CV, bulletins de paie, dossiers médicaux, badgeuses biométriques, caméras de surveillance : chaque jour, un employeur collecte et conserve des informations sur ses équipes. Au Sénégal, la loi sur la protection des données à caractère personnel encadre cette activité. Ainsi, les données personnelles des salariés au Sénégal obéissent à des règles précises. En effet, l’entreprise qui les ignore s’expose à des sanctions et à des contentieux.
Cet article présente les principales obligations de l’employeur. Ensuite, il passe en revue les situations les plus courantes (recrutement, paie, biométrie, vidéosurveillance, messagerie). Enfin, il propose des bonnes pratiques pour se mettre en conformité.
Le cadre juridique applicable
La loi n° 2008-12 du 25 janvier 2008 et son décret d’application fondent la protection des données personnelles au Sénégal. Cette loi s’applique à tout traitement de données de personnes physiques. Par conséquent, elle couvre les salariés, les candidats à l’embauche et les anciens employés. Elle vise les traitements informatisés, mais aussi les fichiers papier structurés.
La Commission de protection des données personnelles (CDP) est l’autorité de contrôle. Elle reçoit les déclarations, délivre les autorisations et instruit les plaintes. De plus, elle contrôle les entreprises et peut les sanctionner. Par ailleurs, ce cadre national s’inscrit dans un contexte régional, notamment l’acte additionnel de la CEDEAO de 2010 sur la protection des données personnelles.
Le texte pouvant évoluer, vérifiez toujours la version en vigueur et les délibérations de la CDP avant de lancer un nouveau traitement.
Les principes que l’employeur doit respecter
L’employeur est le « responsable du traitement ». Quel que soit le traitement, il doit donc respecter les principes suivants :
- Finalité : l’employeur collecte les données pour un objectif précis, légitime et connu des salariés (gestion de la paie, suivi des congés, sécurité des locaux…).
- Proportionnalité et minimisation : il ne recueille que les données nécessaires à cet objectif. Par exemple, demander la religion ou la situation familiale d’un candidat se justifie rarement.
- Exactitude : il veille à ce que les informations restent exactes et à jour.
- Durée de conservation limitée : il ne garde pas les données indéfiniment. En effet, le droit social ou fiscal impose la conservation de certaines données, tandis qu’il faut supprimer les autres dès la fin de la finalité.
- Confidentialité et sécurité : il réserve l’accès aux personnes qui en ont besoin. De plus, il protège les fichiers par des mesures techniques et organisationnelles.
- Transparence : il informe les salariés de la collecte, de son but et de leurs droits.
Les formalités auprès de la CDP
Selon la nature du traitement, l’employeur doit en principe accomplir l’une de ces formalités :
- une déclaration préalable auprès de la CDP pour les traitements courants, comme la gestion de la paie ou du personnel ;
- une autorisation préalable pour les traitements plus sensibles, comme ceux qui portent sur des données sensibles, la biométrie ou certains dispositifs de surveillance.
Les textes et les délibérations de la CDP fixent les règles précises (formulaires, délais, cas d’exemption). Comme elles évoluent, renseignez-vous auprès de la commission ou d’un conseil avant de déposer votre dossier.
Les situations courantes en entreprise
Recrutement
Les informations demandées aux candidats doivent servir uniquement à évaluer leurs compétences. D’abord, l’employeur informe les candidats de l’usage de leurs données. Ensuite, il limite leur conservation. Enfin, il supprime les dossiers des candidats non retenus après une durée raisonnable, sauf si le candidat accepte qu’il les garde.
Dossier du personnel et paie
Ces fichiers contiennent des informations très variées : état civil, salaire, coordonnées bancaires, protection sociale. C’est pourquoi l’employeur réserve l’accès aux services concernés (RH, paie, direction). En outre, il conserve les documents pendant les durées que la législation sociale et fiscale exige.
Données de santé
Les données de santé sont des données sensibles. Le médecin du travail détient les informations médicales détaillées. Par conséquent, il ne les communique à l’employeur que dans la limite du strict nécessaire, par exemple l’aptitude ou l’inaptitude.
Biométrie (pointage par empreinte digitale)
Les dispositifs biométriques traitent des données particulièrement sensibles. En principe, la CDP doit les autoriser au préalable. De plus, ils doivent rester proportionnés à l’objectif poursuivi. Ainsi, un contrôle d’accès à une zone sécurisée se justifie plus facilement qu’un simple pointage horaire.
Vidéosurveillance
La sécurité des biens et des personnes peut justifier des caméras. Toutefois, l’employeur ne doit pas s’en servir pour surveiller les salariés en permanence à leur poste. Il doit informer les personnes filmées par un affichage et limiter la durée de conservation des images. Il restreint aussi l’accès aux enregistrements. Enfin, il suit la procédure que la CDP impose.
Géolocalisation des véhicules
Le suivi d’un véhicule professionnel peut se justifier par la sécurité ou la logistique. En revanche, il est exclu en dehors du temps de travail. De plus, l’employeur doit informer clairement les salariés concernés.
Messagerie, internet et outils numériques
L’employeur peut encadrer l’usage des outils professionnels. Cependant, une surveillance généralisée et secrète des courriels ou de la navigation est disproportionnée. C’est pourquoi une charte informatique, portée à la connaissance des salariés, fixe les règles d’usage et les contrôles possibles.
Les droits des salariés
Les salariés disposent de plusieurs droits, et l’employeur doit les respecter :
- droit à l’information sur la collecte et l’usage de leurs données ;
- droit d’accès aux informations qui les concernent ;
- droit de rectification des données inexactes ou incomplètes ;
- droit d’opposition, pour des motifs légitimes, à certains traitements ;
- droit de suppression des données qui n’ont plus lieu d’être conservées.
Prévoyez donc une procédure interne pour recevoir ces demandes et y répondre dans des délais raisonnables.
Les transferts de données à l’étranger
De nombreuses entreprises transmettent des données de salariés à une maison mère, à un prestataire de paie ou à un service cloud situé hors du Sénégal. Or la réglementation encadre ces transferts. En principe, ils ne sont possibles que vers un pays offrant une protection suffisante. De plus, l’employeur peut devoir informer la CDP ou obtenir son autorisation. Avant tout transfert, identifiez donc les destinataires, les pays concernés et les garanties contractuelles prévues.
Sécurité et sous-traitants
- Limitez les accès aux fichiers du personnel grâce à des droits d’accès et à des mots de passe robustes.
- Sauvegardez les données et protégez les locaux et les équipements qui les contiennent.
- Encadrez par contrat les prestataires qui traitent des données pour votre compte (paie, hébergement, logiciel RH). Ils doivent s’engager à respecter la confidentialité et la sécurité.
- Prévoyez enfin une procédure en cas d’incident (perte, vol, fuite de données).
Les sanctions encourues
Le non-respect de la réglementation expose l’entreprise à des sanctions administratives de la CDP : avertissement, mise en demeure, retrait d’autorisation, sanctions pécuniaires. Il l’expose aussi à des sanctions pénales dans les cas que la loi prévoit. Par ailleurs, une fuite de données ou un contrôle défavorable nuisent à la réputation de l’entreprise et à la confiance des salariés.
Cas particulier : les opérations de rachat et de restructuration
Lors d’un rachat d’entreprise, la due diligence sociale conduit à transmettre des données de salariés à l’acquéreur et à ses conseils. Il faut donc limiter cet échange au nécessaire et le sécuriser. Ce point rejoint d’ailleurs notre article sur le M&A au Sénégal et les spécificités d’un deal en zone OHADA.
Checklist de mise en conformité
- Cartographiez les traitements de données des salariés (recrutement, paie, pointage, caméras, etc.).
- Vérifiez pour chacun la finalité, la base légale et la durée de conservation.
- Effectuez les déclarations et les demandes d’autorisation nécessaires auprès de la CDP.
- Informez les salariés (notice d’information, affichage, charte informatique).
- Mettez en place une procédure pour répondre aux demandes d’accès, de rectification et d’opposition.
- Sécurisez les fichiers et encadrez les sous-traitants par contrat.
- Vérifiez les transferts de données vers l’étranger.
- Désignez un référent à la protection des données et formez les équipes RH.
Questions fréquentes
L’employeur doit-il obtenir le consentement des salariés pour traiter leurs données ?
Pas toujours. En effet, beaucoup de traitements (paie, déclarations sociales) reposent sur une obligation légale ou sur l’exécution du contrat de travail. En revanche, l’information des salariés reste obligatoire. Le consentement devient nécessaire dans certains cas, notamment pour des traitements étrangers à la relation de travail.
Un employeur peut-il installer des caméras dans les locaux ?
Oui, pour assurer la sécurité des biens et des personnes. Toutefois, il doit respecter les règles de la CDP et informer les personnes filmées. Il ne doit pas non plus surveiller les salariés en continu.
Peut-on utiliser un système de pointage biométrique ?
C’est possible, mais dans un cadre strict. En principe, la CDP doit l’autoriser au préalable, et le dispositif doit rester proportionné à l’objectif poursuivi.
Que faire si un salarié demande à consulter son dossier ?
L’employeur doit lui permettre d’accéder aux données qui le concernent et lui répondre dans un délai raisonnable. Il veille cependant à ne pas divulguer les données d’autres personnes.
Une PME est-elle concernée par ces obligations ?
Oui. Les règles s’appliquent quelle que soit la taille de l’entreprise. Néanmoins, la PME peut adapter les mesures à ses moyens et à ses traitements.
Conclusion
Protéger les données personnelles des salariés au Sénégal est une obligation légale. C’est aussi un enjeu de confiance et de gestion des risques. Ainsi, une entreprise conforme cartographie ses traitements, respecte les formalités de la CDP, informe ses salariés et sécurise ses données. En cas de doute sur un dispositif sensible (biométrie, vidéosurveillance, transfert à l’étranger), demandez conseil avant de le déployer.
Cet article propose une information générale et ne constitue pas un conseil juridique. Les textes et les délibérations de la CDP évoluent : vérifiez-les auprès de la commission ou d’un conseil avant toute mise en œuvre.