Biométrie sur le lieu de travail : les règles de la CNIL expliquées simplement
- juillet 24, 2026
- 11:31
Table des matières
Qu’est-ce qu’une donnée biométrique ?
Une donnée biométrique est une information obtenue à partir d’une caractéristique physique, physiologique ou comportementale permettant de reconnaître une personne de manière unique.
Il peut notamment s’agir :
- de l’empreinte digitale ;
- du visage ;
- de l’iris ;
- de la forme de la main ;
- du réseau veineux d’un doigt ou d’une main ;
- de la voix ;
- de la démarche.
Lorsqu’elles sont utilisées pour identifier ou authentifier une personne, ces informations entrent dans la catégorie des données sensibles au sens du RGPD. Cette protection renforcée s’explique notamment par leur caractère durable : un mot de passe compromis peut être remplacé, alors qu’une empreinte digitale ou un visage ne peuvent pas être modifiés aussi facilement.
Photo, empreinte et gabarit biométrique : quelle différence ?
Un système biométrique n’enregistre pas nécessairement une photographie complète du doigt, du visage ou de la main.
Lors de l’enrôlement, le dispositif analyse certaines caractéristiques et crée une représentation mathématique appelée gabarit biométrique, ou template. Ce gabarit sert ensuite de référence pour vérifier que la personne présentée devant le lecteur est bien celle qui a été enregistrée.
Selon le règlement type de la CNIL :
- l’enregistrement brut utilisé pour créer le gabarit ne doit être conservé que le temps nécessaire à sa création ;
- le gabarit doit être protégé et chiffré ;
- il ne doit pas permettre de reconstituer la caractéristique biométrique d’origine.
Un gabarit reste néanmoins une donnée biométrique personnelle. Le fait de ne pas conserver directement la photographie de l’empreinte ne dispense donc pas l’employeur de respecter le RGPD.
La biométrie est-elle autorisée sur un lieu de travail ?
Oui, mais uniquement dans des situations précisément justifiées.
Le règlement type de la CNIL encadre l’utilisation de la biométrie par les employeurs publics et privés pour contrôler l’accès :
- à des locaux précisément identifiés et soumis à une restriction de circulation ;
- à certains appareils professionnels ;
- à certaines applications informatiques professionnelles.
Cela signifie qu’un employeur ne peut pas protéger automatiquement l’ensemble de ses bureaux par empreinte digitale ou reconnaissance faciale. Il doit identifier les espaces, équipements ou logiciels nécessitant véritablement une authentification renforcée.
Dans quels cas la biométrie peut-elle être justifiée ?
La biométrie peut être envisagée lorsqu’une entreprise doit empêcher l’accès d’une personne non autorisée à une ressource particulièrement sensible.
La CNIL cite notamment des contextes impliquant :
- des machines ou des produits dangereux ;
- des fonds ou des objets de grande valeur ;
- des produits soumis à une réglementation particulière ;
- des substances chimiques sensibles ;
- des environnements critiques ;
- des laboratoires ou des chambres blanches ;
- des applications ou équipements dont l’utilisation frauduleuse présenterait un risque important.
Ces exemples ne constituent pas une autorisation automatique. L’employeur doit toujours démontrer que le risque est suffisamment important et qu’un badge, un mot de passe ou une autre mesure de sécurité ne permet pas d’atteindre le niveau de protection recherché.
Exemple potentiellement justifiable
Une entreprise souhaite réserver l’accès à une salle contenant des produits chimiques dangereux à quelques collaborateurs spécialement habilités. Elle démontre qu’un badge pourrait être prêté, volé ou utilisé par une autre personne et que l’identification forte de l’utilisateur est indispensable.
Dans cette situation, une authentification biométrique pourrait être envisagée, à condition de respecter toutes les autres obligations.
Exemple généralement disproportionné
Une PME souhaite remplacer les badges de ses bureaux administratifs par un lecteur d’empreintes digitales simplement pour éviter que les salariés oublient leur carte.
Le confort d’utilisation ne constitue pas, à lui seul, une justification suffisante. Lorsqu’un badge permet déjà de répondre au besoin, la solution la moins intrusive doit être privilégiée.
Peut-on utiliser une pointeuse biométrique pour contrôler les horaires ?
En principe, la biométrie ne doit pas être utilisée uniquement pour enregistrer les arrivées, les départs ou le temps de travail des salariés.
La CNIL considère qu’une telle utilisation est généralement disproportionnée, car un badge, un code personnel ou une autre solution de pointage permet habituellement d’obtenir le même résultat sans traiter de données biométriques.
Le règlement type de 2019 concerne d’ailleurs le contrôle d’accès aux locaux, aux équipements et aux applications professionnelles, et non le simple contrôle des horaires.
Il convient donc de ne pas confondre :
- le contrôle d’accès, qui vérifie qu’une personne est autorisée à entrer dans une zone ou à utiliser un outil ;
- le contrôle du temps de travail, qui mesure les horaires réalisés.
Un même terminal ne doit pas servir à détourner un dispositif de sécurité pour surveiller les horaires si cette seconde finalité n’est pas autorisée et clairement encadrée.
Les trois questions à se poser avant de choisir la biométrie
Avant toute installation, l’employeur doit pouvoir répondre précisément à trois questions.
1. Que cherche-t-on réellement à protéger ?
Le local, l’appareil ou l’application concerné doit présenter un enjeu de sécurité clairement identifié. Une formulation générale comme « améliorer la sécurité de l’entreprise » ne suffit pas.
Il faut décrire les risques : intrusion, usurpation d’identité, vol, exposition à un produit dangereux, utilisation non autorisée d’un équipement ou accès à des informations critiques.
2. Pourquoi un badge ou un mot de passe ne suffit-il pas ?
L’employeur doit comparer la biométrie à des mesures moins intrusives :
- badge nominatif ;
- code personnel ;
- mot de passe ;
- authentification multifacteur ;
- contrôle humain ;
- clé ou support sécurisé ;
- restriction des habilitations.
Il doit ensuite documenter les raisons pour lesquelles ces solutions seraient insuffisantes ou inadaptées.
3. Le dispositif est-il proportionné au risque ?
Même lorsqu’un besoin de sécurité existe, la biométrie ne doit concerner que les personnes, les accès et les données strictement nécessaires. Elle ne doit pas devenir un système général de surveillance du personnel.
Ces exigences découlent du principe de nécessité et de proportionnalité rappelé par la CNIL pour tout dispositif de contrôle de l’activité des salariés.
Où faut-il conserver le gabarit biométrique ?
La CNIL distingue trois architectures de stockage.
| Type de stockage | Fonctionnement simplifié | Position de la CNIL |
|---|---|---|
| Type 1 | Le gabarit est conservé sur un support individuel détenu par le salarié, par exemple un badge ou une carte à puce. | Solution à privilégier par principe |
| Type 2 | Le gabarit est conservé par l’employeur, mais il reste inutilisable sans un secret, un code ou un support détenu par le salarié. | Possible si le type 1 est réellement inadapté |
| Type 3 | Le gabarit est conservé dans un système maîtrisé par l’employeur et peut être utilisé sans secret détenu par le salarié. | Solution exceptionnelle nécessitant une justification renforcée |
Le type 1 est considéré comme le plus protecteur, car chaque personne garde la maîtrise du support contenant son gabarit et aucune base centralisée regroupant l’ensemble des données biométriques n’est nécessaire.
Les stockages de types 2 et 3 doivent rester exceptionnels. Leur utilisation doit être précisément justifiée en fonction de l’architecture et du contexte d’exploitation du système.
Quelles sont les obligations de l’employeur ?
Réaliser une analyse d’impact avant l’installation
Une analyse d’impact relative à la protection des données, ou AIPD, est obligatoire avant la mise en œuvre d’un contrôle d’accès biométrique couvert par le règlement type.
Cette obligation s’applique quel que soit le mode de stockage choisi : type 1, type 2 ou type 3.
L’analyse doit notamment étudier :
- la nécessité du système ;
- sa proportionnalité ;
- les risques pour les salariés ;
- les conséquences possibles d’une fuite ou d’un détournement ;
- les mesures techniques et organisationnelles prévues pour réduire ces risques.
La CNIL demande également une mise à jour régulière de l’évaluation des risques, au moins tous les trois ans.
Consulter les représentants du personnel
Lorsqu’elle est requise par le Code du travail, la consultation du comité social et économique doit intervenir avant la mise en place du dispositif.
La CNIL rappelle notamment l’obligation de consulter le CSE avant l’installation d’un système de contrôle du personnel dans les entreprises privées comptant au moins 50 salariés.
Informer chaque personne avant son enrôlement
Chaque salarié ou personne concernée doit recevoir une information écrite avant la collecte de sa donnée biométrique.
Cette notice doit notamment préciser :
- l’identité du responsable du traitement ;
- la finalité du système ;
- les données collectées ;
- la base juridique utilisée ;
- les destinataires des informations ;
- les durées de conservation ;
- les droits de la personne ;
- les coordonnées du DPO lorsqu’un délégué a été désigné.
L’installation d’une affiche près du lecteur ne remplace pas nécessairement cette information individuelle préalable.
Inscrire le traitement dans le registre RGPD
Le dispositif doit être intégré au registre des activités de traitement de l’organisme. L’employeur doit conserver les documents permettant de démontrer sa conformité : analyse de nécessité, choix du système, AIPD, politique d’habilitation, mesures de sécurité et procédure d’effacement.
Encadrer les prestataires
Lorsqu’un intégrateur, un éditeur ou une société de maintenance traite des données pour le compte de l’entreprise, il intervient généralement comme sous-traitant au sens du RGPD.
L’employeur reste responsable du traitement. Il doit sélectionner un prestataire offrant des garanties suffisantes et encadrer ses interventions par un contrat conforme au RGPD.
Le consentement des salariés est-il obligatoire ?
Non. Le consentement n’est pas automatiquement nécessaire et il constitue rarement la base juridique la plus adaptée dans une relation de travail.
En raison du lien hiérarchique, le salarié peut ne pas être totalement libre de refuser. La CNIL recommande donc de rechercher un autre fondement juridique approprié, par exemple l’intérêt légitime de l’employeur dans certaines situations, tout en respectant le règlement type et les droits des personnes.
Lorsqu’un employeur choisit malgré tout de se fonder sur le consentement, le refus doit être réellement possible. Une solution équivalente doit alors être proposée sans avantage ni sanction liés au choix du salarié.
Comment sécuriser les données biométriques ?
La sécurité ne se limite pas à l’installation d’un lecteur sur une porte. Elle concerne tout le cycle de vie du dispositif : enrôlement, comparaison, stockage, transmission, maintenance et suppression.
Parmi les mesures prévues par le règlement type figurent notamment :
- le chiffrement des gabarits ;
- la gestion sécurisée des clés cryptographiques ;
- le cloisonnement des données ;
- la détection des tentatives de fraude ;
- la limitation des accès aux seules personnes habilitées ;
- la traçabilité des opérations ;
- la sécurisation des communications ;
- la mise à jour des logiciels ;
- la protection contre l’arrachement ou l’ouverture du terminal ;
- la formation des administrateurs ;
- la mise en place d’une procédure en cas d’incident.
Les habilitations permettant d’accéder aux données doivent faire l’objet d’une revue au moins annuelle. La bonne application des mesures de sécurité doit également être contrôlée régulièrement.
Faut-il prévoir une autre méthode d’accès ?
Oui, une solution de secours doit être prévue, notamment :
- lorsque la biométrie d’une personne ne peut pas être enregistrée ou reconnue ;
- lorsqu’une situation de handicap rend son utilisation difficile ;
- lorsque le lecteur ou le système est indisponible ;
- lorsqu’un incident impose temporairement une autre procédure.
Cette solution exceptionnelle ne doit pas entraîner de contrainte injustifiée ni de surcoût pour la personne concernée.
Combien de temps les données peuvent-elles être conservées ?
Enregistrement brut
La photographie, l’image de l’empreinte ou l’enregistrement initial ne doit être utilisé que le temps de créer le gabarit. Il ne doit ensuite pas être conservé.
Gabarit biométrique
Le gabarit peut être conservé uniquement pendant la durée durant laquelle la personne dispose de son habilitation. Il doit être supprimé lorsque cette habilitation est retirée ou lorsque la personne quitte l’organisme.
Historique des accès
Les données de journalisation des accès peuvent être conservées dans la base active pendant une durée maximale de six mois glissants. Une conservation distincte peut être justifiée par une obligation légale ou un contentieux, avec un accès restreint.
Tableau récapitulatif : ce qui est généralement possible ou non
| Utilisation envisagée | Appréciation générale |
|---|---|
| Protéger une zone contenant des produits dangereux | Potentiellement justifiable |
| Sécuriser l’accès à des fonds ou objets de grande valeur | Potentiellement justifiable |
| Protéger une application professionnelle particulièrement sensible | Potentiellement justifiable |
| Remplacer un badge uniquement pour gagner du temps | Généralement insuffisant |
| Installer la biométrie dans tous les bureaux sans distinction | Généralement disproportionné |
| Utiliser une empreinte pour contrôler uniquement les horaires | Généralement disproportionné |
| Conserver les photographies brutes après l’enrôlement | Non conforme au règlement type |
| Centraliser les gabarits sans justification particulière | Non conforme au principe de priorité du type 1 |
| Installer le système sans AIPD | Non conforme |
| Ne prévoir aucune solution en cas d’échec de lecture | Non conforme |
Chaque projet reste néanmoins soumis à une analyse au cas par cas. Un contexte sensible ne suffit jamais à lui seul : la nécessité et la proportionnalité doivent être démontrées.
Checklist CNIL avant d’installer un lecteur biométrique
Avant le déploiement, l’employeur doit pouvoir confirmer les points suivants :
- Le local, l’appareil ou l’application à protéger est précisément identifié.
- Le niveau de risque justifie une authentification renforcée.
- Les solutions moins intrusives ont été étudiées.
- Leur insuffisance est documentée.
- Une AIPD a été réalisée avant l’installation.
- Le stockage de type 1 a été privilégié ou l’autre architecture est justifiée.
- Les données brutes ne sont pas conservées après la création du gabarit.
- Les gabarits sont chiffrés et correctement protégés.
- Les salariés sont informés avant leur enrôlement.
- Le CSE est consulté lorsque cette consultation est obligatoire.
- Les accès administrateurs et les opérations sont tracés.
- Les durées de conservation et l’effacement sont organisés.
- Une solution de secours est disponible.
- Le traitement figure dans le registre RGPD.
- Les responsabilités du fournisseur et des prestataires sont encadrées.
FAQ
Pas automatiquement. Il doit démontrer que le dispositif est nécessaire pour sécuriser des locaux, appareils ou applications précisément identifiés. L’utilisation généralisée de l’empreinte pour de simples raisons pratiques serait difficile à justifier.
Cette architecture correspond généralement au stockage de type 1 privilégié par la CNIL, à condition qu’aucune copie durable du gabarit ne soit conservée par l’employeur et que toutes les autres obligations soient respectées.
Elle n’est pas automatiquement interdite. Comme les autres caractéristiques morphologiques, elle doit faire l’objet d’un choix justifié, nécessaire et proportionné. Son utilisation ne devient pas conforme simplement parce que la technologie fonctionne sans contact.
Oui. Le gabarit reste une donnée biométrique personnelle, même s’il ne correspond pas à une photographie directement lisible de l’empreinte.
Lorsqu’elle est utilisée uniquement pour calculer les horaires, elle est généralement considérée comme disproportionnée par la CNIL. Une solution de pointage par badge ou code doit normalement être privilégiée.
Besoin d'accompagnement ?
Nos experts peuvent vous aider à déployer des solutions biométriques conformes au RGPD et vous accompagner dans votre mise en conformité.