Actualités

La biométrie n'est admise au travail que pour sécuriser des accès qui l'exigent et reste, en principe, exclue du contrôle des horaires

Analyse · Article 9 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD) ; articles 6 et 44 de la loi n°78-17 du 6 janvier 1978 ; article L.3171-4 du code du travail

Illustration : La biométrie n'est admise au travail que pour sécuriser des accès qui l'exigent et reste, en principe, exclue du contrôle des horaires — Illustration

31 juillet 2026

Une badgeuse à empreinte digitale ou à reconnaissance faciale traite des données biométriques, que le RGPD et la loi Informatique et Libertés classent parmi les données sensibles dont le traitement est interdit par principe. Hors les exceptions générales de l'article 9, 2, du RGPD, la loi n'ouvre aux employeurs que les traitements strictement nécessaires au contrôle de l'accès aux lieux de travail, aux appareils et aux applications, et conformes au règlement type adopté par la CNIL le 10 janvier 2019 (loi n°78-17, article 44, 4°). Ce règlement ne vise pas le contrôle des horaires, que la CNIL juge excessif de réaliser par biométrie. L'employeur qui passe outre s'expose à des sanctions et à la contestation de ses relevés d'heures, alors que tout système d'enregistrement automatique du temps de travail doit être fiable et infalsifiable.

Les données biométriques sont des données sensibles dont le traitement est interdit par principe

Le RGPD définit les données biométriques comme les données résultant d'un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d'une personne, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques (article 4, 14 du RGPD). Une empreinte digitale transformée en gabarit, ou un visage analysé par un terminal de pointage, entre dans cette définition.

Le traitement des données biométriques aux fins d'identifier une personne de manière unique est interdit, sauf si l'une des conditions limitativement énumérées est remplie (article 9 du RGPD). Le règlement permet aux États membres de maintenir ou d'introduire des conditions supplémentaires, y compris des limitations, pour ces données. La loi française reprend l'interdiction et renvoie, pour ses exceptions, aux conditions du RGPD et à ses propres dispositions (loi n°78-17 du 6 janvier 1978, article 6).

Cette qualification pèse sur l'employeur dès la conception du projet. La CNIL souligne que si l'on peut changer un mot de passe compromis, on ne peut faire de même avec une caractéristique biométrique compromise, qui continuera d'identifier la personne tout au long de sa vie, de sorte que les conséquences d'une violation peuvent être irréversibles.

Réglementation de la pointeuse biométrique : une exception limitée au contrôle d'accès, sous le règlement type

L'interdiction ne s'applique pas aux traitements conformes aux règlements types de la CNIL, mis en œuvre par les employeurs, qui portent sur des données biométriques strictement nécessaires au contrôle de l'accès aux lieux de travail ainsi qu'aux appareils et aux applications utilisés dans le cadre des missions confiées aux salariés (loi n°78-17 du 6 janvier 1978, article 44, 4°). Le règlement type correspondant a été adopté par la CNIL (CNIL, délibération n°2019-001 du 10 janvier 2019) ; la Commission souligne qu'il est juridiquement contraignant.

Ce règlement n'autorise la biométrie que pour contrôler l'accès aux locaux limitativement identifiés comme devant faire l'objet d'une restriction de circulation, et aux appareils et applications professionnels limitativement identifiés (article 2). L'employeur doit démontrer la nécessité du recours à la biométrie en expliquant pourquoi d'autres dispositifs, tels que badges ou mots de passe, ne permettent pas d'atteindre le niveau de sécurité exigé, et documenter cette justification (article 3) ainsi que le choix de la caractéristique utilisée (article 5).

Le texte impose en principe que le gabarit reste sous la maîtrise du salarié, par exemple sur une carte à puce qu'il détient ; le stockage en base par l'employeur n'est admis que si les solutions plus protectrices sont inadaptées, et ce choix doit être documenté (article 7). Les enregistrements bruts ne peuvent être conservés, l'information fait l'objet d'une notice écrite remise avant l'enrôlement (articles 8 et 9), et une analyse d'impact doit être réalisée préalablement, quel que soit le mode de stockage (article 11).

Pointeuse biométrique et contrôle des horaires : un usage jugé excessif

Le contrôle des horaires ne figure pas parmi les finalités couvertes par le règlement type, qui ne vise que le contrôle des accès. L'exception légale est elle-même limitée aux données strictement nécessaires au contrôle de l'accès (loi n°78-17 du 6 janvier 1978, article 44). Une badgeuse biométrique utilisée pour enregistrer les heures d'arrivée et de départ ne peut donc pas s'appuyer sur ce régime et reste soumise à l'interdiction de principe, sauf à relever d'une autre exception prévue par le RGPD.

La CNIL l'affirme dans sa fiche mise à jour le 17 juin 2026 : l'installation de dispositifs de contrôle des horaires biométriques, notamment par reconnaissance faciale, apparaît excessive et contraire au principe de minimisation, selon lequel les données doivent être limitées à ce qui est nécessaire (article 5, 1, c du RGPD). Elle a appliqué le même raisonnement à des badgeuses prenant une photographie à chaque pointage et mis en demeure plusieurs employeurs en 2020, en relevant que des pointeuses à badge classiques suffisent en principe. Le code du travail conduit au même résultat, puisque la restriction doit être proportionnée au but recherché (article L.1121-1 du code du travail).

Le risque de sanction est réel. Sur le fondement de la loi du 6 janvier 1978 dans sa rédaction applicable aux faits, antérieure au RGPD, la CNIL a prononcé une amende de 10 000 euros contre une entreprise de télésurveillance qui avait maintenu un pointage par empreinte digitale malgré une mise en demeure, en l'absence de toute circonstance exceptionnelle, cette amende sanctionnant également un défaut d'information des personnes et un défaut de sécurité des données (CNIL, délibération n° SAN-2018-009 du 6 septembre 2018). Sous l'empire du RGPD, les manquements aux principes de base et aux conditions de l'article 9 relèvent du plafond d'amende le plus élevé (article 83 du RGPD). Le consentement des salariés offre une base fragile. La CNIL rappelle que les employés ne sont que très rarement en mesure de donner, de refuser ou de révoquer librement leur consentement, du fait de leur dépendance à l'égard de l'employeur (référentiel « gestion du personnel », délibération n°2022-126 du 23 mai 2022). Le Conseil d'État a jugé, à propos d'un formulaire diffusé par l'employeur en termes impératifs, que les salariés se trouvaient dans une situation de déséquilibre manifeste et que le fait de le remplir ne valait pas consentement explicite et librement donné (CE, 19 novembre 2024, n°489462, inédit).

Le salarié ne peut être contraint d'utiliser un dispositif biométrique irrégulier

Avant toute mise en service, l'employeur doit informer individuellement les salariés (article L.1222-4 du code du travail) et, dans les entreprises d'au moins cinquante salariés, informer et consulter le CSE sur ce moyen de contrôle (article L.2312-38 du code du travail). Le règlement type impose de prévoir un dispositif alternatif de secours, ou utilisé à titre exceptionnel, sans contrainte ni surcoût pour les personnes n'utilisant pas la solution biométrique, notamment lorsque l'enrôlement est impossible ou en situation de handicap, et en cas d'indisponibilité du dispositif (CNIL, délibération n°2019-001 du 10 janvier 2019, article 10).

À notre connaissance, la Cour de cassation ne s'est pas prononcée sur le refus d'un salarié de se soumettre à une badgeuse biométrique. Sous cette réserve, une sanction disciplinaire fondée sur le refus d'utiliser un dispositif qui ne respecte ni l'interdiction de principe, ni le règlement type, ni l'exigence de proportionnalité apparaît difficile à justifier, l'instruction de l'employeur étant elle-même irrégulière. La situation est différente lorsque le dispositif est conforme et que l'employeur a prévu la solution de secours requise : le salarié peut alors être tenu de l'utiliser pour le contrôle d'accès, sauf à relever des situations ouvrant droit à cette solution de secours.

Le salarié peut par ailleurs saisir la CNIL. S'il demande réparation devant le juge, il devra établir le dommage que lui a causé la violation invoquée, la seule méconnaissance du RGPD n'y suffisant pas (Cour de cassation, chambre sociale, 24 juin 2026, n°24-22.792, publié au Bulletin).

La preuve des horaires repose sur l'employeur et un système irrégulier l'expose

En cas de litige sur les heures de travail, l'employeur fournit au juge les éléments de nature à justifier les horaires effectivement réalisés, et si le décompte est assuré par un système d'enregistrement automatique, celui-ci doit être fiable et infalsifiable (article L.3171-4 du code du travail). Le salarié présente des éléments suffisamment précis quant aux heures qu'il prétend avoir accomplies, afin que l'employeur, qui assure le contrôle des heures de travail, puisse y répondre en produisant ses propres éléments (Cour de cassation, assemblée plénière, 22 décembre 2023, n°20-20.648, publié au Bulletin).

L'employeur qui a choisi une badgeuse biométrique irrégulière produit une preuve obtenue en méconnaissance du RGPD. Elle n'est pas nécessairement écartée : le juge, lorsque cela lui est demandé, vérifie si sa production est indispensable à l'exercice du droit à la preuve et si l'atteinte est strictement proportionnée (Cour de cassation, assemblée plénière, 22 décembre 2023, n°20-20.648, publié au Bulletin). Le caractère indispensable sera toutefois discuté, puisqu'un badge classique ou un relevé contradictoire auraient pu remplir la même fonction.

Pour l'employeur, la voie la plus sûre consiste à conserver un système d'enregistrement non biométrique, fiable et documenté, et à réserver la biométrie aux zones ou outils dont la sensibilité est établie. Pour le salarié, l'irrégularité du dispositif est un argument de discussion des relevés, qui ne le dispense pas de présenter ses propres éléments précis.

À retenir

Les données biométriques sont sensibles et leur traitement est interdit par principe. L'employeur ne peut y recourir que pour contrôler l'accès à des locaux, appareils ou applications dont la protection l'exige, en démontrant l'insuffisance d'un badge ou d'un mot de passe et en respectant le règlement type de la CNIL du 10 janvier 2019 : gabarit en principe détenu par le salarié, analyse d'impact, notice d'information, solution alternative. Le contrôle des horaires par empreinte ou reconnaissance faciale est jugé excessif par la CNIL et expose l'employeur à des sanctions ainsi qu'à la discussion de ses relevés d'heures, que le juge ne retiendra, s'il est saisi de la question, que si leur production est indispensable et proportionnée.

Notes et références

Références vérifiées sur Légifrance ; articles en vigueur.

Pour aller plus loin

Domaines d’intervention

Questions fréquentes liées

Toutes les actualités

Vous êtes salarié, cadre ou dirigeant : l’accompagnement des salariés en droit du travail à Paris. Vous êtes employeur : l’accompagnement des entreprises en droit du travail à Paris.

Ce commentaire présente la portée générale d’une décision et ne constitue pas un conseil juridique personnalisé. Pour un avis circonstancié, contactez Maître Frech.