Les données biométriques (empreintes digitales, reconnaissance faciale, iris) font l’objet d’une protection renforcée par le RGPD. Leur utilisation en entreprise pour le contrôle d’accès ou le pointage est soumise à des conditions strictes que tout employeur doit maîtriser.
La qualification juridique : données sensibles
Les données biométriques sont qualifiées de catégorie particulière de données personnelles (données sensibles) par l’article 9 du RGPD. Leur traitement est en principe interdit, sauf exceptions limitativement énumérées.
En matière d’emploi, l’exception applicable est celle de l’article 9.2.b : le traitement est nécessaire aux fins de l’exécution des obligations et de l’exercice des droits propres au responsable du traitement en matière de droit du travail, dans la mesure où ce traitement est autorisé par le droit de l’État membre.
Le cadre CNIL : le règlement type biométrie
La CNIL a adopté un règlement type relatif à la biométrie sur les lieux de travail (délibération n° 2019-001 du 10 janvier 2019) qui encadre strictement l’utilisation :
Finalités autorisées
- Contrôle d’accès aux locaux limitativement identifiés
- Contrôle d’accès aux outils de travail (ordinateurs, applications)
Finalités interdites
- Contrôle des horaires de travail (le pointage biométrique est interdit)
- Surveillance des déplacements des salariés
- Profilage ou analyse comportementale
Les conditions de mise en œuvre
- Justifier la nécessité : la biométrie ne doit être utilisée que si aucun autre moyen n’est suffisant (badge, code, etc.)
- Réaliser une AIPD (analyse d’impact sur la protection des données) obligatoire pour tout traitement de données biométriques
- Consulter le CSE préalablement
- Informer chaque salarié individuellement
- Privilégier le stockage local (dans un badge ou un appareil individuel) plutôt que centralisé
- Limiter la durée de conservation au strict nécessaire
- Garantir le droit d’opposition et proposer une alternative (badge classique)
Les types de stockage
Le règlement type distingue trois types de stockage, du plus au moins protecteur :
- Type 1 : stockage sous le contrôle exclusif de la personne (badge individuel) — recommandé
- Type 2 : stockage sur un serveur central avec chiffrement — acceptable si justifié
- Type 3 : stockage sur un terminal de lecture — le plus risqué, à éviter
Le cabinet DAIRIA Avocats accompagne les employeurs sur ces problématiques. Notre plateforme DAIRIA IA permet d’automatiser votre veille juridique en droit social.
FAQ — Questions fréquentes
La reconnaissance faciale est-elle autorisée au travail ?
Uniquement pour le contrôle d’accès à des locaux à accès restreint, si aucun autre moyen n’est suffisant, et dans le respect strict du règlement type CNIL.
Le salarié peut-il refuser le dispositif biométrique ?
Oui. L’employeur doit proposer une alternative non biométrique (badge, code). Le refus ne peut donner lieu à sanction.
L’AIPD est-elle toujours obligatoire pour la biométrie ?
Oui. L’article 35 du RGPD et les lignes directrices de la CNIL classent les traitements de données biométriques parmi ceux nécessitant systématiquement une AIPD.
