Journal Officiel
La Commission Nationale pour la Protection des Données à Caractère Personnel (CNPDCP), en sa séance plénière du 23 août 2021, composée de Joël Dominique LEDAGA, Président, Euloge NZAMBI, Questeur, Albert BOUSSOUGOU IBOUILY, Rapporteur, Steve SINGAULT NDINGA, François MEYE ME NDONG, Jean Raymond ZASSI MIKALA, Mesmin MONDJO EPENIT, Samuel MOUSSOUNDA IKAMOU et Philomène MBOUI épse BIYOGO. Tous, Commissaires Permanents ;
Vu la Constitution ;
Vu la Directive n°07/08-UEAC-133-CM-18 du 19 décembre 2008 fixant le cadre juridique de la protection des droits des utilisateurs de réseaux et de services de communications électroniques au sein de la CBMAC ;
Vu la loi n°14/2005 du 08 août 2005 portant Code de Déontologie de la Fonction Publique ;
Vu la loi n°20/2005 du 03 janvier 2006 fixant les règles de création, d'organisation et de gestion des services de l'Etat, ensemble les textes modificatifs subséquents ;
Vu la loi n°19/2016 du 09 août 2016 portant Code de la Communication Audiovisuelle, Cinématographique et Ecrite en République Gabonaise, ensemble les textes modificatifs subséquents ;
Vu la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel ;
Vu la loi n°006/2020 du 30 juin 2020 portant Code Pénal de la République Gabonaise ;
Vu la délibération n°001/2018 du 16 juillet 2018 portant règlement intérieur de la Commission Nationale pour la Protection des Données à Caractère Personnel, déclarée conforme à la Constitution par décision n°255bis/CC du 13 décembre 2018 ;
Vu le décret n°000163/PR/MISDDL du 20 juin 2018 ponant nomination des membres de Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu le décret n°00028/PR/MRICAAI du 18 mars 2020 portant réorganisation du Secrétariat Général de la Commission Nationale pour la Protection des Données à Caractère Personnel ;
Vu la demande de la société Financière Africaine de Microprojets, en abrégée EMF-FINAM S.A, du 22 juin 2021, aux fins de délivrance d'une autorisation relative à l'usage d'un dispositif d'identification biométrique du personnel ;
Aux fins d'instruction, le Président de la Commission a désigné le Commissaire responsable sur le fondement de l'article 32 du règlement intérieur de la Commission et ses règles de procédures relatives aux formalités préalables et à la saisine.
Après avoir entendu le Commissaire responsable en son rapport circonstancié, la Commission examine les points suivants :
I- L'IDENTIFICATION DE L'AUTEUR DE LA DEMANDE OU RESPONSABLE DU TRAITEMENT
-Dénomination sociale ; Financière Africaine de Micro-Projets, en abrégée EMF- FINAM S.A ;
-Adresse : Avenue Lubin Martial, face à l'Université Omar Bongo : boîte postale : 22408, Libreville (Gabon) ;
-Domaine d'activité : Microfinances.
II- L'OBJET DE LA DEMANDE
Afin de se conformer à la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel, la société Financière Africaine de Microprojets, en abrégée EMF-FINAM S.A a saisi la Commission, le 22 juin 2021, aux fins de délivrance d'une autorisation relative à l'usage d'un dispositif d'identification biométrique du personnel.
III- LES ELEMENTS CONSTITUTIFS DE LA DEMANDE
Au soutien de sa demande, le responsable du traitement a fourni un dossier comportant les éléments justificatifs suivants :
-un document descriptif du lecteur biométrique ALMAS INDISTRIES ZK Tec ;
-un sous-formulaire relatif aux dispositifs d'identification (biométrique ou autres) dûment rempli.
IV- LES CONDITIONS PREALABLES DE MISE EN OEUVRE ET D'EXPLOITATION D'UN TRAITEMENT DES DONNEES PERSONNELLES DANS LE CADRE DE L'USAGE D'UN DISPOSITIF D'IDENTIFICATION BIOMETRIQUE ET LES PRINCIPES ESSENTIELS DE LA PROTECTION DES DONNEES A CARACTERE PERSONNEL
Les dispositions des articles 7 et suivants de la loi n°001/2011 du 25 septembre 2011, relative à la protection des données à caractère personnel précisent les conditions préalables à l'usage d’un dispositif d’identification biométrique puis, énoncent les principes essentiels de la protection des données à caractère personnel.
A- DES CONDITIONS PREALABLES A L'USAGE D'UN DISPOSITIF D'IDENTIFICATION BIOMETRIQUE
Les dispositions du chapitre IV à la section II, particulièrement les articles 54 et 58 de la loi n°001/2011 du 25 septembre 2011, encadrent les opérations des traitements automatisés comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
-L'article 54.5, tiret 5 de la loi susmentionnée prévoit que : « Les traitements automatisés comportant des données biométriques nécessaires au contrôle de l'identité des personnes sont mis en oeuvre après autorisation de la Commission Nationale pour la Protection des Données à Caractère Personnel ».
-L'article 58 de la loi citée-ci dessus énonce que : « Les actes autorisant la création d'un traitement en application des articles 54, 55 et 56 précisent :
-la dénomination et la finalité du traitement ;
-le service auprès duquel s'exerce le droit d'accès défini au chapitre VII ;
-les catégories des données à caractère personnel enregistrées ;
-les destinataires ou catégories des destinataires habilités à recevoir communication de ces données ;
-le cas échéant, les dérogations à l'obligation d'informations prévue à l'article 59 de la présente loi ».
B- DU RAPPEL DES PRINCIPES ESSENTIELS EN MATIERE DE COLLECTE ET DE TRAITEMENT DES DONNEES A CARACTERE PERSONNEL
Il s'agit d'une transposition des garanties des droits et libertés, basés sur les principes essentiels suivants :
| N° | Des principes essentiels au regard de la loi n°1/2011 du 25 septembre 2011 |
| 1 |
La loyauté et la licéité du traitement(Art 45) -Les données doivent être collectées de manière loyale et leur traitement licite ; -le processus de traitement des données doit être opéré de manière transparente, en particulier vis-à-vis des personnes concernées ; -le responsable de traitement doit informer les personnes concernées avant le traitement de leurs données, sur la finalité du traitement, l’identité et l’adresse du responsable de traitement. |
| 2 |
La finalité (Art 45) -Les données doivent être collectées pour les finalités déterminées, explicites, légitimes et non inhumaines, correspondant aux missions de l’organisation ou du responsable de traitement ; |
| 3 |
La proportionnalité (Art 45) Les catégories des données collectées pour le traitement doivent être nécessaire pour atteindre l’objectif général déclaré de l’opération envisagée ; |
| 4 |
La pertinence, l’exactitude et la qualité des données collectées (Art 45) -Seules les données adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et traitées ultérieurement peuvent faire l’objet d’un traitement ; -les données doivent par ailleurs, être exactes et, si nécessaire, mises à jour ; -les données inexactes ou incomplètes doivent être effacées ou rectifiées. |
| 5 |
La temporalité ou la durée limitée de conservation des données (Art 68,69 et 70) La durée de conservation des données collectées doit être précisée ; -le principe de la conservation pendant une durée limitée impose de supprimer ou d’archiver les donnés sur support distinct protégé, dès qu’elles ne sont plus nécessaires aux finalités pour qu’elles ont été collectées ; -les exceptions aux principes de la conservation pendant une durée limitée doivent être définies par la législation et requièrent des garanties spéciales pour la protection des données concernées. |
| 6 |
La sécurisation et la confidentialité des données(Art 64 et 66) Le responsable de traitement est astreint à une obligation de sécurisation et de confidentialité des données traités. Aussi doit-il : -mettre en oeuvre les mesures techniques et d’organisations appropriées pour protéger les données personnelles collectées contre la destruction accidentelle ou illicite, la perte accidentelle, l’altération, la diffusion ou l’accès non autorisé ; -veiller à préserver et à garantir la confidentialité desdites données et éviter leur divulgation. |
| 7 |
La transparence et le consentement des personnes concernées (Art 46 et 59) Avant la mise en oeuvre de tout traitement des données à caractère personnel, le responsable de traitement doit : -obtenir le consentement préalable des personnes concernées ; -informer, avant la collecte, les personnes concernées des caractéristiques essentielles du traitement (finalité du traitement, caractère obligatoire ou facultatif du recueil, destinataires des données collectées et droits consacrés à ces derniers au titre de la loi n°001/2011 du 25 septembre2011) avant que les données ne soient communiquées pour la première fois à des tiers ou utilisées pour le compte des tiers à des fins de prospection ; -doit enfin, permettre le droit d’accès des personnes concernées. |
| 8 |
Le respect des droits des personnes concernées (Art 7, 13 et 14) -Toute personne a le droit d’obtenir du responsable de traitement la confirmation que celui-ci traite ou non ses données ; -d’avoir accès à leurs données auprès du responsable de traitement ; -de faire rectifier ou supprimer (ou verrouiller, le cas échéant) leurs données par le responsable de traitement en cas de traitement illégal ; -de s’opposer au traitement de leurs données, en cas de non-conformité de celui-ci aux dispositions de la loi. |
V- LES CARACTERISTIQUES DU TRAITEMENT PORTANT USAGE D'UN DISPOSITIF D'IDENTIFICATION BIOMETRIQUE DU PERSONNEL
L'identification biométrique est un système qui permet d'identifier avec certitude les données d'un individu. Cette identification biométrique peut être biologique (ADN), morphologique (empreintes digitales, forme de la main, paume de la main, réseaux veineux, visage, iris, voix, oreille) ou comportementale (dynamique de la signature, démarche, frappes du clavier).
Le traitement relatif à l'usage d'un dispositif d'identification biométrique du personnel repose sur des exigences légales et techniques. Ces exigences concernent, l'analyse des aspects techniques et juridiques.
1- L'analyse des aspects techniques d'un dispositif d'identification biométrique
EMF-FINAM S.A à travers le sous-formulaire relatif au dispositif d'identification biométrique renseigne sur :
a) La localisation du dispositif d'identification biométrique :
-Déploiement du dispositif : vingt (20) lecteurs repartis dans les différentes agences présentent sur le territoire national (Libreville, Port-Gentil, Oyem, Lambaréné, Makokou, Franceville, Moanda, Mouila et Koulamoutou).
b) Les caractéristiques et fonctionnalités du dispositif d'identification biométrique :
-Origine et nature du matériel utilisé : CFAO Technologie, Rue Louise Charron Fortin, Batterie IV, B.P : 2231, Libreville.
-Nom du modèle du matériel utilisé : ALMAS Industries ZK Teco.
-Nom du logiciel utilisé ; SENATOR.
-Nom du capteur (optique, capacitif) et marque utilisés : Optique.
-Enrôlement et effacement des données :
-enrôlement : création de l'accès dans la plateforme+prélèvement de l'empreinte ;
-effacement : suppression des données personnelles du salarié dans le logiciel après son départ définitif de FINAM.
-Modalités de stockage des gabarits ou des données brutes : les données sont stockées sur composant matériel dédié et sur un serveur.
-Nombre de gabarits ou données brutes traités par personne : un (1) doigt de la main au choix de la main du salarié.
-Administration et fonctionnalités du dispositif : le dispositif est utilisé pour l'identification d'un individu. L'utilisateur n'a pas
la possibilité d'utiliser un procédé d'identification ou d'authentification alternative. Il n'a pas également la possibilité d'éditer ou de supprimer les données biométriques ou à badges d'autres utilisateurs.
2- L'analyse des aspects juridiques d'un dispositif d'identification biométrique
Aux termes des conditions énoncées à l'article 58 de la loi susvisée, EMF-FIMAM S.A les décline ainsi qu'il suit :
-Sur la dénomination du traitement : « dispositif d'identification biométrique ».
-Sur la finalité du traitement :
-la gestion de présence et des heures d'arrivées et départs des salariés ;
-le contrôle d'accès à la salle Serveur.
-Sur les catégories des données enregistrées : le dispositif enregistre la donnée personnelle suivante :
-l'empreinte digitale d'un (1) doigt de la main choisie par le salarié.
-Sur les catégories des personnes concernées : il s'agit uniquement des salariés.
-Sur la durée de conservation des données enregistrées : la durée de conservation des données des salariés est relative à la durée du contrat de travail.
-Sur les destinataires ou catégories des destinataires habilités à recevoir communication de ces données : aucun destinataire.
-Sur le service auprès duquel s'exercent les droits d'accès, de rectification et de suppression : ils s'exercent auprès du Directeur Général.
-Sur l'information et le consentement : la société FINAM indique que les salariés ont été informés et ont consenti à l'usage d'un dispositif d'identification biométrique lors de la signature du contrat de travail et de la mise à disposition de leurs données personnelles.
VI-OBSERVATIONS
La société Financière Africaine de Microprojets collecte et traite les données à caractère personnel dans le cadre de son activité.
Elle sollicite l'usage d'un dispositif d'identification biométrique du personnel.
L'usage de ce dispositif permet à la société Financière Africaine de Microprojets, d'une part, de gérer la présence des salariés, leurs heures d'arrivées et de départs et d'autre part, de contrôler les accès à la salle Serveur qui nécessite une protection particulière.
La Commission note que les salariés ont été informés de la collecte de leurs empreintes digitales et ont consenti au traitement lors de la signature du contrat de travail.
La Commission constate que les employés disposent d'un droit d'accès, de rectification et de suppression à leurs données personnelles auprès du Directeur Général.
Par ailleurs, la Commission note que la durée de conservation des données des salariés est relative à la durée du contrat de travail. La Commission juge raisonnable ce délai de conservation déterminés par le responsable du traitement et le considère comme justifié, au vu des finalités poursuivies par le traitement. Elle rappelle toutefois que les données à caractère personnel doivent être conservées pendant une durée qui n'excède pas la période nécessaire aux finalités pour lesquelles elles ont été collectées ou traitées.
Enfin, la Commission note que le respect des conditions de licéité du traitement et d'exploitation des données personnelles, ainsi que les obligations de transparence, de confidentialité, de sécurité, de conservation et de pérennité sont remplies par le responsable du traitement.
En conséquence, la Commission conclut que le traitement des données personnelles relatif à l'usage d'un dispositif d'identification biométrique du personnel, mis en oeuvre par la société Financière Africaine de Microprojets, est conforme à la loi n°001/2011 du 25 septembre 2011 relative à la protection des données à caractère personnel.
Au vu de ce qui précède et après en avoir délibéré ;
D E C I D E :
Article 1er : Une autorisation relative à l'usage d'un dispositif d'identification biométrique du personnel, est délivrée à la société Financière Africaine de Microprojets, pour une durée d’un (1) an.
Article 2 : La présente délibération est susceptible de recours devant le Conseil d'Etat dans un délai de deux (2) mois à compter de sa notification.
Article 3 : La présente délibération sera publiée au Journal Officiel de la République Gabonaise.
Fait à Libreville, le 23 août 2021
Le Président
Joël Dominique LEDAGA