Si vous êtes DPO interne, référent conformité ou responsable RH qui porte aussi la casquette protection des données, vous avez déjà reçu ce message : « on installe la pointeuse à empreinte le mois prochain, tu valides ? » La réponse tient en une ligne, et il vaut mieux l’avoir en tête avant la réunion : dans la quasi-totalité des situations, un contrôle des horaires par empreinte ou par reconnaissance faciale ne passe pas, et le consentement des salariés ne sauve pas le projet.
C’est la position que l’autorité espagnole de protection des données a formalisée dans son guide sur les traitements de contrôle de présence par systèmes biométriques (version de novembre 2023). Son raisonnement mérite d’être connu en France, parce qu’il ne repose pas sur une particularité du droit espagnol mais sur l’article 9 du RGPD, sur les lignes directrices du Comité européen de la protection des données et sur une logique de nécessité qui s’applique à l’identique dans une entreprise française. Le document est consultable en accès libre sur le site de l’agence : Guía sobre tratamientos de control de presencia mediante sistemas biométricos. À noter, le PDF porte aujourd’hui la mention « EN REVISIÓN », signe que l’agence retravaille son texte, sans que la démonstration de fond ait été retirée.
Pourquoi une simple pointeuse devient-elle un traitement de données sensibles ?
Le premier réflexe des fournisseurs consiste à vous rassurer : « nous ne stockons pas l’empreinte, seulement un gabarit chiffré, et le lecteur fait de l’authentification, pas de l’identification ». Cet argument était encore recevable il y a quelques années. Il ne l’est plus.
L’autorité espagnole rappelle que le gabarit biométrique (le patron, la signature mathématique) reste une donnée personnelle, puisqu’il permet de singulariser une personne physique. Surtout, elle revient explicitement sur sa propre doctrine : dans son guide de mai 2021 sur les relations de travail, elle plaçait l’authentification biométrique hors du champ de l’article 9. Elle abandonne cette lecture au vu des lignes directrices 05/2022 du CEPD sur la reconnaissance faciale (version 2.0 du 26 avril 2023), qui rattachent l’authentification comme l’identification au régime des catégories particulières.
Conséquence pratique : l’interdiction de principe de l’article 9.1 s’applique dès que le lecteur compare un gabarit à un patron enregistré, même sans base centralisée et même si le salarié pose son doigt volontairement. Il faut donc une circonstance de levée de l’interdiction (article 9.2), puis, seulement ensuite, une base légale au titre de l’article 6. L’agence insiste sur l’ordre : on ne conçoit pas un dispositif avant de chercher la base qui l’autoriserait. Si le sujet des catégories particulières de données vous paraît lointain dans un dossier RH, c’est précisément le piège.
Second point trop peu discuté : l’analyse biométrique peut révéler d’autres données sensibles. L’agence cite l’analyse vocale, qui exploite plus d’une centaine de paramètres et laisse deviner des éléments de santé, ou la reconnaissance faciale, susceptible de révéler l’origine raciale ou ethnique.
Le droit du travail suffit-il à lever l’interdiction ?
L’article 9.2.b du RGPD autorise le traitement nécessaire à l’exécution des obligations en matière de droit du travail, à condition qu’il soit prévu par le droit de l’Union ou d’un État membre, avec des garanties appropriées. C’est là que l’employeur espagnol pensait tenir sa solution : l’enregistrement quotidien du temps de travail est une obligation légale (article 34.9 du Statut des travailleurs).
L’agence répond en deux temps, et c’est la partie la plus transposable. D’abord, une obligation de pointer n’est pas une autorisation de pointer par le corps. Le texte invoqué doit prévoir de façon prévisible et précise la possibilité d’utiliser des données biométriques pour cette finalité. Or, conclut l’AEPD, en s’appuyant notamment sur l’avis 2/2022 de l’autorité catalane et l’avis 1/2023 du Consejo de Transparencia y Protección de Datos, aucune norme espagnole ne contient cette autorisation, ni pour les salariés de droit privé, ni pour les agents publics.
Ensuite, l’article 9.2.b impose que le traitement soit nécessaire. L’agence le démontre avec un argument qu’aucun commercial n’aime entendre : les systèmes automatiques de pointage existent depuis 1890 et des millions de salariés ont vu leur temps de travail enregistré sans biométrie. Il revient donc à l’employeur de prouver pourquoi les badges, cartes sans contact, codes ou certificats utilisés jusque-là dans le même établissement, ou dans des entités comparables, ne conviennent plus. L’avis 3/2012 du G29 est repris : un gain de confort ou une économie modeste ne justifie pas la perte d’intimité.
Peut-on faire signer un consentement aux salariés ?
C’est la porte de sortie que l’on vous proposera. Elle est fermée, et pour une raison élégante qu’il vaut la peine de savoir reformuler devant une direction.
Premier obstacle, classique : les lignes directrices 5/2020 du CEPD et le considérant 43 du RGPD écartent le consentement en cas de déséquilibre manifeste, ce qui est la règle dans la relation de travail comme dans la relation avec un employeur public. Un salarié refuse rarement sans craindre de conséquences.
Deuxième obstacle, plus intéressant : à supposer que l’employeur veuille rendre le consentement réellement libre, il doit offrir une alternative équivalente, disponible pour tout le monde, sans conséquence pour celui qui la choisit. Mais si cette alternative existe et fonctionne pour l’ensemble du personnel, alors la biométrie n’est plus nécessaire au traitement. Elle échoue donc au test de nécessité imposé par l’article 35.7.b aux traitements à haut risque. L’AEPD boucle ainsi la démonstration : soit le consentement n’est pas libre, soit il est libre et la biométrie devient superflue. Dans les deux cas, l’interdiction n’est pas levée.
Le même raisonnement vaut, écrit l’agence, pour un contrôle d’accès hors sphère professionnelle : l’exécution d’un contrat ne figure pas parmi les circonstances de l’article 9.2.
Et en France, où en est-on sur la pointeuse biométrique ?
La France n’a pas attendu ce guide. La CNIL encadre la biométrie sur les lieux de travail par un règlement type adopté en 2019, qui vise le contrôle d’accès aux locaux, aux appareils et aux applications informatiques, et non la gestion des horaires. L’employeur doit y démontrer, avant tout déploiement, en quoi un dispositif non biométrique ne permet pas d’atteindre le niveau de sûreté recherché, privilégier les gabarits conservés sur un support détenu par la personne, et documenter le tout. Les conditions sont détaillées sur la page de la CNIL consacrée à la biométrie sur les lieux de travail. S’y ajoute l’article L. 1121-1 du code du travail, qui interdit les restrictions non proportionnées au but recherché, et le principe d’une consultation du CSE pour tout dispositif de contrôle de l’activité.
Autrement dit, un DPO français qui refuse une pointeuse à empreinte n’est pas plus sévère que l’autorité espagnole : il applique un cadre qui, chez nous, est explicite depuis plus longtemps. Le guide de l’AEPD lui donne simplement une démonstration écrite, complète et citable, à mettre sur la table.
Quelles alternatives proposer, et avec quel niveau de risque ?
Un refus sans solution de remplacement ne survit pas à la réunion suivante. Voici de quoi arriver avec des options.
| Option | Catégories particulières ? | Points de vigilance |
|---|---|---|
| Badge ou carte sans contact nominative | Non | Prêt de badge possible, à compenser par un contrôle humain ponctuel |
| Code personnel ou identifiant applicatif | Non | Partage de code, politique de renouvellement à prévoir |
| Pointage sur poste de travail ou application authentifiée | Non | Ne pas dériver vers un suivi d’activité non annoncé |
| Biométrie avec gabarit sur support détenu par le salarié | Oui | Envisageable pour un contrôle d’accès sécurisé, pas pour les horaires |
| Biométrie avec base centralisée de gabarits | Oui | Option la plus intrusive, à écarter par principe |
L’argument qui fait mouche auprès d’une direction n’est d’ailleurs pas le risque de sanction, mais celui de la violation de données. L’AEPD demande d’anticiper des scénarios précis : fuite de gabarits, réutilisation malveillante des patrons stockés, intrusion dans le moteur d’analyse, interception des échanges entre équipements, indisponibilité du service. Un mot de passe compromis se change en cinq minutes. Une empreinte, jamais. C’est la phrase à garder pour le comité de direction.
Que faire lundi matin si le projet est déjà sur les rails ?
La méthode manuelle tient en sept gestes, dans cet ordre, et se documente très bien dans un simple dossier partagé.
- Écrire la finalité réelle : enregistrement du temps de travail, sûreté d’un local sensible, ou les deux, sachant que chaque finalité additionnelle doit être analysée pour elle-même.
- Demander au fournisseur, par écrit, où réside le gabarit, sous quel format, avec quel chiffrement, et si le lien entre le gabarit et la personne peut être révoqué.
- Recenser les alternatives déjà en place dans l’organisation ou dans des structures comparables, et écrire pourquoi elles ne suffiraient pas.
- Conduire une analyse d’impact avant tout déploiement, avec le triple examen d’adéquation, de nécessité et de proportionnalité stricte, et non après la commande du matériel.
- Vérifier l’absence de décision automatisée produisant des effets significatifs sur le salarié à partir du résultat biométrique.
- Informer les personnes sur le traitement et sur les risques élevés qui lui sont associés, prévoir la consultation des représentants du personnel et l’inscription des garanties dans l’accord applicable.
- Prévoir la suppression des données biométriques dès qu’elles ne se rattachent plus à la finalité qui les a justifiées, y compris au départ d’un salarié.
Ce suivi se tient parfaitement dans un tableur, tant qu’on gère un site et un fournisseur. Il devient vite illisible quand il faut retrouver, deux ans après, l’analyse d’impact, la version du contrat de sous-traitance et la preuve de l’information des salariés. C’est exactement ce que DPO SUITE centralise, en gardant la traçabilité des décisions et de leurs pièces.
Une dernière précision utile quand un prestataire opère le dispositif : l’article 28.3 du RGPD lui impose d’alerter le responsable de traitement si une instruction lui paraît contraire au règlement. L’agence espagnole en tire une conséquence directe, valable pour les entreprises intervenant sur un site client : une société sous-traitante n’est pas tenue de mettre en œuvre un pointage biométrique exigé par contrat si les conditions du RGPD ne sont pas réunies. À rappeler si l’on vous impose un équipement par un cahier des charges.
Ce que ce dossier change pour votre positionnement
Un DPO qui répond « non » sans document se fait contourner. Un DPO qui arrive avec le raisonnement d’une autorité européenne, un tableau d’alternatives et une analyse d’impact déjà cadrée change de statut : il devient celui qui sécurise le projet plutôt que celui qui le bloque. Les DPO qui outillent ce suivi s’épargnent surtout la reprise complète du dossier quand le fournisseur change de version logicielle ou de lieu d’hébergement.
Pour aller plus loin, notre analyse des données biométriques au travail et de ce qu’autorise le RGPD complète la lecture du guide espagnol.
