Biométrie au travail : ce que la CDP permet vraiment

Depuis plus de vingt ans, je travaille sur des systèmes où la sécurité ne se négocie pas : cartes à puce, paiement, identité. Et depuis que nous installons des pointeuses biométriques au Sénégal, une question revient presque à chaque rendez-vous : « Est-ce qu'on a le droit ? » La réponse est oui, mais pas n'importe comment. Je vous partage ici ce que dit vraiment le texte, parce qu'il est plus clair qu'on ne le croit, et parce que les erreurs que je vois sur le terrain sont presque toujours les mêmes.

Ce que dit le texte

Je m'appuie ici sur les textes publiés à ce jour. Ils peuvent évoluer, et seule la CDP peut trancher un cas précis : prenez ce qui suit comme un repère, pas comme un avis juridique.

Le cadre, c'est la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel, et surtout une délibération de la Commission de protection des données personnelles (CDP) entièrement consacrée à notre sujet : la délibération de portée générale n° 00645/CDP du 13 avril 2023, relative à l'utilisation de dispositifs biométriques dans les lieux de travail.

Pour le contrôle des horaires et des accès des salariés, elle dresse la liste de ce qui est admis :

• les empreintes digitales, deux doigts au maximum par personne, trois sur motif justifié et accepté par la CDP ;
• ou l'empreinte de la paume de la main ;
• et les données de temps de présence : heure d'arrivée, heure de départ.

Dans sa version que nous connaissons, elle écarte en revanche la reconnaissance faciale, l'iris et la reconnaissance vocale, avec une exception que la CDP peut accorder pour des établissements publics stratégiques ou sensibles. Pour une entreprise privée qui envisagerait de pointer ses salariés au visage, la prudence s'impose donc.

Je m'arrête sur ce point, parce que les terminaux à reconnaissance faciale sont aujourd'hui partout, bon marché et séduisants en démonstration. Ils ne sont pas interdits au Sénégal en général, mais le texte actuel ne les prévoit pas pour le pointage des salariés dans une entreprise privée. La position de la CDP peut évoluer : avant d'acheter, le plus sûr est de lui poser la question.

Une règle appliquée

On me dit parfois que personne ne contrôle. Les avis publiés de la CDP montrent plutôt le contraire : dans un avis de fin 2025, la CDP a demandé à un organisme de désinstaller son système de pointage par reconnaissance faciale et de faire une demande d'autorisation pour ses pointeuses à empreinte. Elle avait déjà refusé, auparavant, une dérogation pour du facial dans un établissement hôtelier. Le risque n'est donc pas seulement théorique : c'est, au pire, de devoir démonter un équipement payé et de tout recommencer.

Ce que l'entreprise doit faire

La biométrie n'est pas en libre-service, même avec l'empreinte. La loi range les traitements de données biométriques parmi ceux qui demandent une autorisation préalable de la CDP (article 20). Concrètement :

• **Déposer une demande d'autorisation** avant la mise en service. La CDP a deux mois pour répondre, délai qu'elle peut prolonger une fois ; sans réponse dans ce délai, l'autorisation est réputée accordée (article 23).
• **Informer les salariés avant**, par une note de service, une note d'information ou un document dûment notifié : à quoi sert le dispositif, quelles données, combien de temps, comment exercer ses droits.
• **Limiter les personnes concernées** : les salariés, et les stagiaires, intérimaires ou prestataires présents au moins trois mois. Pas les visiteurs, ni les consultants de passage.
• **Supprimer les données biométriques au départ** de la personne : elles ne se conservent que pendant sa présence dans l'organisme.
• **Encadrer le prestataire** : si un fournisseur installe ou héberge le système, il doit apporter des garanties suffisantes et signer un engagement de confidentialité.

Rien de tout cela n'est insurmontable. C'est un dossier, pas un parcours d'obstacles. Mais il se prépare en même temps que le projet, pas trois mois après l'installation.

Les erreurs que je vois le plus souvent

**Acheter d'abord, se renseigner ensuite.** Le terminal est livré, installé, les salariés enrôlés, et la question de la CDP arrive après. C'est l'ordre inverse qu'il faut suivre.

**Choisir le facial parce qu'il est plus pratique.** Il l'est, sans contact, sans doigt abîmé. Mais pour une entreprise privée, le texte actuel ne le prévoit pas : mieux vaut en parler à la CDP avant de s'engager.

**Enrôler les dix doigts « au cas où ».** Le texte dit deux, trois au maximum sur justification. Plus n'est pas plus sûr, et ce n'est pas ce que prévoit le texte.

**Oublier les départs.** Un salarié qui quitte l'entreprise ne doit pas laisser son empreinte dans le système. Il faut une procédure, et un logiciel qui la permette.

**Penser que l'empreinte est stockée comme une photo.** Un bon système ne conserve pas l'image du doigt, mais un gabarit : une suite de points caractéristiques, chiffrée, qui ne sert qu'à comparer et ne sort pas du système. C'est d'ailleurs ce que la délibération demande : ne pas transmettre le gabarit en dehors du système. Demandez à votre fournisseur où sont vos gabarits, sous quelle forme, et qui y a accès. S'il ne sait pas répondre, c'est une réponse.

Ce que j'en retiens

Le pointage biométrique reste l'un des meilleurs outils pour en finir avec le pointage de complaisance et payer le temps réellement travaillé. Le cadre sénégalais, tel qu'il est publié aujourd'hui, ne l'interdit pas : il l'oriente vers l'empreinte et la paume, avec une autorisation et une information des salariés. C'est raisonnable, et c'est ce qui protège aussi l'entreprise.

Chez Sens NumeriK, nous concevons nos logiciels de pointage nous-mêmes, à Dakar, et nous accompagnons nos clients dans leur démarche auprès de la CDP. Si vous préparez un projet de pointage, ou si vous vous demandez si votre installation actuelle est en règle, je serai heureux d'en parler avec vous.

— Latyr SENGHOR, fondateur de Sens NumeriK.