Contrôle d'accès et badgeuses : la CNIL rappelle que surveiller ses salariés n'autorise pas tout

Badgeuses, contrôle d'accès, pointeuses, lecteurs biométriques : surveiller les allées et venues de ses salariés est devenu une banalité organisationnelle. La CNIL vient pourtant de remettre les points sur les i. Dans une fiche consacrée à l'accès aux locaux et au suivi des horaires au travail, le régulateur rappelle un principe que beaucoup d'employeurs oublient : sécuriser un site ou mesurer le temps de présence ne donne pas un blanc-seing pour collecter toutes les données, sur tout le monde, sans limite.

Ce que dit la CNIL

Le message de la CNIL est moins une nouveauté réglementaire qu'un recadrage de doctrine. Les dispositifs de contrôle d'accès (badges, codes, systèmes biométriques) et de suivi des horaires (pointeuses, logiciels de gestion des temps) traitent des données personnelles de salariés — qui se trouvent, par définition, dans une relation de subordination. À ce titre, ils tombent pleinement sous le RGPD et le Code du travail.

La CNIL insiste sur deux exigences cardinales : la proportionnalité et la minimisation des données. Un système d'accès n'a pas vocation à retracer en continu les déplacements d'un employé dans l'entreprise. Une pointeuse n'a pas à enregistrer plus que le strict nécessaire au décompte du temps de travail. Et le recours à la biométrie — empreinte, reconnaissance faciale — reste l'exception : il suppose de démontrer qu'aucun dispositif moins intrusif (badge classique, code) ne pouvait atteindre le même objectif.

Pourquoi c'est important

Derrière l'apparente banalité du sujet se cache un terrain miné juridiquement. Chaque dispositif doit reposer sur une base légale solide : pour le suivi des horaires, l'employeur s'appuie le plus souvent sur l'obligation légale (décompte du temps de travail) ou l'intérêt légitime (sécurité des locaux), encadrés par l'article 6 du RGPD. Le consentement, lui, est presque toujours écarté en contexte salarial : le lien de subordination le rend rarement libre, donc rarement valable.

Le sujet de la biométrie est encore plus sensible. Les données biométriques utilisées pour identifier une personne sont des données sensibles au sens du RGPD, soumises à un régime renforcé. Leur traitement par un employeur est strictement encadré et ne peut se justifier que pour sécuriser des accès présentant des risques particuliers — pas pour pointer à l'entrée d'un open space. Ces principes prolongent ceux que la CNIL applique déjà à la vidéosurveillance sur le lieu de travail : un dispositif de surveillance ne doit jamais placer les salariés sous un contrôle permanent et disproportionné.

Ce que ça change pour les organisations

Pour un DPO ou un responsable RH, la fiche de la CNIL est l'occasion d'un audit de bon sens. Quelques réflexes à activer dès maintenant.

D'abord, cartographier les dispositifs existants : que collecte précisément chaque badgeuse, chaque pointeuse, chaque lecteur ? Beaucoup de systèmes enregistrent par défaut bien plus que nécessaire — historique complet des passages, horodatage à la seconde, croisement avec d'autres outils. C'est exactement ce que la minimisation interdit. Ensuite, vérifier la durée de conservation : les données de pointage et d'accès ne doivent pas être conservées au-delà de ce qui est utile (la CNIL retient des durées courtes, de l'ordre de quelques semaines à quelques mois selon la finalité). Troisièmement, informer les salariés et les représentants du personnel, et tenir à jour le registre des traitements. Enfin, pour tout projet biométrique ou de surveillance étendue, une analyse d'impact (AIPD) est généralement obligatoire avant le déploiement.

Comprendre la nature des informations en jeu est un préalable : notre guide pour tout savoir sur les données personnelles aide à qualifier ce qui relève, ou non, d'un traitement à risque.

Ce que Leto pense de cette décision

Cette piqûre de rappel tombe à pic. Le contrôle d'accès et la gestion des temps font partie de ces traitements « invisibles » que les organisations déploient sans réflexe de conformité, parce qu'ils paraissent purement techniques. Or ce sont précisément ces dispositifs du quotidien, banalisés, qui exposent le plus à un contrôle CNIL : surveillance excessive, conservation illimitée, biométrie injustifiée. Le bon réflexe n'est pas de renoncer à sécuriser ses locaux, mais de se poser une question simple avant chaque déploiement : « Ai-je besoin de cette donnée, sur cette personne, pendant cette durée ? » Si la réponse n'est pas un oui franc et documenté, c'est qu'il y a un risque.

Sources : CNIL — L'accès aux locaux et le contrôle des horaires sur le lieu de travail