RGPD + INPDP : guide compliance données RH pour PME tunisiennes (2026)
Les PME tunisiennes traitent des données personnelles sensibles (salaires, IBAN, biométrie). Voici les obligations concrètes sous le RGPD européen et la loi 2004-63 tunisienne (INPDP) : déclarations, autorisations préalables, sanctions, et comment être conforme sans freiner le business.
Vous gérez les bulletins de paie de 50 employés à Tunis. Vous avez leurs IBAN, CIN, salaires, certificats médicaux, peut-être leurs empreintes digitales pour le pointage. Vous êtes responsable de toutes ces données · au sens légal du terme. La Tunisie applique la loi 2004-63 (équivalent RGPD), et si votre entreprise a des clients ou des filiales en Europe, le RGPD européen s'applique aussi. Ce guide vous donne les obligations concrètes et les pièges à éviter.
L'INPDP, c'est quoi exactement ?
L'Instance Nationale de Protection des Données à caractère Personnel (INPDP) est l'autorité tunisienne indépendante créée par la loi 2004-63 du 27 juillet 2004. C'est l'équivalent tunisien de la CNIL française, de la CNDP marocaine ou du EDPB européen. Son rôle :
- Délivrer les autorisations préalables pour certains traitements (biométrie, santé, transferts hors TN)
- Recevoir les déclarations préalables pour les traitements classiques (paie, RH, clients)
- Enquêter sur les plaintes des personnes concernées
- Sanctionner les manquements (amendes administratives + sanctions pénales)
- Conseiller les entreprises sur leur conformité
Les 4 catégories de traitements RH et leurs obligations
1. Traitements classiques · Déclaration préalable
La paie, les congés, le pointage GPS, l'annuaire interne, la gestion des candidatures : tous ces traitements doivent faire l'objet d'une déclaration préalable à l'INPDP avant tout démarrage. Formulaire en ligne sur inpdp.tn, gratuit, réponse sous 30 jours.
- Identité du responsable de traitement (le DG ou DRH)
- Finalités (paie, gestion RH, contrôle d'accès, etc.)
- Catégories de personnes concernées (salariés, candidats, fournisseurs)
- Catégories de données collectées (CIN, salaire, adresse, etc.)
- Durées de conservation par catégorie
- Destinataires (bureau comptable, CNSS, banque)
- Mesures de sécurité (chiffrement, contrôle d'accès, sauvegardes)
2. Données biométriques · Autorisation préalable
Si vous utilisez un pointage biométrique (empreinte, reconnaissance faciale, iris), vous ne pouvez pas vous contenter d'une déclaration · il faut une autorisation préalable de l'INPDP. La procédure est plus stricte :
- Justifier la nécessité (pourquoi un badge RFID ne suffit pas)
- Démontrer la proportionnalité (la biométrie est-elle vraiment indispensable ?)
- Obtenir le consentement explicite et écrit de chaque employé concerné
- Stocker les templates biométriques en local sur le device, jamais en serveur centralisé
- Limiter l'accès aux données aux seules personnes habilitées (HR_ADMIN)
- Prévoir une procédure de suppression à la fin du contrat ou en cas de retrait du consentement
3. Données de santé · Autorisation préalable + accès restreint
Les certificats médicaux pour les congés maladie, les données médicales du dossier RH, les arrêts de travail : tout cela relève des données sensibles (Art. 14 loi 2004-63). Obligations spécifiques :
- Autorisation préalable INPDP (comme la biométrie)
- Stockage chiffré obligatoire (AES-256-GCM ou équivalent)
- Accès limité au médecin du travail et au DRH (jamais le manager direct)
- Durée de conservation : 5 ans après la fin du contrat puis suppression
- Possibilité pour le salarié de consulter et corriger ses données
4. Transferts hors Tunisie · Autorisation préalable
Si votre SIRH héberge ses données aux États-Unis, en Inde, ou même en France, vous faites un transfert international de données personnelles. La Tunisie l'autorise sous conditions strictes (Art. 50-52 loi 2004-63) :
- Le pays destinataire doit offrir un niveau de protection équivalent (la liste blanche INPDP inclut les pays UE)
- Sinon, autorisation préalable INPDP au cas par cas
- Information explicite des salariés sur le transfert
- Contrat type imposé avec le sous-traitant étranger
Les 8 obligations clés du responsable de traitement
- Licéité : vous devez avoir une base légale (contrat de travail, obligation légale, consentement, intérêt légitime) pour chaque traitement.
- Information : informer le salarié de ce qui est collecté, pourquoi, qui y accède, combien de temps c'est gardé.
- Minimisation : ne collecter que les données strictement nécessaires (pas la religion, l'orientation sexuelle, etc.).
- Exactitude : les données doivent être à jour. Le salarié peut demander correction à tout moment.
- Conservation limitée : 5 ans après la fin du contrat pour la paie, 3 ans pour les candidatures non retenues, etc.
- Sécurité : chiffrement, contrôle d'accès, sauvegardes, traçabilité (audit log).
- Notification de violation : si fuite de données, déclarer à l'INPDP sous 72h et informer les salariés concernés.
- Responsabilité : tenir un registre des traitements démontrant la conformité (pas juste y arriver, le prouver).
Sanctions : ce que vous risquez vraiment
| Manquement | Sanction administrative | Sanction pénale |
|---|---|---|
| Pas de déclaration préalable | 1 à 10 000 DT | 3 mois à 5 ans + 5 000 à 100 000 DT |
| Biométrie sans autorisation | 5 000 à 100 000 DT | 1 à 5 ans + 5 000 à 100 000 DT |
| Violation données + non-déclaration | 10 000 à 100 000 DT | 1 à 5 ans + 5 000 à 100 000 DT |
| Transfert international illicite | 5 000 à 50 000 DT | 6 mois à 5 ans + 10 000 à 100 000 DT |
| Refus de droits salarié (accès, correction) | 1 000 à 10 000 DT | 1 mois à 1 an |
Les sanctions administratives, à l’échelle
- Pas de déclaration préalable1 – 10 000 DT
- Biométrie sans autorisation5 000 – 100 000 DT
- Violation données + non-déclaration10 000 – 100 000 DT
- Transfert international illicite5 000 – 50 000 DT
- Refus de droits salarié (accès, correction)1 000 – 10 000 DT
À titre de comparaison, le RGPD européen sanctionne jusqu'à 4% du chiffre d'affaires mondial ou 20M€ · ce qui peut tuer une PME en cas de fuite massive.
Pratique : checklist conformité en 10 étapes
- Nommer un référent données (peut être le DRH cumulant, pas besoin d'un DPO certifié si < 250 salariés)
- Faire l'inventaire de VOS traitements (paie, congés, pointage, recrutement, marketing)
- Déclarer les traitements classiques à l'INPDP via le formulaire en ligne
- Demander l'autorisation préalable pour la biométrie / santé / transferts
- Mettre à jour votre contrat de travail avec une clause information données
- Récolter les consentements explicites pour la biométrie (formulaire signé)
- Vérifier que votre SIRH chiffre les données sensibles et héberge en UE
- Mettre en place un audit log de qui accède à quoi
- Définir une procédure de notification de violation (qui appelle qui en cas de fuite)
- Tenir un registre des traitements (PDF mis à jour annuellement)
Comment Levia accélère votre mise en conformité
Levia est conçu pour être conforme INPDP + RGPD dès le premier jour. Concrètement :
- Hébergement EU : Supabase eu-west-1 + Cloudflare R2 EU → reconnaissance automatique INPDP, pas d'autorisation de transfert nécessaire
- Chiffrement applicatif : IBAN, CIN, salaires chiffrés AES-256-GCM avant insertion en base (pas juste chiffrement disque)
- Audit log immutable : chaque accès aux données sensibles est tracé avec masquage automatique des valeurs
- Consentement biométrique : workflow intégré avec génération du formulaire PDF signé, stockage du consentement par salarié
- Templates biométriques locaux : seuls les vecteurs non-réversibles restent sur les pointeuses (jamais en serveur)
- Registre des traitements : généré automatiquement depuis votre config Levia (paie, RH, recrutement) · prêt à fournir à l'INPDP en cas de contrôle
- Notification de violation : alerte automatique pour vous + email aux salariés concernés si une fuite est détectée
Questions fréquentes
Faut-il déclarer la paie à l’INPDP ?
Oui. La paie, les congés, le pointage GPS, l’annuaire interne et la gestion des candidatures sont des traitements classiques : ils doivent faire l’objet d’une déclaration préalable à l’INPDP avant tout démarrage. Le formulaire est en ligne sur inpdp.tn, gratuit, avec une réponse sous 30 jours.
Une déclaration suffit-elle pour un pointage biométrique ?
Non. L’empreinte, la reconnaissance faciale et l’iris exigent une autorisation préalable de l’INPDP. Il faut justifier la nécessité, démontrer la proportionnalité, obtenir le consentement explicite et écrit de chaque employé concerné, garder les templates en local sur le device et prévoir leur suppression à la fin du contrat ou en cas de retrait du consentement.
Le RGPD européen s’applique-t-il à une PME uniquement tunisienne ?
Non. Si votre entreprise est uniquement tunisienne et n’a aucun client ni salarié en UE, seule la loi 2004-63 s’applique. Le RGPD européen s’ajoute dès que vous avez des clients ou des salariés en UE. Les deux régimes convergent : être conforme RGPD revient à être quasi conforme INPDP.
Héberger les données en Europe demande-t-il une autorisation de transfert ?
Non, la liste blanche INPDP inclut les pays de l’UE : un hébergement en France ou en Allemagne bénéficie de cette reconnaissance sans autorisation supplémentaire. Un hébergement hors liste blanche demande, lui, une autorisation INPDP au cas par cas.
Que risque une entreprise qui n’a rien déclaré ?
L’absence de déclaration préalable coûte de 1 à 10 000 DT en sanction administrative, et de 3 mois à 5 ans assortis de 5 000 à 100 000 DT au pénal. La biométrie posée sans autorisation monte à 5 000 à 100 000 DT côté administratif.
Soyez conforme INPDP + RGPD dès le 1er jour
Hébergement EU, chiffrement AES-256-GCM, registre des traitements auto, consentement biométrique intégré.
Pas prêt·e à vous inscrire ? Recevez nos prochains articles
1 email par mois max. Guides paie, conformité, conventions sectorielles. Désabonnement en 1 clic.
En vous abonnant, vous acceptez notre politique de confidentialité. Double opt-in : on vous envoie un email de confirmation.