Badgeuse à empreinte, lecteur du réseau veineux, borne de reconnaissance faciale : ces dispositifs se vendent comme de simples outils de sécurité. Juridiquement, ils traitent une donnée biométrique, c'est-à-dire l'une des catégories que le RGPD protège le plus. Cet article distingue, usage par usage, ce que l'employeur peut mettre en place et ce qui reste exclu.
Le cadre de la biométrie au travail en RGPD repose sur trois textes qui se superposent : le RGPD lui-même, le règlement type de la CNIL de 2019 propre aux lieux de travail, et, pour les systèmes d'intelligence artificielle, le règlement européen sur l'IA. Les lire ensemble évite de croire qu'un fournisseur « conforme » suffit.
Pourquoi une empreinte ou un visage sont-ils des données sensibles ?
Parce que le RGPD les classe parmi les catégories particulières de données dès qu'ils servent à identifier une personne de manière unique. Leur traitement est alors interdit par principe, sauf exception prévue par les textes.
L'article 4, point 14, du RGPD définit les données biométriques comme des données « résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques ». L'article 9 les range ensuite parmi les données sensibles lorsqu'elles sont traitées « aux fins d'identifier une personne physique de manière unique ». Une photo sur un badge n'est donc pas visée ; le gabarit calculé à partir du visage l'est.
L'article 9, paragraphe 4, autorise les États membres à fixer des conditions supplémentaires. La France l'a fait : la loi Informatique et Libertés permet aux employeurs de traiter des données biométriques strictement nécessaires au contrôle d'accès, dans le respect d'un règlement type de la CNIL. Pour les autres catégories protégées, voir notre article sur les données sensibles au sens du RGPD.
Ce que permet le règlement type CNIL de 2019
Le règlement type est la délibération n° 2019-001 du 10 janvier 2019, publiée au Journal officiel et présentée par la CNIL le 28 mars 2019. Il est contraignant : un employeur qui recourt à la biométrie au travail doit en suivre chaque disposition. Son texte intégral limite les finalités au contrôle d'accès à des locaux soumis à restriction de circulation et à des appareils ou applications professionnels, tous limitativement identifiés.
Avant tout choix technique, l'employeur doit démontrer que la biométrie est nécessaire. La page de la CNIL consacrée au règlement type donne trois cas où elle ne l'est pas : un badge suffit, le dispositif ne répond qu'à un confort d'usage, ou les locaux et outils protégés ne sont pas particulièrement sensibles. Trois modes de conservation du gabarit sont ensuite hiérarchisés.
| Type | Où se trouve le gabarit | Quand l'utiliser |
|---|---|---|
| Type 1 | Sous la maîtrise exclusive de la personne (carte, support individuel) | Modèle à privilégier |
| Type 2 | En base, mais illisible sans un secret confié à la personne | Si le type 1 est impossible |
| Type 3 | Sous la maîtrise exclusive de l'employeur | Seulement si les types 1 et 2 sont impossibles dans le contexte |
Le texte fixe aussi des garanties : enregistrements bruts non conservés, gabarits supprimés au retrait de l'habilitation, journaux d'accès limités à six mois glissants en base active. Un dispositif de secours doit exister, sans contrainte ni surcoût pour les personnes qui n'utilisent pas la biométrie.
Peut-on pointer ses horaires avec une empreinte digitale ?
Non. La CNIL considère que la biométrie appliquée au contrôle des horaires est disproportionnée. Le règlement type ne vise d'ailleurs que le contrôle d'accès, pas le suivi du temps de travail.
Dans sa fiche sur l'accès aux locaux et le contrôle des horaires, mise à jour en juin 2026, la CNIL écrit que la biométrie pour contrôler les horaires « apparaît excessive et serait contraire au principe de minimisation ». Elle rappelle aussi qu'un dispositif installé pour la sécurité des locaux ne peut pas être détourné pour vérifier les horaires des salariés. Pour le suivi des présences, un badge ou un code répond au besoin.
Quelles obligations avant de déployer un dispositif ?
Une analyse d'impact, une information écrite de chaque salarié et l'association des représentants du personnel. Le tout avant la mise en service.
- Analyse d'impact : le règlement type impose une AIPD avant la mise en œuvre, quel que soit le type de stockage, à mettre à jour au moins tous les trois ans. Voir notre guide sur l'AIPD pour la méthode.
- Justification écrite : documenter pourquoi un badge ne suffit pas et pourquoi ce type de stockage a été retenu.
- Information individuelle : remise par écrit avant l'enrôlement, conformément aux articles 12 et suivants du RGPD.
- Représentants du personnel : la CNIL renvoie à l'information et à la consultation du CSE prévues par le Code du travail (article L. 2312-38).
Une conformité en matière de biométrie au travail et RGPD se juge sur ce dossier : un fournisseur ne peut pas justifier à votre place la nécessité du dispositif.
Ce que l'IA Act ajoute pour les employeurs
Depuis le 2 février 2025, le règlement européen sur l'IA interdit les systèmes qui infèrent les émotions des personnes au travail, sauf raisons médicales ou de sécurité.
L'article 5, paragraphe 1, point f, de l'IA Act vise l'utilisation de systèmes d'IA « pour inférer les émotions d'une personne physique sur le lieu de travail et dans les établissements d'enseignement ». Selon l'article 113, les chapitres I et II, dont l'article 5, s'appliquent depuis le 2 février 2025. Une caméra analysant l'humeur des équipes relève ainsi d'une pratique interdite par l'IA Act. La version consolidée publiée par la Commission ne signale pas de modification de ce point par l'omnibus de 2026.
À retenir
- Un gabarit d'empreinte ou de visage est une donnée sensible (articles 4 §14 et 9 du RGPD).
- La biométrie au travail n'est admise que pour contrôler l'accès à des locaux ou outils sensibles, dans le respect du règlement type CNIL de 2019.
- Le pointage des horaires par biométrie est jugé excessif par la CNIL.
- AIPD, information écrite, consultation du CSE et solution de secours sont exigées avant tout déploiement.
- L'IA Act interdit depuis février 2025 la reconnaissance des émotions des salariés, hors raisons médicales ou de sécurité.
Si vous envisagez un projet de biométrie au travail sous le RGPD, commencez par l'étude de nécessité : elle conditionne tout le reste.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Donnée biométriqueUne donnée biométrique est une donnée personnelle issue d'un traitement technique spécifique des caractéristiques physiques, physiologiques ou comportementales d'une personne (empreinte digitale, visage, voix, iris) qui permet ou confirme son identification unique.
- AIPDL'AIPD, ou analyse d'impact relative à la protection des données, est une étude menée avant un traitement susceptible d'engendrer un risque élevé pour les personnes, afin d'évaluer ce risque et de définir les mesures pour le réduire.
- IA ActL'IA Act est le règlement européen 2024/1689 sur l'intelligence artificielle. Il encadre la mise sur le marché et l'utilisation des systèmes d'IA dans l'Union selon leur niveau de risque, de l'interdiction pure et simple à de simples obligations de transparence.
- Données sensiblesLes données sensibles sont des catégories de données dont le traitement est interdit par principe : origine raciale ou ethnique, opinions politiques, religion, appartenance syndicale, données génétiques, biométriques, de santé, vie ou orientation sexuelle.
- MinimisationLa minimisation est le principe selon lequel seules les données adéquates, pertinentes et strictement nécessaires à la finalité poursuivie peuvent être collectées et traitées. Tout ce qui est superflu doit être écarté.
