Pointage biométrique : ce que la CNIL autorise vraiment

Un client vous demande d'activer l'empreinte digitale sur vos badgeuses pour en finir avec les badges prêtés entre collègues. La demande est banale, la réponse l'est moins : pour le contrôle des horaires, le pointage biométrique est presque toujours illicite en France, et l'éditeur qui livre la fonctionnalité sans garde-fou expose son client à une amende plafonnée à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. La CNIL autorise pourtant la biométrie au travail, dans un cadre précis : le contrôle d'accès à des zones ou des applications sensibles. Voici ce que ce cadre permet, ce qu'il interdit, et ce que votre produit doit proposer à la place.

Pourquoi la biométrie est une donnée sensible au travail

Le RGPD définit les données biométriques comme celles qui résultent d'un traitement technique spécifique des caractéristiques physiques, physiologiques ou comportementales d'une personne et qui permettent ou confirment son identification unique (article 4, point 14). L'empreinte digitale, le réseau veineux de la main, l'iris et l'image faciale traitée par un algorithme de reconnaissance entrent dans cette définition. Une simple photo sur un badge n'y entre pas tant qu'aucun traitement d'identification ne s'y applique.

Dès qu'elles servent à identifier une personne de manière unique, ces données tombent sous l'interdiction de principe de l'article 9, paragraphe 1, du RGPD, reprise à l'article 6 de la loi Informatique et Libertés. Le traitement n'est possible que si l'une des exceptions limitativement énumérées s'applique. Et le paragraphe 4 du même article 9 autorise chaque État membre à ajouter des conditions propres à la biométrie. La France l'a fait : la loi charge la CNIL d'établir des règlements types pour régir les traitements biométriques (article 8, I, 2°, c), et n'ouvre l'exception employeur qu'aux traitements conformes à ces règlements types (article 44, 4°).

Une donnée qu'on ne peut pas révoquer

La raison de cette sévérité est technique, et un CTO la comprend immédiatement. Un mot de passe compromis se change. Un badge volé se désactive. Une empreinte digitale fuitée est compromise pour toujours, et peut servir à tromper un autre dispositif fondé sur la même caractéristique. La CNIL l'écrivait en ces termes dès 2016 : la donnée biométrique est « un élément d'identité irrévocable ». Toute l'architecture du cadre français découle de cette idée : limiter les finalités, laisser le gabarit sous le contrôle de la personne, et ne jamais centraliser ce qui ne peut pas être remplacé.

Le règlement type biométrie de la CNIL : ce qu'il permet

Le texte de référence est la délibération n° 2019-001 du 10 janvier 2019 portant règlement type relatif au contrôle d'accès biométrique sur les lieux de travail. Il s'applique aux employeurs publics et privés et à leurs salariés, agents, stagiaires et prestataires. Il ne remplace pas le RGPD : il s'y ajoute.

Deux finalités, pas une de plus

L'article 2 du règlement type n'admet la biométrie que pour deux usages :

• le contrôle d'accès aux locaux limitativement identifiés comme devant faire l'objet d'une restriction de circulation : salle serveurs, laboratoire, coffre, zone de stockage de produits dangereux ;
• le contrôle d'accès aux appareils et applications professionnels limitativement identifiés : poste d'administration, console de production, logiciel manipulant des données critiques.

La porte d'entrée générale des bureaux ne relève pas, en principe, d'une zone à circulation restreinte au sens du texte. Et le contrôle des horaires ne figure pas dans la liste.

Une justification écrite, préalable et documentée

L'article 3 impose à l'employeur de démontrer pourquoi un badge, un code ou une mesure organisationnelle ne suffit pas à atteindre le niveau de sécurité exigé. La justification décrit le contexte qui rend nécessaire une protection élevée, explique pourquoi la biométrie a été préférée à une autre technologie, et reste à disposition de la CNIL. L'article 5 ajoute que le choix de la caractéristique (empreinte, iris, réseau veineux) doit lui aussi être motivé, et proscrit toute biométrie fondée sur un prélèvement biologique.

Des durées de conservation codées en dur

L'article 8 fixe des règles que votre produit doit implémenter, pas seulement documenter :

• l'image brute de l'empreinte ou du visage n'est traitée que le temps de calculer le gabarit, puis détruite ;
• le gabarit est conservé chiffré, sous une forme qui ne permet pas de reconstituer la caractéristique d'origine, et seulement pendant la durée d'habilitation de la personne ;
• les journaux d'accès ne restent pas plus de six mois glissants en base active ;
• les données d'identification sont supprimées au plus tard six mois après le départ ou le retrait des habilitations.

L'article 9 exige enfin une notice écrite remise à chaque salarié avant son enrôlement, en plus de l'information générale prévue par le RGPD. Sur la manière de construire cette information, voir notre article sur l'information des salariés sur les traitements de données mis en place. L'article L. 1222-4 du code du travail va dans le même sens : aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui ne lui a pas été préalablement porté à connaissance.

Badgeuse à empreinte digitale pour le pointage : un usage que la CNIL refuse

La position de la CNIL sur le contrôle des horaires est constante depuis 2012. Par une délibération n° 2012-322 du 20 septembre 2012, elle a retiré la gestion des horaires du champ de l'autorisation unique qui couvrait la reconnaissance du contour de la main, et a étendu cette exclusion à tous les dispositifs biométriques. Aujourd'hui, l'exception de l'article 44, 4°, de la loi Informatique et Libertés ne couvre que le contrôle d'accès aux lieux, appareils et applications. Le pointage horaire n'y figure pas.

Le précédent de l'EHPAD qui voulait éviter la perte de badges

Le 21 juillet 2016 (délibération n° 2016-220), la CNIL a refusé à un EHPAD l'installation d'une pointeuse à empreinte digitale. L'établissement invoquait la perte fréquente de badges, la praticité et la simplicité d'usage. Réponse de la Commission : aucune circonstance exceptionnelle n'est démontrée, et la gestion des horaires peut être assurée par un autre dispositif sans biométrie. Le traitement n'est donc ni adapté ni proportionné. C'est exactement l'argument commercial que vos clients avancent aujourd'hui, et il ne tient pas.

Pourquoi le consentement des salariés ne sauve pas le dispositif

Reste en théorie le consentement explicite (article 9, paragraphe 2, a, du RGPD). En pratique, le considérant 43 du RGPD écarte le consentement lorsqu'il existe un déséquilibre manifeste entre la personne et le responsable du traitement, et la relation de travail en est l'exemple type. L'autre exception propre au droit du travail (article 9, paragraphe 2, b) suppose un texte qui autorise le traitement : aucun texte français n'autorise la biométrie pour décompter le temps de travail. La jurisprudence des autorités de contrôle tend donc à exclure le pointage biométrique, avec ou sans accord des salariés. L'article L. 1121-1 du code du travail ferme la marche : toute restriction aux libertés des salariés doit être justifiée par la tâche à accomplir et proportionnée au but recherché. Un badge sans biométrie atteint le même but.

Point de vigilance pour l'éditeur. Proposer la biométrie en option ne suffit pas. Aux Pays-Bas, l'entreprise sanctionnée de 725 000 € laissait à ses salariés le choix entre l'empreinte et un badge. L'autorité a retenu la violation de l'article 9 parce que l'entreprise ne pouvait prouver aucun consentement valable et que la finalité, le pointage, ne relevait d'aucune exception. Une option « empreinte » activable sur un module de gestion des temps reste une fonctionnalité illicite pour la quasi-totalité de vos clients français.

Les trois modes de stockage du gabarit biométrique

C'est la partie du règlement type qui concerne le plus directement votre architecture. L'article 7 distingue trois types de détention du gabarit, selon le degré de maîtrise laissé au salarié.

Type 1 : le gabarit sous maîtrise exclusive du salarié

Le seul support de stockage durable est détenu par la personne : carte à puce, badge sécurisé. La comparaison se fait sur la carte (« match-on-card ») et le gabarit ne quitte jamais le support. C'est le principe : en l'absence de circonstances particulières, un employeur ne peut utiliser que le type 1.

Type 2 : la maîtrise partagée

Le gabarit est stocké sur un serveur ou un terminal maîtrisé par l'employeur, mais sous une forme inexploitable sans un secret détenu par le salarié, par exemple un code qui déchiffre le gabarit au moment de la comparaison. Le type 2 n'est admis que s'il est avéré qu'un support individuel n'est pas adapté à l'architecture ou au contexte d'exploitation.

Type 3 : la base centrale exploitable par l'employeur

Le gabarit est stocké dans une base maîtrisée par l'employeur, sous une forme exploitable sans badge ni secret. C'est un schéma fréquent sur les terminaux biométriques autonomes. Il n'est admis que si les types 1 et 2 sont démontrés inadaptés, avec les mesures de sécurité de l'article 10 complétées par une analyse de risques circonstanciée. Une décision de passer en type 2 ou 3 se documente en détail.

Les exigences de sécurité qui pèsent sur le produit

L'article 10 liste un socle minimal qu'un éditeur doit pouvoir démontrer : chiffrement des gabarits avec une gestion des clés conforme à l'état de l'art, code d'intégrité sur les données, détection des faux doigts, interdiction de tout accès externe au gabarit (match-on-card ou module de sécurité matériel de type HSM), comparaison sans copie du gabarit, effacement automatique en cas d'arrachage du terminal, logiciel signé, canaux chiffrés. Il impose aussi un dispositif de secours « sans contrainte ni surcoût » pour les personnes qui ne peuvent pas ou ne veulent pas utiliser la biométrie, et un contrôle au moins annuel de ces mesures. Pour un éditeur, chaque ligne de cet article est une exigence de cahier des charges.

AIPD et consultation du CSE avant tout contrôle d'accès biométrique

Deux formalités conditionnent la mise en service, quel que soit le type de stockage retenu.

L'analyse d'impact, obligatoire et révisée tous les trois ans

L'article 11 du règlement type classe tous les traitements qu'il régit parmi ceux susceptibles d'engendrer un risque élevé. Une analyse d'impact au sens de l'article 35 du RGPD doit donc être réalisée avant la mise en œuvre, même en type 1. Elle estime les risques résiduels en gravité et en vraisemblance, et elle est mise à jour au moins tous les trois ans. Le recours au type 3 exige une documentation « particulièrement circonstanciée ». L'AIPD est l'affaire du client employeur, responsable du traitement, mais c'est l'éditeur qui détient les éléments techniques pour la remplir : algorithme, format du gabarit, chiffrement, localisation des données. Fournir ce dossier technique fait partie de votre offre. Un audit RGPD du dispositif permet de vérifier que l'AIPD et la documentation du choix de stockage tiennent.

Le CSE, consulté avant la décision

L'article L. 2312-38 du code du travail impose d'informer et de consulter le comité social et économique préalablement à la décision de mettre en œuvre tout moyen ou technique permettant un contrôle de l'activité des salariés. Le même article prévoit l'information du CSE avant l'introduction de tout traitement automatisé de gestion du personnel. Un contrôle d'accès biométrique génère des journaux horodatés de présence : il entre dans le champ. Pour un dispositif installé sans consultation, la jurisprudence tend à le juger inopposable aux salariés, et la preuve qu'il produit devient fragile devant le juge.

Sanctions pour pointage biométrique et reconnaissance faciale

Reconnaissance faciale : aucun régime de faveur

La reconnaissance faciale ne bénéficie d'aucun régime de faveur. Le visage est une caractéristique morphologique admise par l'article 5 du règlement type, donc utilisable pour le contrôle d'accès à une zone sensible dans les mêmes conditions que l'empreinte. Mais elle présente deux défauts structurels. Elle fonctionne le plus souvent en type 3, avec une base de visages centralisée. Et elle peut capter une personne sans geste volontaire de sa part, ce qui rend la justification de proportionnalité beaucoup plus difficile.

Pour le contrôle des horaires, la règle est la même que pour l'empreinte : pas de fondement. Le Garante italien l'a rappelé par une décision n° 105 du 22 février 2024 : 70 000 € d'amende contre une entreprise de propreté urbaine qui contrôlait la présence de ses salariés par reconnaissance faciale, sans base légale, sans information spécifique et sans analyse d'impact. Côté français, la CNIL a montré en 2022 le prix d'une base biométrique constituée sans fondement : 20 millions d'euros contre Clearview AI (délibération SAN-2022-019 du 17 octobre 2022). Les faits sont différents, le principe est le même : une base de gabarits faciaux sans exception de l'article 9 est un traitement illicite.

Les sanctions prononcées pour pointage biométrique

Les montants publiés restent modestes en France, mais la trajectoire européenne est nette.

• CNIL, SAN-2018-009 du 6 septembre 2018 : 10 000 €. Une société utilisait depuis 2011 une pointeuse à empreinte digitale pour gérer les horaires. Mise en demeure le 26 juillet 2017, elle annonce l'arrêt du dispositif. Au contrôle suivant, le 29 mars 2018, le boîtier est toujours installé, certains salariés l'utilisent encore et les données biométriques collectées depuis le 30 août 2011 n'ont jamais été purgées.
• Autoriteit Persoonsgegevens, décision du 4 décembre 2019 : 725 000 €. Pointage par empreinte digitale pour la gestion des temps et la paie, violation de l'article 9 constatée du 25 mai 2018 au 16 avril 2019. L'existence d'une alternative par badge n'a pas suffi.

Deux enseignements pour un éditeur. D'abord, le contrôle part souvent du terrain : aux Pays-Bas, l'enquête a été ouverte sur un simple signalement. Ensuite, la CNIL relève aussi les défauts de sécurité autour du dispositif, comme les mots de passe faibles du logiciel de gestion dans la décision de 2018. Le plafond théorique reste celui de l'article 83, paragraphe 5, du RGPD : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Pour savoir comment se déroule un contrôle et comment s'y préparer, voir notre article sur le contrôle CNIL et le rôle de l'avocat.

Ce qu'un éditeur de badgeuse doit proposer à la place

L'éditeur n'est en général que sous-traitant de son client employeur. Mais l'article 25 du RGPD impose au responsable du traitement de choisir des outils conçus pour protéger les données dès la conception. Un produit qui ne permet pas une configuration conforme ne se vend plus aux DRH qui ont un DPO. Voici ce que je recommande aux éditeurs que j'accompagne.

Séparer les modules dans le produit

Le module de gestion des temps et le module de contrôle d'accès sont deux traitements distincts, avec deux finalités. Dans le produit, la biométrie ne doit être activable que sur le second, et seulement sur des zones ou des applications que l'administrateur client désigne explicitement comme sensibles. Un paramétrage qui permet d'alimenter la paie à partir d'un événement biométrique est une non-conformité livrée clé en main.

Proposer des alternatives de pointage robustes

La fraude au pointage (le badge prêté au collègue) est le vrai besoin du client. Les réponses sans biométrie existent : badge nominatif avec code personnel, pointage sur smartphone avec authentification forte du compte, validation hiérarchique des anomalies, rapprochement avec les plannings. Elles se défendent devant la CNIL et devant le CSE.

Livrer le type 1 par défaut et le dossier de conformité avec le produit

Pour le contrôle d'accès, le paramétrage par défaut doit être le stockage sur carte avec comparaison sur la carte. Le type 2 ou 3 ne s'active qu'après une confirmation de l'administrateur, assortie d'un rappel de la justification à documenter. Joignez au contrat un dossier type : description technique pour l'AIPD, modèle de notice d'information à remettre avant l'enrôlement, matrice des mesures de l'article 10, procédure de purge à six mois. C'est un argument commercial face à un acheteur qui vous envoie un questionnaire de sécurité de 200 lignes.

Encadrer contractuellement la fonctionnalité

Le contrat ou les CGU doivent rappeler que le client reste responsable du choix de la finalité, que la biométrie ne peut servir qu'au contrôle d'accès, et que toute activation hors de ce cadre relève de sa seule responsabilité. Cette clause ne vous exonère pas de vos propres obligations de sous-traitant, mais elle répartit le risque. Un mot sur l'avenir : la Commission a proposé le 19 novembre 2025 (COM(2025) 837) d'ajouter au RGPD une exception pour la vérification biométrique lorsque les données ou les moyens de vérification restent sous le seul contrôle de la personne. Ce texte est encore en discussion et ne change rien au droit applicable. S'il est adopté, il favorisera les architectures de type 1 : une raison de plus d'en faire votre standard.

Checklist avant de déployer un dispositif biométrique

1. La finalité est le contrôle d'accès à des locaux, appareils ou applications limitativement identifiés, jamais le pointage horaire.
2. La justification écrite explique pourquoi un badge ou un code ne suffit pas, et pourquoi telle caractéristique biométrique a été choisie.
3. Le gabarit est en type 1, ou le passage en type 2 ou 3 est documenté et motivé.
4. Les images brutes sont détruites après calcul du gabarit, les journaux purgés à six mois glissants.
5. Une alternative sans contrainte ni surcoût est proposée à chaque salarié.
6. L'AIPD est réalisée avant la mise en service et planifiée pour révision à trois ans.
7. Le CSE a été informé et consulté avant la décision, et chaque salarié a reçu sa notice écrite avant l'enrôlement.
8. Les mesures de sécurité de l'article 10 sont contrôlées au moins une fois par an.

Sécuriser votre offre avant qu'un client ne vous la reproche

Un éditeur de badgeuse ou de logiciel de gestion des temps n'a pas besoin de renoncer à la biométrie. Il doit la cantonner au contrôle d'accès, l'architecturer en type 1 et livrer à ses clients de quoi documenter leur AIPD. Je travaille avec des éditeurs sur ces sujets en lisant le code et l'architecture autant que les contrats : revue du paramétrage, clauses de sous-traitance, dossier de conformité remis aux acheteurs, défense en cas de procédure devant la CNIL. C'est le cœur de mon accompagnement des éditeurs de logiciels et SaaS. Si votre produit propose déjà une option biométrique, ou si un client vous la réclame, échangeons sur la configuration de votre produit avant la prochaine mise en production.