Une empreinte ou un visage est-il une donnée personnelle ?
Oui. La CNDP définit la donnée biométrique comme toute information qui identifie une personne par ses caractéristiques physiques, biologiques ou comportementales, uniques et quasi permanentes. Elle relève donc de la loi 09-08, avec des règles plus strictes qu’un simple numéro de badge, car elle peut révéler d’autres informations, sur la santé par exemple.
Un badge sans biométrie (carte RFID, code) reste un traitement de données personnelles, mais échappe aux règles propres à la biométrie.
Que disent les fiches de la CNDP sur la biométrie ?
Les deux fiches de la CNDP posent quatre conditions pour un dispositif biométrique de contrôle d’accès.
Des sites qui le justifient
Des locaux à enjeu majeur de sécurité, où les autres méthodes de contrôle ne sont pas assez fiables.
Jamais la donnée brute
Seul un gabarit de points caractéristiques est gardé, l’image brute le temps de l’extraction.
Sur un support détenu par la personne
Le gabarit est enregistré sur une carte que seul l’employé détient.
Une base centrale par exception
Réservée aux sites très sensibles, et vidée dès qu’une personne n’y a plus accès.
Faut-il une autorisation de la CNDP pour une pointeuse biométrique ?
Selon les fiches de la CNDP, oui. La demande d’autorisation comprend :
- un descriptif du dispositif biométrique ;
- un engagement de respecter la délibération n° 478-2013 et la loi 09-08 ;
- un modèle de la note d’information des personnes concernées ;
- un document attestant le pouvoir de signature (registre de commerce ou statuts).
Vérifiez la procédure en vigueur sur le site de la CNDP avant le dépôt.
Que doit contenir la note d’information des salariés ?
Remise avant la collecte, elle indique au moins :
- l’identité de l’organisme ;
- le fait qu’il traite des données biométriques ;
- la finalité du traitement, décompte des heures compris ;
- le contact pour exercer les droits d’accès, de rectification et d’opposition ;
- le numéro de l’autorisation de la CNDP.
Combien de temps garder les données biométriques ?
L’image brute n’est conservée que le temps d’en extraire les caractéristiques, et les données d’une personne sont supprimées dès qu’elle n’a plus accès aux sites. Pour le pointage : retirez l’empreinte ou le visage au départ du salarié, et encadrez par contrat tout prestataire qui accède aux données.
Quelles options pour pointer avec moins de données biométriques ?
| Option | Donnée biométrique | Ce qu’il faut savoir |
|---|---|---|
| Badge RFID ou code seul | Aucune | Pas de règles biométriques ; le badge peut se prêter, ce que l’analyse des anomalies aide à repérer. |
| Pointage par téléphone (GPS, zone, selfie) | Pas de reconnaissance : le selfie est une photo jointe au pointage | Position et photo restent des données personnelles : information des salariés à prévoir. |
| Biométrie avec gabarit sur la carte de l’employé | Oui, sur un support qu’il détient | L’architecture que décrivent les fiches de la CNDP. |
| Pointeuse à empreinte ou à visage, gabarits dans l’appareil | Oui, dans la pointeuse | À décrire dans la demande d’autorisation. |
| Base centrale de gabarits | Oui, sur un serveur | Exceptionnelle selon les fiches, réservée aux sites très sensibles. |
Badge RFID ou code seul
- Donnée biométrique
- Aucune
- Ce qu’il faut savoir
- Pas de règles biométriques ; le badge peut se prêter, ce que l’analyse des anomalies aide à repérer.
Pointage par téléphone (GPS, zone, selfie)
- Donnée biométrique
- Pas de reconnaissance : le selfie est une photo jointe au pointage
- Ce qu’il faut savoir
- Position et photo restent des données personnelles : information des salariés à prévoir.
Biométrie avec gabarit sur la carte de l’employé
- Donnée biométrique
- Oui, sur un support qu’il détient
- Ce qu’il faut savoir
- L’architecture que décrivent les fiches de la CNDP.
Pointeuse à empreinte ou à visage, gabarits dans l’appareil
- Donnée biométrique
- Oui, dans la pointeuse
- Ce qu’il faut savoir
- À décrire dans la demande d’autorisation.
Base centrale de gabarits
- Donnée biométrique
- Oui, sur un serveur
- Ce qu’il faut savoir
- Exceptionnelle selon les fiches, réservée aux sites très sensibles.
Options courantes, du plus au moins protecteur au regard de la biométrie.
Questions fréquentes
La pointeuse biométrique est-elle légale au Maroc ?
Elle n’est pas interdite, mais elle est encadrée par la loi 09-08. Selon les fiches de la CNDP, un dispositif biométrique fait l’objet d’une demande d’autorisation préalable, l’employeur justifie que les autres méthodes ne suffisent pas, et les salariés sont informés par une note qui précise la finalité du traitement.
Quels documents pour la demande d’autorisation CNDP ?
Les fiches de la CNDP citent un descriptif du dispositif biométrique, un engagement de respecter la délibération n° 478-2013 et la loi 09-08, un modèle de note d’information des personnes concernées, et un document prouvant le pouvoir de signature (registre de commerce ou statuts). Vérifiez les formulaires à jour sur le site de la CNDP.
Où sont stockées les empreintes avec TEMPO ?
Dans les pointeuses. TEMPO ne garde pas de base centrale d’empreintes, ne les affiche ni ne les exporte. Au départ d’un employé, à la date de sortie saisie dans sa fiche, il est retiré des pointeuses. Les actions sur les appareils sont réservées aux rôles autorisés et tracées dans le journal d’activités.
Peut-on pointer sans biométrie ?
Oui. TEMPO accepte le badge RFID, le code sur la pointeuse et le pointage par téléphone avec position, zone autorisée et, si vous l’exigez sur un site, un selfie joint au pointage. Ces modes évitent les règles propres à la biométrie, mais restent des traitements de données personnelles dont les salariés doivent être informés.
Sources
Textes officiels d'où viennent les chiffres de cette page. Les valeurs proposées par le logiciel restent modifiables.
Comment TEMPO traite-t-il les données biométriques ?
TEMPO ne constitue pas de base centrale d’empreintes : les gabarits restent dans les pointeuses, et TEMPO ne les affiche ni ne les exporte. À la date de sortie d’un employé, il est retiré des pointeuses. Les actions sur les pointeuses sont tracées dans le journal d’activités.
Là où la biométrie ne se justifie pas, TEMPO fonctionne aussi au badge, au code ou par le pointage sur téléphone. Voir aussi la sécurité des données.