Modèle : analyse d'impact pour l'écran de conformité et le pointage géolocalisé
Un canevas d'analyse d'impact sur la protection des données à remplir avant d'allumer l'écran de conformité d'INN Poste ou le pointage géolocalisé : description, nécessité, risques, mesures, avis.
Une analyse d'impact (AIPD, en anglais DPIA) est le document dans lequel l'entreprise écrit, avant de mettre en œuvre un traitement qui touche de près la vie des personnes, pourquoi elle en a besoin, ce qu'il risque de leur faire, et ce qu'elle met en place pour que ce risque reste acceptable. Ce guide donne un canevas pour deux traitements d'INN :
- l'écran de conformité du poste (et le pointage automatique et la sortie automatique qui l'entourent) ;
- le pointage géolocalisé de l'application mobile, avec, si vous l'avez allumé, le suivi du terrain.
Un modèle, pas un avis juridique
Ce canevas ne remplace pas un avocat ni un délégué à la protection des données. En France, le RGPD (art. 35) impose l'analyse quand un traitement est susceptible d'engendrer un risque élevé, et la liste publiée par l'autorité française cite la surveillance constante de l'activité des salariés : un salarié est dans une relation de subordination, ce qui pèse dans l'évaluation. Au Cameroun, la loi n° 2024/017 pose ses propres règles (finalité, proportionnalité, information, droits, formalités auprès de l'autorité) : demandez à un conseil local si une analyse ou une déclaration est exigée pour ces traitements, et selon quelle forme. Faire l'analyse reste, dans les deux cas, la bonne pratique.
Comment l'utiliser
Remplissez les cadres [à compléter]. Chaque partie commence par ce que le produit fait, écrit d'après la version 2.85 du poste ; ce que vous décidez reste à écrire par vous. Une analyse d'impact se date, se signe et se revoit : reprenez-la quand vous changez un motif, un seuil, un délai ou une durée de conservation.
1. Description des traitements
1.1 Écran de conformité, pointage automatique, sortie automatique (poste)
| Élément | Ce que fait le produit | À compléter par l'entreprise |
|---|---|---|
| Finalités | Décompte du temps de travail ; rappel des gestes qui manquent à la journée (pointer, expliquer un retard, avoir une tâche en cours) ; protection des documents affichés (verrouillage) | [finalités exactes retenues, dans vos mots] |
| Personnes concernées | Les salariés équipés d'INN Poste, dans le périmètre choisi (tout le monde, ou certains pôles, moins les dispensés) | [effectif concerné ; catégories ; personnes dispensées] |
| Données | Pointages, pauses, motifs de retard, tâches ; dernière heure de réponse du poste ; nom de l'ordinateur. Lue sur la machine, non transmise : depuis combien de temps le clavier et la souris n'ont rien reçu. Transmise seulement par la sortie automatique, si allumée : cette durée, une fois, au moment de fermer | [motifs cochés ; seuil du quatrième motif ; sortie automatique oui/non et délai] |
| Jamais lu | Nom et contenu des programmes, titres de fenêtres, adresses, fichiers, frappes, écran, caméra, micro, position | — |
| Destinataires | Personnes habilitées de l'entreprise (RH, direction, encadrement selon les rôles) ; INN, hébergeur du service pour votre compte | [qui voit quoi chez vous] |
| Durée | Voir la notice | [durées retenues, avec leur raison] |
| Réglages par défaut | Écran de conformité (motifs journée, retard, tâche) et pointage automatique : actifs tant que vous ne les éteignez pas. Quatrième motif et sortie automatique : éteints | [ce que vous avez réellement choisi, et quand] |
1.2 Pointage géolocalisé et suivi du terrain (mobile)
| Élément | Ce que fait le produit | À compléter par l'entreprise |
|---|---|---|
| Finalités | Vérifier que le pointage a lieu sur un lieu de travail déclaré ; situer une visite ; reconstituer une tournée (suivi du terrain) | [finalité précise, pour chaque site ou catégorie] |
| Données | Position précise au geste (pointer, visite, appel) si le périmètre géographique est réglé. Suivi du terrain, seulement si vous l'allumez : positions pendant une journée pointée et application ouverte — toute la journée, ou seulement pendant une visite ouverte. Aucune vitesse calculée ; rien en arrière-plan | [périmètre ; suivi du terrain oui/non ; mode retenu] |
| Durée | Le tracé est effacé après la durée que vous choisissez (1 à 365 jours, 60 par défaut) | [durée retenue et sa raison] |
| Refus de position | Le pointage part sans position ; c'est l'employeur qui décide de l'accepter | [votre règle en cas de refus] |
2. Nécessité et proportionnalité
Répondez par écrit à chaque question. Une réponse « parce que c'est pratique » n'est pas une réponse.
| Question | Éléments du produit | Votre réponse |
|---|---|---|
| Le but est-il précis et légitime ? | Décompte du temps de travail et paie : un but que l'entreprise doit atteindre | [à compléter] |
| Un moyen moins intrusif atteindrait-il le même but ? | Pointage manuel sur le téléphone ; badgeuse de couloir ; pointage sans écran de conformité | [pourquoi ils ne suffisent pas, ou pourquoi vous les avez gardés] |
| Les données sont-elles limitées à l'utile ? | La durée sans clavier ni souris reste sur l'ordinateur ; aucun contenu, aucun titre, aucune adresse n'est lu ; la position n'est lue qu'au geste, sauf suivi du terrain | [vérifiez que rien de plus n'est demandé par vos procédures] |
| Le quatrième motif est-il nécessaire ? | Il lit une durée d'inactivité. Il ne s'active que si vous le cochez, et n'envoie rien à INN. C'est le plus intrusif des quatre | [raison écrite, ou : non retenu] |
| La sortie automatique est-elle nécessaire ? | Elle envoie une durée d'inactivité, une fois, après l'heure de fin. Elle retire des heures si elle se trompe | [raison écrite, ou : non retenue] |
| Les salariés sont-ils informés avant ? | Notice à remettre ; écran d'information sur chaque poste | [date de remise] |
| Les représentants sont-ils consultés ? | Modèle de consultation | [date, avis] |
| La conservation est-elle bornée ? | Durées ci-dessus | [à compléter] |
3. Risques pour les personnes
Pour chaque risque : gravité et vraisemblance (faible, moyenne, forte) avant mesures, mesures, puis risque résiduel. Le tableau est pré-rempli avec ce que le produit apporte ; ajoutez vos propres risques.
| Risque | Mesures du produit | Vos mesures | Résiduel |
|---|---|---|---|
| Sentiment de surveillance permanente (motif « poste sans mouvement »). La durée d'inactivité, remontée, deviendrait une mesure de la productivité | La durée ne quitte pas l'ordinateur ; ce qui remonte est la pause déclarée par la personne ; motif jamais actif par défaut ; la carte reste jusqu'à la réponse au lieu de clignoter | [ne pas exploiter les pauses déclarées comme un score ; seuil raisonnable — de 5 minutes à 1 heure, 15 par défaut ; dispenses pour les métiers concernés] | [ ] |
| Heure d'arrivée inscrite à tort (pointage automatique) : un pointage erroné pèse sur la paie | Sept bornes côté INN (jour travaillé, heures de l'horaire, congé, une fois par jour, périmètre, jamais un départ) ; avertissement au salarié ; mention dans le journal ; correction possible | [procédure de correction rapide ; qui corrige] | [ ] |
| Départ pointé trop tôt (sortie automatique) : des heures retirées | Éteinte par défaut ; rien avant l'heure de fin ; délai réglable ; avertissement d'une minute annulé par un mouvement de souris ; heure retenue au choix (dernière activité, ou heure de fin) ; régularisation possible | [choix de l'heure retenue ; cas des réunions sans ordinateur] | [ ] |
| Écran de conformité vécu comme une contrainte ou une sanction | Ni verrou ni fermeture de programme ; aucune sanction automatique ; disparaît sans nouvelles d'INN pendant dix minutes ; jours de repos, congés, pauses et heures sans écran exclus ; dispenses | [règle écrite : l'écran n'est pas une faute ; à qui s'adresser] | [ ] |
| Position précise hors du travail (pointage géolocalisé, suivi du terrain) | Lue au geste ; suivi du terrain seulement journée pointée et application ouverte ; jamais le soir ; ranger l'application arrête la collecte ; effacement automatique | [périmètre minimal ; durée courte ; pas de suivi continu si non nécessaire] | [ ] |
| Détournement des données (les pointages servent à autre chose, ou à comparer les salariés) | Les écrans salarié ne comparent pas les personnes entre elles ; rôles et droits ; journal d'audit des réglages | [règle interne d'usage ; qui consulte quoi] | [ ] |
| Accès non autorisé à un poste ou à une session | Jeton de l'appareil gardé dans un fichier réservé, hors de portée de la fenêtre d'INN ; session limitée à douze heures ; verrouillage après quinze minutes ; révocation possible par les RH | [politique de mots de passe, poste partagé interdit] | [ ] |
| Conservation trop longue | Durée d'inactivité jamais conservée ; tracé du terrain effacé automatiquement | [durées par type de donnée] | [ ] |
4. Avis et décision
| Délégué à la protection des données (si vous en avez désigné un) | [avis, date] |
| Représentants du personnel | [avis, date — voir le modèle de consultation] |
| Personnes concernées (si un échantillon a été entendu) | [comment, quand] |
| Décision | [mise en œuvre / mise en œuvre avec réserves / abandon], le [date], par [nom, fonction] |
| Prochaine revue | [date — au plus tard dans [12] mois, ou à chaque changement de réglage] |
Si un risque reste élevé après mesures, l'autorité de protection des données doit être consultée avant la mise en œuvre en droit européen (RGPD, art. 36). Au Cameroun, demandez à votre conseil quelle démarche s'applique.
Retour au dossier de conformité.
Notice d’information des salariés
Un texte à adapter et à remettre à chaque salarié avant d'appliquer INN Poste : ce qui est lu, ce qui ne l'est pas, ce qui part vers INN, combien de temps c'est gardé, les droits et qui répond.
Consulter les représentants du personnel
Une note d'information et un canevas d'avis pour consulter les délégués du personnel (Cameroun) ou le comité social et économique (France) avant d'appliquer l'écran de conformité, le pointage automatique ou le pointage géolocalisé d'INN.