 impose des données adéquates, pertinentes et non excessives ainsi qu’une conservation limitée à la période nécessaire aux finalités. La quantité de données et la durée adaptées au pointage doivent être appréciées pour le dispositif considéré.
- Lorsque le traitement est réalisé pour le compte de l’organisme par un sous-traitant, l’article 20 impose de choisir un prestataire apportant des garanties suffisantes de protection et de confidentialité. L’organisme et le sous-traitant doivent veiller au respect de la loi.
Autres articles à consulter (2)
- Loi n° 2013-450 — Article 16Finalités déterminées, explicites et légitimes ; données adéquates, pertinentes et non excessives ; conservation limitée à la période nécessaire. La citation ci-dessous reproduit le premier alinéa ; les alinéas suivants sont à lire dans le PDF.
« Les données doivent être collectées pour des finalités déterminées, explicites et légitimes et ne peuvent pas être traitées ultérieurement de manière incompatible avec ces finalités. »
- Loi n° 2013-450 — Article 20, alinéas 1–2Garanties de protection et de confidentialité lorsque le traitement est réalisé par un sous-traitant, et respect de la loi par les deux parties.
« Lorsque le traitement des données à caractère personnel est mis en œuvre pour le compte du responsable du traitement, celui-ci doit choisir un sous-traitant qui apporte des garanties suffisantes pour la protection et la confidentialité de ces données. Il incombe au responsable du traitement ainsi qu’au sous-traitant de veiller au respect des dispositions de la présente loi. »