Biométrie et contrôle d’accès : ce que la loi autorise vraiment
Il n’y a plus rien à demander à la CNIL depuis 2018 : la démonstration de nécessité repose désormais entièrement sur l’employeur.
Depuis l’entrée en application du RGPD, un contrôle d’accès biométrique ne fait plus l’objet d’une autorisation préalable de la CNIL. Le régime applicable est celui du règlement type publié par la CNIL (délibération n° 2019-001 du 10 janvier 2019) : l’employeur doit justifier de manière circonstanciée le recours à la biométrie au regard du contexte, des enjeux et des contraintes, réaliser et documenter une analyse d’impact avant la mise en œuvre, et appliquer des exigences strictes de sécurité technique et organisationnelle. Le passage d’un régime d’autorisation à un régime de responsabilité n’a rien allégé : il a déplacé la charge de la preuve.
L’autorisation préalable de la CNIL n’existe plus depuis le 25 mai 2018
Avant cette date, un système biométrique installé sur un lieu de travail devait faire l’objet d’une demande d’autorisation auprès de la CNIL, instruite au cas par cas. Le RGPD a supprimé ce régime pour la quasi-totalité des traitements. Il n’existe donc plus de formulaire à envoyer, plus de numéro d’autorisation à afficher, plus d’attente d’une décision.
Cette suppression reste mal comprise, y compris par des professionnels du secteur. Des pages commerciales continuent d’annoncer une « demande à effectuer auprès de la CNIL » comme une étape du projet. Cette étape n’existe plus, et la mentionner donne au client une fausse idée de ce qu’il doit produire.
Le régime qui a remplacé l’autorisation se révèle plus contraignant : un texte de référence publié par la CNIL, dont l’employeur doit démontrer qu’il l’applique, et une analyse d’impact obligatoire réalisée avant la mise en service. Personne ne valide le dossier en amont ; il sera examiné en cas de contrôle ou de contestation.
Le règlement type de la CNIL a pris la place de l’autorisation
Le règlement type de la CNIL encadre le recours à la biométrie pour le contrôle d’accès aux locaux, aux applications et aux outils de travail. Il combine trois exigences : une justification circonstanciée du recours, une analyse d’impact réalisée et documentée avant la mise en œuvre, et un ensemble d’exigences strictes de sécurité technique et organisationnelle.
Lorsqu’un délégué à la protection des données existe dans l’entreprise, il est associé à l’analyse d’impact. Cette association donne au dossier sa cohérence entre le projet technique et la documentation de conformité.
Justifier le recours : la démonstration attendue du dossier
La justification doit expliquer pourquoi un moyen moins intrusif ne suffit pas, au-delà de l’énoncé d’un besoin de sécurité. C’est le point que le dossier doit trancher, et le plus facile à éluder.
Trois éléments la construisent. Le contexte : que protège-t-on, dans quel local ou quelle application. Les conséquences d’un accès non autorisé, décrites concrètement. Les contraintes, enfin : pourquoi un badge, un code ou les deux ensemble ne répondent pas au besoin (perte, prêt, duplication, impossibilité de porter un support, environnement particulier).
Un dossier qui se contente d’affirmer que la biométrie est « plus sûre » ne démontre rien. Un dossier qui explique qu’un badge peut être prêté et que la zone concernée présente un enjeu identifié entre dans le raisonnement attendu. La différence sépare un projet défendable d’un projet fragile.
L’analyse d’impact précède la mise en œuvre
Pour un système biométrique, l’analyse d’impact relative à la protection des données échappe à tout examen de seuil : le règlement type la rend obligatoire avant la mise en œuvre, et exige qu’elle soit documentée.
Elle décrit le traitement et sa finalité, évalue la nécessité et la proportionnalité du recours, identifie les risques pour les droits et libertés des personnes, et expose les mesures retenues pour les traiter. Elle traite le stockage du gabarit biométrique (sur un support détenu par la personne ou dans une base), le chiffrement, la réversibilité et les solutions de repli en cas de défaillance du lecteur.
Une conséquence pratique en découle pour le calendrier : l’analyse d’impact conditionne le choix technique, elle ne le documente pas après coup. Un matériel commandé avant l’analyse contraint des décisions qui auraient dû rester ouvertes.
Contrôle d’accès par badge nominatif : identifiants, droits et journal
| Critère | Badge nominatif | Contrôle d’accès biométrique |
|---|---|---|
| Donnée traitée | Identifiant attribué, révocable | Caractéristique physique, non révocable |
| Formalité préalable | Registre RGPD | Registre, règlement type, analyse d’impact documentée |
| Perte ou vol | Support désactivé et remplacé | La caractéristique ne se remplace pas |
| Prêt entre personnes | Possible : c’est la faiblesse du badge | Peu praticable : c’est l’argument central du dossier |
| Solution de repli | Badge visiteur, code temporaire | Un moyen alternatif reste nécessaire |
| Charge de démonstration | Faible | Élevée, et portée par l’employeur |
Quand le badge répond mieux au besoin réel
Le motif invoqué en premier pour passer à la biométrie est le prêt de badges entre collaborateurs. C’est un vrai problème, mais il admet des réponses plus simples : badge nominatif associé à une photo, contrôle d’accès couplé à un sas anti-retour, ou journalisation permettant de détecter les anomalies de passage.
Le second motif est la commodité : plus de support à distribuer, à récupérer, à remplacer. C’est un gain d’exploitation réel, mais la commodité n’est pas un critère de proportionnalité. Un dossier fondé sur ce seul argument ne tient pas.
Reste un ensemble de situations où la démonstration se fait naturellement : accès à une zone à enjeu élevé, environnement où le port d’un support est impraticable, historique documenté d’incidents liés à la circulation des badges. Ce sont ces cas-là qui justifient l’investissement documentaire.
L’erreur héritée : annoncer « une demande à effectuer auprès de la CNIL »
La formule figure encore sur des pages commerciales du secteur, héritées de textes rédigés avant 2018 et non repris depuis. Elle produit deux effets, tous deux fâcheux.
Elle rassure à tort, d’abord : le client croit qu’une autorité examinera son dossier et lui dira s’il est recevable. Personne ne le fera. Elle masque le travail réel, ensuite : pendant qu’on cherche un formulaire qui n’existe plus, l’analyse d’impact et la justification du recours restent à écrire.
Un point de méthode, que nous appliquons à nos propres pages : lorsqu’une affirmation réglementaire circule sans référence identifiable, nous ne la reprenons pas. C’est le cas de la durée de conservation de quatre-vingt-dix jours pour les données biométriques, que l’on trouve dans des documentations du secteur sans texte de rattachement.
Questions fréquentes sur la biométrie en entreprise
La biométrie est-elle interdite en entreprise ?
Non. Elle est encadrée. Le recours à un contrôle d’accès biométrique aux locaux, aux applications et aux outils de travail relève du règlement type publié par la CNIL en 2019. Ce texte ne pose pas une interdiction mais une exigence de justification circonstanciée et un ensemble de garanties techniques et organisationnelles. Une entreprise qui ne peut pas produire cette justification n’a pas de dossier.
La reconnaissance faciale pour ouvrir une porte relève-t-elle du même régime ?
Elle relève des mêmes principes, avec un niveau d’exigence plus élevé encore, parce qu’elle traite une caractéristique captée à distance et sans geste actif de la personne. La proportionnalité se pose donc de façon plus aiguë que pour un lecteur exigeant une action volontaire, et le sujet mérite d’être soumis à un conseil avant tout engagement.
Le consentement des salariés suffit-il à autoriser un lecteur biométrique ?
Dans une relation de travail, le consentement est un fondement fragile : le lien de subordination rend difficile de démontrer qu’il est librement donné. C’est l’une des raisons pour lesquelles le dossier repose sur la justification du recours et sur l’analyse d’impact, plutôt que sur une case cochée à l’embauche.
Le CSE doit-il être consulté avant la mise en place ?
Un contrôle d’accès nominatif journalisant les passages est un moyen permettant un contrôle de l’activité au sens de l’article L. 2312-38 du code du travail : l’information et la consultation du comité social et économique interviennent avant la décision de mise en œuvre. S’y ajoute l’information préalable des salariés prévue à l’article L. 1222-4.
Combien de temps conserver les données biométriques ?
Aucune durée standard ne peut être avancée ici : la durée retenue doit être justifiée par la finalité et documentée dans l’analyse d’impact. Nous signalons au passage qu’une durée de quatre-vingt-dix jours circule dans des documentations du secteur sans référence identifiable, et nous ne la reprenons pas, faute de source.
À lire aussi