Le même badge peut ouvrir une porte et enregistrer un pointage. Cela ne rend pas les deux usages interchangeables. La bonne question n'est pas "combien de temps conserve-t-on les badges ?", mais "quelles traces servent à quelle décision, qui les voit et quand cessent-elles d'être utiles ?".
Cette astuce aide à rédiger une fiche de registre exploitable et à tester le dispositif. Les exemples sont fictifs ; les mesures proposées ne constituent ni une certification ni une validation CNIL.
1. Faire deux parcours sur le terrain
Premier parcours : un visiteur reçoit un badge, entre dans une zone autorisée et le restitue. Deuxième parcours : un salarié pointe, demande une correction puis voit son temps validé pour la paie. Lister les objets produits dans chaque parcours. Un numéro de badge sans nom reste une donnée personnelle si une table permet de le relier à quelqu'un.
Séparer au minimum les finalités sécurisation des accès et décompte du temps de travail. Elles peuvent être décrites dans deux fiches ou dans des sous-périmètres clairement séparés avec accès et durées propres. Un relevé collecté pour la sécurité des accès ne doit pas être recyclé pour vérifier les horaires. La fiche CNIL mise à jour le 17 juin 2026 rappelle cette limite, ainsi que le caractère excessif d'une photo systématique ou de biométrie pour le simple pointage. CNIL, accès aux locaux et contrôle des horaires.
Ne pas confondre badge électronique ordinaire et badge contenant un gabarit biométrique. Pour un accès biométrique, arrêter l'analyse de ce modèle ordinaire et instruire le régime spécifique : justification renforcée, règlement type et AIPD obligatoire pour ce dispositif. L'existence d'une option biométrique chez le fournisseur ne la rend pas nécessaire.
2. Périmètre et bases : décrire l'obligation sans inventer une obligation de badgeuse
Pour le temps de travail d'un employeur privé, rechercher les obligations de décompte réellement applicables à chaque population. Une obligation de compter les heures ne commande pas forcément l'installation de ce matériel. Documenter l'alternative manuelle ou déclarative examinée et les raisons du choix. Certains forfaits en jours nécessitent un suivi distinct ; une personne n'a pas à être suivie à la minute simplement parce que le logiciel le permet.
Pour les accès, une entreprise privée peut examiner l'intérêt légitime à protéger les locaux : risque identifié, nécessité, proportionnalité et garanties. Si une obligation sectorielle précise existe, la citer au lieu de l'inventer. Pour un employeur public, qualifier le traitement au regard des obligations et de la mission d'intérêt public fondée en droit ; l'intérêt légitime n'est pas disponible pour une autorité publique dans l'exécution de ses missions. RGPD, article 6.
Décision à garder : pour chacun des deux usages, consigner populations concernées, texte ou intérêt poursuivi, alternatives rejetées, zones/horaires couverts et limites d'usage. Une seule phrase "sécurité et RH" ne permet pas cette analyse.
3. Données strictes et populations
Pour l'accès : identité nécessaire, identifiant du badge, profil d'autorisation, début/fin de validité, événements de passage utiles à la sécurité. Pour le temps : identifiant, date et horaire de pointage nécessaires, corrections, validation, compteurs et éléments exportés vers la paie. L'identité du valideur et l'historique de correction ont une utilité distincte : pouvoir expliquer une modification.
Personnes : salariés ou agents concernés, intérimaires selon le dispositif, prestataires et visiteurs pour l'accès seulement. Décrire les exceptions : salariés itinérants, représentants du personnel, télétravail, badge perdu. Un trajet interne détaillé, une géolocalisation continue ou des images n'appartiennent pas automatiquement à ce périmètre.
Piège santé : un code "arrêt maladie" peut révéler une donnée de santé même sans diagnostic. Ne pas annoncer "aucune donnée sensible" parce que le champ diagnostic est absent. Si l'outil temps reçoit des motifs détaillés, qualifier leur nécessité, leur condition de traitement et leurs habilitations ; envisager un code d'indisponibilité moins révélateur pour les managers. La paie peut nécessiter un détail que le responsable d'accès ne doit jamais voir.
4. Qui peut voir quoi ?
La sécurité gère les autorisations d'accès ; RH et paie gèrent le temps ; les managers valident le périmètre nécessaire. Une direction ne reçoit pas par principe toutes les traces brutes. Les élus ne doivent pas être suivis au moyen du dispositif dans leurs déplacements ou l'exercice de leur mandat. CNIL, fiche accès et horaires.
Qualifier l'employeur responsable, le pilote du dispositif, l'éditeur/hébergeur, l'installateur lorsqu'il accède aux données, et l'entreprise de sécurité. Distinguer fourniture de matériel sans accès aux données et traitement sur instruction. Pour les prestataires traitant les données, relier le contrat de sous-traitance au service exact : hébergement, maintenance, assistance ou analyse. Un accès ponctuel de dépannage doit avoir un cadre aussi.
Dans un bâtiment partagé, demander qui décide des finalités et des règles d'accès ; bailleur, employeur et gestionnaire ne sont pas automatiquement tous sous-traitants les uns des autres. Un même journal peut avoir plusieurs responsables ou des flux entre responsables : la qualification dépend des décisions réelles.
5. Durées : ne pas transformer "cinq ans" en réglage universel
La fiche CNIL actualisée distingue l'identification pendant l'habilitation, les journaux d'accès à supprimer en principe après trois mois et les données de suivi du temps pouvant aller jusqu'à cinq ans en archivage intermédiaire. Ces repères ne justifient pas cinq ans de navigation libre dans les événements. CNIL, accès et horaires.
Le référentiel durées RH 2026, pages 4 et 6 distingue également les documents de décompte : période active jusqu'au bulletin concerné, puis durées liées aux obligations de présentation et aux actions. Ne pas additionner mécaniquement une durée active et une prescription comme deux blocs successifs.
| Objet | Décision à prendre | Contrôle proposé |
|---|---|---|
| Table identité/badge d'accès | Fin d'habilitation, désactivation immédiate et suppression selon besoin démontré | Vérifier un départ fictif et un badge visiteur non restitué |
| Journaux d'accès ordinaires | Repère CNIL de trois mois, dérogation motivée si nécessaire | Chercher un passage antérieur au seuil dans l'interface et les exports |
| Pointages pour le temps | Besoin actif, justification de l'archive, point de départ explicite, maximum retenu | Tester un accès manager à une période archivée |
| Documents de décompte | D.3171-16 : un an, ou période de référence supérieure à l'année ; trois ans pour le décompte des jours au forfait | Identifier exactement le document conservé et le régime de la population |
| Correction ou litige | Conserver la preuve pertinente, pas toute l'histoire des déplacements | Tracer motif, auteur, date de fin ou réexamen du gel |
| Journaux d'administration informatique | Finalité de sécurité distincte et durée propre | Éviter de les confondre avec les passages aux portes |
L'article D.3171-16 concerne notamment la mise à disposition des documents à l'inspection du travail ; il ne résume pas toutes les nécessités probatoires. Une action portant sur le salaire appelle aussi l'examen de L.3245-1. Les prescriptions ne sont pas une permission de tout garder. Les règles de décompte du Code du travail ne sont pas à transposer sans analyse aux agents publics. Référentiel CNIL 2026, textes cités page 4.
6. Mesures techniques utiles au risque réel
Propositions de contrôle : horloge synchronisée ; impossibilité pour un manager d'effacer une trace sans historique ; comptes nominatifs et MFA administratif ; séparation accès/temps par profils ; chiffrement des flux ; terminal ne montrant pas les horaires de collègues ; révocation de badge perdus ; correction contradictoire d'un oubli de pointage ; supervision des erreurs d'export paie ; sauvegarde et test de restauration.
Tester l'anomalie plutôt que la journée parfaite : panne réseau, double pointage, changement d'heure, mauvaise affectation de badge, salarié déjà parti. Un calcul automatisé erroné peut affecter une rémunération : prévoir un interlocuteur et une correction humaine, sans sanction automatique sur une anomalie non vérifiée.
7. Cloud, accès distant et information
Relever pays et entités pour le serveur, la sauvegarde et le support. Si une autre entité hors EEE reçoit ou accède aux données, documenter l'instrument du chapitre V, son champ, et les garanties complémentaires nécessaires. Un contrat article 28 et des clauses de transfert ne servent pas la même fonction. CNIL, cadre des transferts.
Avant activation, traiter les obligations d'information/consultation des instances représentatives selon le régime applicable, et informer individuellement les personnes. La CNIL rappelle en juillet 2026 trois exigences cumulatives pour le contrôle d'activité : justification/proportionnalité, instances représentatives selon les règles en vigueur, information des salariés ou agents. CNIL, contrôle de l'activité, 9 juillet 2026.
La notice doit nommer séparément les deux usages et annoncer les droits réellement applicables. Prévoir comment obtenir son historique et contester une correction. Ne pas promettre l'effacement immédiat d'un décompte légalement nécessaire. Le consentement d'un salarié ne répare pas un système excessif.
8. AIPD : juger le dispositif, pas le nom commercial
Vérifier les listes CNIL avant la mise en œuvre. La liste sans AIPD prévoit une dispense autonome pour les seuls contrôles d'accès physiques et d'horaires, sans biométrie, sans données sensibles ou hautement personnelles et sans autre finalité : elle n'est pas conditionnée au seuil de 250 personnes. La dispense RH plus générale des organismes de moins de 250 personnes constitue un autre cas. Vérifier les conditions exactes plutôt que déduire une exemption de la taille de l'employeur. Examiner surveillance, croisement de fichiers, données sensibles, biométrie, étendue et conséquences sur le personnel. Une AIPD ne rend pas licite une photographie systématique disproportionnée. Liste CNIL sans AIPD, pages 4–5.
9. Dans DPO SUITE : rendre visibles les deux circuits
Les champs disponibles permettent de renseigner finalités générale/détaillée, base légale et justification, personnes, données, destinataires, logiciels, liens vers les sous-traitants, mesures de sécurité et transferts. Utiliser deux fiches ou deux périmètres explicitement lisibles pour ne pas perdre la séparation accès/temps.
Le tableau de conservation permet de préciser document, phase, durée, événement déclencheur, base juridique, justification, copies, emplacement de référence, sort final et preuve attendue de suppression. Ajouter les références des notices et décisions dans les champs documentaires. Conserver "à vérifier" tant que le réglage du logiciel de pointage n'a pas été observé. Reliez ainsi la règle au contrôle attendu. La purge du terminal et du SaaS reste à vérifier dans ces systèmes, indépendamment de sa documentation dans DPO SUITE.
10. Mini-audit : sept vérifications, pas un verdict global
| Vérification ciblée | Preuve attendue | Limite à noter |
|---|---|---|
| Les usages accès/temps sont-ils séparés ? | Schéma, finalités, captures de profils | Une même interface peut cacher des flux distincts |
| Le besoin de pointage est-il justifié ? | Régimes de travail et analyse des alternatives | L'obligation de décompte ne prescrit pas la technologie |
| Les champs sont-ils minimisés ? | Dictionnaire et export fictif | Le code absence peut révéler la santé |
| Une correction est-elle explicable ? | Historique d'une correction test | Un journal présent mais modifiable n'offre pas la même preuve |
| Les durées sont-elles appliquées ? | Test d'ancienneté et accès archive | Ne prouve pas la purge des sauvegardes |
| Information et instances sont-elles traitées ? | Notice remise, preuve et procédure sociale applicable | Signature de la notice ≠ consentement valable à tout |
| Le support et les transferts sont-ils connus ? | Liste des entités/pays, contrat, accès test | Une attestation commerciale n'est pas un test technique |
Pour chaque résultat, noter périmètre, date, preuve, écart, responsable et prochaine vérification. Ne pas déclarer le traitement conforme au seul motif que ces sept points sont renseignés.
Sources et portée
La fiche accès/horaires est mise à jour au 17 juin 2026 ; le référentiel de durées a été publié le 2 avril et mis à jour le 20 mai 2026. Les recommandations CNIL sont des repères à distinguer des obligations issues des textes cités. Les rubriques de registre et les tests proposés ici constituent une méthode adaptable, non un modèle CNIL homologué.
