Le 2 octobre 2026, l’autorité croate de protection des données (AZOP) a publié une sanction de 2 590 000 euros contre l’exploitant d’un casino. En cause, un contrôle d’accès biométrique par empreintes digitales, proposé aux joueurs pour accélérer leurs entrées après une première vérification de leur pièce d’identité. Le dossier vient du secteur des jeux, mais les questions qu’il pose se retrouvent chez tout organisme qui envisage une pointeuse à empreinte, une serrure biométrique pour une salle serveur ou un dispositif de reconnaissance à l’accueil.
Ce que l’AZOP a constaté
L’enquête a été ouverte d’office. L’exploitant affirmait ne relever que deux empreintes par joueur. Les contrôleurs en ont trouvé quatre, deux doigts par main. L’entreprise justifiait ce surplus par le risque qu’une blessure ou une lésion de la peau empêche la lecture d’un doigt. L’autorité a écarté l’argument : invoquer une réserve ne prouve pas la nécessité, et l’identification pouvait être obtenue avec moins d’empreintes, complétées au besoin par une autre méthode de vérification (la carte RFID proposée en parallèle, ou la pièce d’identité).
Le consentement avait pourtant été recueilli. La décision publiée par l’AZOP mentionne 34 933 joueurs ayant signé une déclaration. Cela n’a pas suffi. L’autorité rappelle qu’un accord de la personne ne rend pas licite une collecte qui dépasse le nécessaire, a fortiori pour des données biométriques. Deux des quatre formulaires regroupaient plusieurs finalités sans choix séparé, l’un pour les empreintes, l’autre pour la photographie. Ils n’étaient donc ni libres ni spécifiques.
Restait l’information. Les documents remis aux joueurs étaient incomplets et se contredisaient sur les finalités et les bases juridiques. Le règlement intérieur rattachait l’empreinte à des usages bien plus larges que l’identification à l’entrée : contrôle d’accès, protection des mineurs, jeu, programme de fidélité.
Les manquements retenus portent sur les articles 5(1)(a) et (c), 6(1), 9(1) et 9(2)(a), 7 et 4(11), 12(1) et 13 du RGPD.
Pourquoi la signature ne règle rien
Beaucoup d’organismes considèrent qu’un formulaire signé clôt le sujet. Le raisonnement croate remet les vérifications dans l’ordre. On examine d’abord la minimisation et la nécessité (article 5), puis la base légale et l’exception prévue à l’article 9. Un consentement valide ne couvre qu’un traitement qui respecte déjà les principes.
Au travail, la difficulté est plus nette encore. Le lien de subordination fait douter du caractère libre de l’accord d’un salarié, et l’article 9(4) du RGPD permet aux États membres de fixer des conditions supplémentaires pour les données biométriques. La France l’a fait.
Le contrôle d’accès biométrique au travail : le règlement type de la CNIL
L’employeur, public ou privé, qui veut contrôler par la biométrie l’accès aux locaux, aux applications ou aux outils de travail doit respecter le règlement type de la CNIL, publié en mars 2019 (délibération n° 2019-001 du 10 janvier 2019). Ce texte a une portée contraignante. Il commence par un test de nécessité. Un badge suffirait-il ? Le besoin relève-t-il seulement du confort ? Les locaux ou les appareils protégés sont-ils réellement sensibles ? Si une solution moins intrusive répond au besoin, la biométrie n’est pas justifiée.
Le règlement type hiérarchise ensuite le stockage du gabarit. Le type 1, où la personne garde la maîtrise exclusive de son gabarit (sur un support qu’elle conserve), est à privilégier. Le type 2 partage la maîtrise : le gabarit reste illisible sans un secret détenu par la personne. Le type 3, une base sous le seul contrôle de l’employeur, n’est admis que si les deux premiers sont impossibles dans le contexte. Une AIPD est exigée dans tous les cas, et les instances représentatives du personnel doivent être informées ou consultées lorsque la loi le prévoit.
Pour des clients ou des usagers, le règlement type ne s’applique pas. On revient au droit commun de l’article 9, donc en pratique au consentement explicite, avec toutes les exigences que l’AZOP vient de rappeler.
Ce que l’organisme doit vérifier
- La justification écrite de la nécessité : pourquoi un badge ou un code ne suffit pas, et pour quelle zone précise.
- Le nombre de doigts ou de caractéristiques réellement enrôlés, comparé au paramétrage par défaut du fournisseur, qui prévoit parfois plusieurs doigts de secours.
- Le type de stockage du gabarit, et les motifs documentés qui écartent les types 1 et 2 si une base centrale est retenue.
- Une alternative sans biométrie pour les personnes qui refusent, sans conséquence pour elles.
- Des formulaires distincts par finalité : l’empreinte d’un côté, la photographie de l’autre, la fidélité ailleurs.
- Une notice d’information cohérente avec le registre et avec le règlement intérieur, qui cite partout la même base légale.
- L’AIPD, la fiche du registre et le contrat de l’article 28 avec le fournisseur du dispositif s’il héberge ou maintient la base.
En audit, l’écart vient souvent du paramétrage réel. La documentation décrit une chose, la machine en fait une autre. Avant de valider une AIPD sur ce type de dispositif, je demande à voir l’écran d’enrôlement et la structure de la base, pour savoir ce qui est réellement enregistré et combien de temps.
Les DPO indépendants du réseau DPO FRANCE accompagnent les organismes qui envisagent un dispositif biométrique, de l’étude de nécessité jusqu’à l’AIPD. Le logiciel DPO SUITE conserve la fiche du registre, l’AIPD, les contrats fournisseurs et les preuves de l’information remise aux personnes, ce qui permet de répondre rapidement en cas de contrôle.
