Au moment de choisir une pointeuse, la première question est souvent : « empreinte digitale ou reconnaissance faciale ? » Pourtant, la bonne première question est la suivante : ai-je vraiment besoin de collecter ces données ? La loi turque sur la protection des données personnelles n° 6698 (KVKK) classe les données biométriques parmi les catégories particulières de données personnelles et soumet leur traitement à des conditions spécifiques. Collecter des données biométriques pour une tâche comme le suivi de présence, dont l'objectif peut être atteint par des méthodes moins intrusives, constitue à la fois un risque juridique et une responsabilité inutile.
Dans cet article, nous expliquons pourquoi la biométrie relève d'une catégorie à part, comment le principe de proportionnalité influence le choix d'un système de pointage et comment mettre en place un dispositif fiable sans biométrie. Cet article ne constitue pas un avis juridique ; l'évaluation finale revient au conseiller en protection des données ou à l'avocat de votre organisation.
Pourquoi les données biométriques sont-elles différentes ?
Les empreintes digitales, le visage ou l'iris identifient une personne de manière unique et immuable. Un mot de passe divulgué se change ; une empreinte digitale divulguée, non. C'est pourquoi la loi place les données biométriques dans la même catégorie que les données de santé ou religieuses : leur traitement exige un consentement explicite ou l'une des exceptions étroites prévues par la loi, ainsi que les mesures de sécurité complémentaires définies par l'Autorité turque de protection des données.
Dans la relation de travail, le « consentement explicite » fait lui-même débat : on peut se demander si un salarié consent librement face à son employeur. Un dispositif fondé sur le consentement s'effondre dès que celui-ci est retiré.
Proportionnalité : atteindre l'objectif avec le minimum de données
L'un des principes généraux de la KVKK veut que les données soient liées à la finalité du traitement, limitées et proportionnées. La finalité du suivi de présence est de conserver de manière fiable la trace que « cette personne était ici à telle heure ». Si cet objectif peut être atteint avec une carte, un QR code et une vérification de la localisation, collecter des données biométriques n'est pas compatible avec le principe de proportionnalité. Les décisions publiques de l'Autorité turque de protection des données contiennent des appréciations défavorables à l'usage de données biométriques pour le suivi du personnel lorsque des méthodes moins intrusives étaient possibles. Nous vous recommandons de passer en revue les décisions récentes avec le conseiller de votre organisation.
Comment garantir la fiabilité sans biométrie ?
La crainte selon laquelle « sans empreinte digitale, chacun badgera avec la carte d'un collègue » est un héritage de l'ancien modèle, où le contrôle reposait sur une seule preuve. La fiabilité naît de plusieurs contrôles simples qui fonctionnent ensemble :
- Accès par badge : la carte est liée à une personne et aux points de passage autorisés ; chaque passage enregistre le point et l'heure, et les passages dans un autre site font l'objet d'un rapport distinct.
- Mobile : QR + localisation + appareil : le QR code du site (éventuellement dynamique), la localisation du téléphone et l'appareil unique associé au salarié sont vérifiés ensemble. Impossible de pointer depuis le téléphone d'un collègue.
- Rapports de contrôle : le journal des corrections manuelles, les salariés qui ont oublié de pointer, les personnes présentes en ce moment et la liste des mouvements par personne rendent les incohérences visibles.
- Cycle de vie de la carte : la carte d'un salarié qui quitte l'entreprise est retirée des appareils en quelques secondes ; le risque d'une « carte restée active » disparaît.
Cette combinaison est aussi fiable que la biométrie et ne collecte aucune donnée immuable du salarié.
Liste de contrôle pour un système de pointage conforme à la KVKK
Données collectées
- Uniquement les champs nécessaires : nom et prénom, matricule, fonction, site, numéro de carte, e-mail/téléphone (pour la connexion à l'application).
- Localisation uniquement au moment de l'opération (début/fin de journée) et uniquement sur les sites ouverts par l'organisation ; aucun suivi tout au long de la journée.
- Aucune donnée biométrique.
Information et documentation
- Une notice d'information pour les salariés : quelles données, dans quel but, pour quelle durée, partagées avec qui.
- Une entrée pour le pointage dans l'inventaire des traitements ; tenue à jour si vous êtes soumis à l'obligation VERBIS (registre turc des responsables de traitement).
- Des dispositions sur le suivi de présence dans le contrat de travail ou le règlement intérieur.
Accès et sécurité
- Autorisations par rôle : le responsable d'agence voit son agence, le responsable sous-traitant voit son entreprise, les RH voient tout.
- Chaque correction manuelle est enregistrée avec qui, quand et pourquoi.
- Les documents tels que les arrêts maladie sont conservés dans le dossier du salarié, visibles uniquement par les rôles autorisés.
- Chaque compte est associé à un seul appareil ; tout changement d'appareil requiert l'approbation d'un responsable.
Conservation et destruction
- Les durées de conservation sont définies (en tenant compte des obligations du droit du travail et des litiges éventuels, avec votre conseiller).
- Le compte d'un salarié qui quitte l'entreprise est désactivé et sa carte annulée ; la politique de destruction s'applique à la fin de la durée de conservation.
Caméras et pointage : gardez-les séparés
Associer les caméras de sécurité au suivi de présence, c'est-à-dire enregistrer les entrées par reconnaissance faciale, réunit deux finalités de traitement distinctes dans un seul système et ouvre directement le débat sur les données biométriques. Le suivi de présence n'a pas besoin d'images de caméra ; si vous disposez de caméras de sécurité, gérez-les séparément, avec leur propre notice d'information et leur propre durée de conservation.
L'approche de NetKurum
NetKurum ne collecte aucune donnée biométrique : le suivi de présence repose sur l'accès par badge et sur le pointage mobile vérifié par QR code, localisation et appareil. La localisation n'est contrôlée qu'au moment de l'opération, et seulement si elle a été activée pour le site. Les autorisations d'accès aux pages sont liées à la fonction et au rôle, le périmètre des données au site et à l'entreprise ; les corrections manuelles font l'objet d'un rapport distinct et les documents du dossier salarié sont protégés par des autorisations. En savoir plus : Gestion des accès et Gestion des pointages.
La donnée personnelle la plus sûre est celle qui n'a jamais été collectée. Vous n'êtes pas obligé de collecter une donnée immuable pour suivre la présence.
Questions fréquentes
Peut-on utiliser l'empreinte digitale si le salarié donne son consentement explicite ?
C'est un domaine juridiquement controversé : la liberté du consentement dans la relation de travail et le principe de proportionnalité sont évalués ensemble. Lorsqu'une méthode moins intrusive existe, la biométrie n'est pas nécessaire ; interrogez votre conseiller.
La collecte de données de localisation est-elle conforme à la KVKK ?
Oui, tant qu'elle est limitée à la finalité, proportionnée et accompagnée d'une notice d'information : uniquement au moment de l'opération, uniquement sur les sites ouverts par l'organisation, sans suivi tout au long de la journée.
Le numéro de carte est-il une donnée personnelle ?
Oui, car il peut être rattaché à une personne ; mais il n'est pas biométrique, il peut être changé et il est proportionné. Il relève du régime ordinaire des données personnelles.
Qui rédige la notice d'information ?
Le conseiller en protection des données de l'organisation ; l'éditeur du logiciel l'accompagne en documentant quelles données sont traitées et comment.
Mettez en place un suivi de présence proportionné
Nous pouvons passer en revue ensemble vos appareils actuels et vos flux de données. Contactez-nous ou, pour le pointage mobile, commencez votre essai gratuit.
À propos de l’auteur
Zeynep Çelik
Spécialiste du contenu numérique
Traite de la technologie, des intégrations et des déploiements sur le terrain dans le blog NetKurum. Elle explique le pointage dans le cloud, les boîtiers de connexion et des expériences clients réelles avec des exemples clairs.
