Blog

Pointeuse biometrique en entreprise : ce que le RGPD autorise reellement

Publie le 20/10/2026 · Temps de lecture : 10 min

Un commercial vous propose une pointeuse a empreinte digitale pour remplacer vos badges, en vantant la fin des « oublis de badge » et des pointages pour un collegue absent. L'argument commercial tient en une phrase : c'est plus fiable qu'un badge. Le probleme, c'est que la fiabilite n'est pas le critere retenu par le RGPD ni par la CNIL. Une empreinte digitale ou le contour d'une main ne se changent jamais, contrairement a un mot de passe ou a une carte perdue : c'est precisement pour cette raison que leur traitement est strictement encadre, et que de nombreux dispositifs installes de bonne foi en entreprise sont, en realite, non conformes.

Cet article fait le point sur ce que la biometrie au travail autorise vraiment, ce qu'elle interdit, et comment vous situer si un tel systeme est deja installe chez vous.

Sommaire

• 1. Pourquoi la biometrie est une categorie de donnees a part
• 2. Le test que la CNIL applique : necessite et proportionnalite
• 3. Biometrie « a trace » et « sans trace » : une distinction decisive
• 4. Pointeuse biometrique pour le pointage horaire : le cas le plus risque
• 5. L'analyse d'impact (AIPD), une etape obligatoire
• 6. Information des salaries et consultation du CSE
• 7. Vous avez deja un systeme biometrique installe ?
• Questions frequentes

1. Pourquoi la biometrie est une categorie de donnees a part

L'article 4, point 14, du RGPD definit les donnees biometriques comme les donnees issues d'un traitement technique specifique, relatives aux caracteristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique : une empreinte digitale, le contour de la main, la reconnaissance faciale ou vocale. Des lors que ces donnees servent a identifier une personne de maniere unique, l'article 9 du RGPD les classe parmi les « categories particulieres de donnees », au meme titre que les donnees de sante ou les opinions politiques.

La consequence est directe : leur traitement est interdit par principe, sauf a entrer dans l'une des exceptions limitees prevues par l'article 9, paragraphe 2. Dans le contexte du travail, l'exception generalement invoquee est celle liee aux obligations de l'employeur en matiere de droit social, combinee a une justification stricte de necessite. Le consentement du salarie, lui, ne suffit presque jamais : le Comite europeen de la protection des donnees considere que le lien de subordination entre un salarie et son employeur empeche, dans la plupart des cas, de recueillir un consentement reellement libre.

2. Le test que la CNIL applique : necessite et proportionnalite

Depuis sa deliberation n°2019-001 du 10 janvier 2019, la CNIL a publie un referentiel specifique aux traitements de donnees biometriques mis en œuvre sur les lieux de travail pour le controle d'acces aux locaux, aux appareils et aux applications informatiques. Ce texte remplace les anciennes autorisations uniques qui existaient avant l'entree en vigueur du RGPD, mais le principe de fond reste le meme : la biometrie doit repondre a un besoin de securite fort, que d'autres moyens moins intrusifs (badge, cle, code d'acces) ne permettent pas d'atteindre de maniere equivalente.

Concretement, l'employeur doit pouvoir demontrer, pour chaque local ou application concerne, pourquoi un simple badge serait insuffisant. Un local contenant des produits dangereux, un coffre, un serveur informatique sensible ou une zone d'acces tres restreint peuvent constituer des justifications recevables. Le confort de gestion, la volonte d'eviter les pertes de badges ou la simple modernisation du parc materiel ne le sont pas : ce sont des arguments de commodite, pas des besoins de securite au sens ou la CNIL l'entend.

3. Biometrie « a trace » et « sans trace » : une distinction decisive

La CNIL distingue deux architectures techniques tres differentes dans leurs consequences juridiques. Dans un dispositif « a trace », le gabarit biometrique de chaque salarie est enregistre dans une base de donnees centrale geree par l'employeur ou son prestataire. L'employeur dispose alors d'un fichier qui permet, a tout moment, de relier une empreinte a une identite : c'est le niveau d'intrusion le plus eleve, et celui que la CNIL examine avec la plus grande severite.

Dans un dispositif « sans trace », le gabarit biometrique n'est jamais stocke chez l'employeur : il reste exclusivement sur un support individuel que le salarie conserve, par exemple une carte a puce personnelle. Le lecteur compare l'empreinte presentee a celle enregistree sur la carte, sans jamais la transmettre a une base centrale. Si la carte est perdue ou volee, le gabarit qu'elle contient ne permet pas, a lui seul, de retrouver l'identite de son proprietaire. Cette architecture est jugee beaucoup moins intrusive et, de ce fait, plus facile a justifier aupres de la CNIL.

4. Pointeuse biometrique pour le pointage horaire : le cas le plus risque

C'est, en pratique, l'usage le plus repandu en TPE et PME, et aussi le plus fragile juridiquement. Remplacer une feuille de presence ou un badge par une empreinte digitale pour suivre les horaires de travail ne protege generalement aucun local sensible : l'objectif reel est la fiabilite du decompte du temps de travail et la lutte contre les pointages pour un collegue absent. La CNIL considere de maniere constante que cet objectif peut etre atteint par un badge, une carte ou un code, et que le recours a la biometrie n'est donc, dans ce cas precis, ni necessaire ni proportionne.

Un employeur qui installe une telle pointeuse s'expose a une procedure de mise en demeure de la CNIL si un salarie, un delegue du personnel ou un syndicat saisit l'autorite. La remise en conformite demandee consiste alors, le plus souvent, a remplacer le dispositif biometrique par un systeme de pointage classique, avec suppression des gabarits deja collectes.

5. L'analyse d'impact (AIPD), une etape obligatoire

Meme lorsque le dispositif biometrique est justifie, l'article 35 du RGPD impose de realiser une analyse d'impact relative a la protection des donnees (AIPD) avant sa mise en œuvre, des lors qu'il s'agit d'un traitement susceptible d'engendrer un risque eleve pour les personnes concernees. Le controle d'acces biometrique figure explicitement parmi les operations pour lesquelles la CNIL exige une AIPD au titre de sa liste publiee en application de l'article 35, paragraphe 4, du RGPD. L'absence d'AIPD, lorsqu'elle est requise, constitue a elle seule un manquement, independamment de la question de savoir si le dispositif est par ailleurs bien proportionne.

L'AIPD doit decrire le traitement envisage, evaluer sa necessite et sa proportionnalite, identifier les risques pour les salaries (usurpation d'identite en cas de fuite du gabarit, impossibilite de « changer » une empreinte compromise) et lister les mesures prises pour les reduire : chiffrement des gabarits, architecture sans trace lorsque c'est possible, duree de conservation limitee, habilitations restreintes aux personnes qui administrent le systeme.

6. Information des salaries et consultation du CSE

Au-dela du RGPD, le Code du travail impose ses propres garanties. L'article L1222-4 interdit de collecter une information concernant un salarie par un dispositif qui ne lui a pas ete prealablement porte a sa connaissance. L'article L2312-8 impose par ailleurs de consulter le comite social et economique (CSE) avant l'introduction de nouvelles technologies susceptibles d'avoir des consequences sur les conditions de travail du personnel, ce qui est le cas d'un dispositif biometrique. Enfin, l'article L1121-1 pose un principe general de proportionnalite : aucune restriction aux droits des personnes et aux libertes individuelles ne peut etre apportee si elle n'est pas justifiee par la nature de la tache a accomplir et proportionnee au but recherche.

Ces obligations s'ajoutent a celles du RGPD : une information complete doit etre remise a chaque salarie (finalite precise, base juridique, duree de conservation des gabarits, destinataires eventuels, droits dont il dispose), et une solution alternative doit etre proposee a ceux qui refusent le dispositif biometrique, sauf si le besoin de securite justifiant la biometrie rend cette alternative impossible pour le poste concerne.

7. Vous avez deja un systeme biometrique installe ?

Si votre entreprise utilise deja une pointeuse ou un controle d'acces biometrique, l'urgence n'est pas de tout demonter dans la journee, mais de documenter serieusement votre situation. Commencez par identifier precisement la finalite reelle du dispositif (pointage horaire, acces a un local specifique, acces a un poste informatique) et par vous demander si un badge atteindrait le meme objectif. Verifiez ensuite l'architecture technique retenue par votre prestataire : un systeme sans trace, ou le gabarit reste sur une carte individuelle, est generalement plus facile a maintenir en conformite qu'une base centralisee.

Si l'analyse montre que la biometrie n'est pas justifiee, la remise en conformite passe par le remplacement du dispositif par une solution non biometrique et par la suppression effective des gabarits deja collectes aupres de votre prestataire, pas seulement sur le boitier installe dans vos locaux. Si elle est justifiee, formalisez l'AIPD, l'information des salaries et, le cas echeant, la consultation du CSE qui manqueraient encore. Ces demarches, documentees dans votre registre des traitements, constituent votre meilleure defense en cas de controle.

Questions frequentes

A lire aussi

Profilage & decisions automatisees

Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir

Lire

E-mailing & prospection

Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee

Lire

SMS & prospection

Prospection par SMS : les regles RGPD specifiques que l'e-mailing ne couvre pas

Lire