[Côte d’Ivoire] Biométrie et données personnelles : quelles exigences légales pour les entreprises ?

Qu’est-ce que la biométrie ?

La biométrie est l’ensemble des techniques informatiques qui permettent de reconnaitre une personne à partir de l’une ou de plusieurs de ses caractéristiques physiques ou biologiques, physiologiques ou comportementales. Ainsi, elle comprend : les empreintes digitales, l’iris, l’empreinte vocale et faciale, etc.

L’un des avantages inhérents à l’utilisation de la biométrie est qu’elle permet d’identifier ou d’authentifier un employé de manière presque irréfutable, ce, à travers ses caractéristiques biométriques. Elle permet de sécuriser l’accès à des infrastructures physiques ou technologiques ou d’améliorer le contrôle et la gestion des heures de travail des employés.

Comment se définit une donnée biométrique ?

Une donnée biométrique est toute information permettant d’identifier une personne à partir de ses caractéristiques physiques ou biologiques. Contrairement à d’autres données qui sont soit attribuées par des tiers, soit choisies par la personne concernée, il faut relever que les données biométriques sont produites par le corps humain et forment une identification unique, c’est-à-dire, celles qui se rattachent à la personne concernée.

Partant, les données biométriques sont perçues comme des données à caractère personnel dont le traitement est soumis aux dispositions de la loi du 19 juin 2013 portant protection des données à caractère personnel.

Quelles sont les exigences légales pour les entreprises ?

Une autorisation délivrée par l’ARTCI.

L’article 7 de la loi n°2013-450 portant protection des données à caractère personnel dispose que :

« sont soumis à autorisation préalable de l’autorité de protection avant toute mise en œuvre, le traitement de données personnelles comportant des données biométriques ».

Il ressort de cette disposition légale qu’une donnée biométrique ne peut faire l’objet d’un traitement que s’il a préalablement fait l’objet d’une autorisation de l’autorité de régulation. Il faut noter que l’Autorité de Régulation des Télécommunications en Côte d’Ivoire (ARTCI) est l’autorité auprès de laquelle l’autorisation visée à l’article 7 précité est sollicitée.

Ainsi, le responsable de traitement ou l’employeur doit, avant tout traitement des données biométriques des personnes concernées ou employés, adresser à l’ARTCI une demande d’autorisation contenant les mentions requises par la loi, notamment, l’identité, le domicile, l’adresse postale ou géographique du responsable du traitement, de son représentant légal, s’il n’est pas établi en Côte d’Ivoire, s’il s’agit d’une personne morale, sa dénomination sociale, son siège social, l’identité de son représentant légal, son numéro d’immatriculation au Registre de Commerce et du Crédit Mobilier (RCCM), son numéro de déclaration fiscale, etc.

Dans sa décision n°2021-0698 en date du 03 décembre 2021, l’Autorité de protection de la République de Côte d’Ivoire (ARTCI) a refusé le traitement de données biométriques par la société ACTIV, une société proposant des solutions informatiques aux personnes physiques et morales, au motif que le consentement des personnes concernées n’est pas libre.

Ainsi, l’autorisation de l’ARTCI, en plus des mentions précitées, est également subordonnée au consentement libre et éclairé de la personne concernée.

Le respect des principes fondamentaux régissant la protection des données personnelles.

En plus de l’autorisation délivrée par l’ARTCI, le responsable du traitement doit respecter les principes suivants :

• La finalité du traitement : un traitement limité à l’objectif recherché. Il peut s’agir d’un traitement limité à l’accès ou au contrôle de l’accès d’un nombre de personnes ;
• La proportionnalité entre la finalité du système biométrique et les risques liés à la protection des données personnelles et à la vie privée ;
• La sécurité du traitement et la conservation des données biométriques ;
• L’information de la personne concernée.

Concernant la conservation des données biométriques, il faut noter que l’accent est particulièrement mis sur les supports de stockage individuel décentralisés sur lesquels la personne concernée a un contrôle exclusif. Il peut s’agir d’une carte magnétique ou carte puce.

S’agissant de la durée de conservation des données biométriques, l’article 16 de la loi de 2013 précise que

« les données ne doivent être conservées que pendant une période qui n’excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées ».

En application de cette disposition légale, les entreprises ou responsables de traitement ne doivent pas conserver les données biométriques au-delà de la durée nécessaire à la réalisation de la finalité du traitement.

Comment s’opère le transfert de données biométriques hors de la Côte d’Ivoire ?

Les données biométriques étant considérées comme des données à caractère personnel, leur transfert vers un pays tiers ne peut avoir lieu que si le pays tiers assure un niveau de protection adéquat. Un tel transfert est subordonné à l’autorisation préalable de l’ARTCI (Article 7 et 26 de la loi de 2013).

Quels sont les droits des employés ou des personnes concernés ?

Les personnes concernées disposent du droit d’accès, du droit de rectification et du droit d’opposition.

Nos recommandations.

L’utilisation des données biométriques semble, à première vue, une bonne idée.

Toutefois, la prudence est de mise surtout dans un contexte de gestion des ressources humaines. Non seulement les caractéristiques biométriques sont des informations personnelles protégées par les lois applicables en la matière, mais elles sont également des données personnelles sensibles, en raison de l’expectative de vie privée importante qu’elles génèrent.

Leur utilisation à des fins malveillantes pourraient causer un préjudice grave à l’individu auquel elles appartiennent.

C’est pourquoi, les entreprises, en tant que responsables de traitement portant sur des données biométriques, doivent prendre des précautions nécessaires pour préserver la sécurité des données collectées, s’agissant d’une obligation légale, dont le manquement est sanctionné par la loi.