Pointer en arrivant, biper à la cantine, badger pour sortir : la pointeuse rythme la journée de millions de salariés. Puis un matin, l’employeur annonce un nouveau système : fini le badge, chacun posera désormais son doigt sur un lecteur d’empreintes pour entrer, pointer et déjeuner. Simple modernisation ou fichage biométrique illégal ? La réponse du droit français est tranchée, et elle surprend souvent les deux camps. La badgeuse classique est licite sous conditions strictes d’information et de proportionnalité. La pointeuse à empreinte digitale pour gérer les horaires est, elle, interdite : quand un badge suffit, la biométrie doit être écartée, et l’employeur qui passe outre s’expose à la sanction de la CNIL comme à la censure du juge prud’homal.
L’enjeu est double et concret. Pour le salarié : peut-on refuser de donner son empreinte sans risquer son emploi, contester un licenciement motivé par des refus de pointage, ou utiliser les relevés de la badgeuse pour faire payer des heures supplémentaires ? Pour l’employeur : comment mettre en place un contrôle des horaires qui résiste à un contrôle CNIL et à un contentieux, et où s’arrête la frontière avec la biométrie ? D’abord, les règles d’installation, du badge ordinaire à l’empreinte prohibée. Ensuite, le contentieux : la preuve par la badgeuse, le refus de pointer et les sanctions.
I. Badger oui, sous conditions ; donner son empreinte pour pointer, non
Installer une pointeuse n’est pas un acte de gestion libre. C’est un traitement de données personnelles doublé d’un dispositif de surveillance des salariés, soumis à trois couches de règles : le code du travail, le règlement européen sur les données et la doctrine contraignante de la CNIL sur la biométrie.
A. La badgeuse ordinaire : informer avant, rester proportionné, fiabiliser le système
Le principe est posé par l’article L. 1121-1 du code du travail : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Contrôler les horaires par badgeage restreint la liberté d’aller et venir et collecte des données personnelles : l’employeur doit donc démontrer que le dispositif est justifié par l’organisation du travail et proportionné à cet objectif. Une badgeuse installée pour décompter le temps de travail dans une entreprise à horaires variables passe ce test ; le même dispositif couplé à une géolocalisation permanente ou à des alertes en temps réel sur chaque déplacement le rate.
Deuxième condition, l’information préalable, qui est une cause fréquente d’annulation des procédures. Le code est formel : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Chaque salarié doit donc être informé individuellement de l’existence de la pointeuse, des données enregistrées, de leur durée de conservation et de leurs destinataires, avant toute collecte. Lorsque la badgeuse sert aussi à évaluer le travail, par exemple à mesurer la productivité ou l’assiduité comparée, s’ajoute l’exigence d’une information expresse sur les méthodes d’évaluation : « Le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard. » En pratique, l’employeur notifie par écrit, affiche une notice, inscrit le dispositif au registre des traitements et consulte les représentants du personnel : le comité social et économique doit être informé et consulté avant l’introduction de tout moyen de contrôle de l’activité des salariés.
Troisième condition, la fiabilité du système, qui jouera ensuite devant le juge. Les données de pointage doivent être exactes, sécurisées et conservées le temps nécessaire, ni plus. Un système que les salariés peuvent contourner, que l’encadrement modifie à la main sans traçabilité ou dont les serveurs sont accessibles à tout le service informatique fragilise autant la conformité CNIL que la valeur probante des relevés. L’employeur avisé documente dès l’installation : analyse du besoin, choix du dispositif le moins intrusif, durées de conservation, habilitations d’accès, information des salariés et avis des représentants. Ce dossier de conformité sert deux fois : en cas de contrôle de la CNIL et en cas de litige sur les horaires.
Quand ces conditions sont réunies, la clause de pointage devient opposable et son non-respect répété peut justifier un licenciement. La cour d’appel de Versailles l’a jugé le 18 janvier 2024 dans une affaire où le contrat prévoyait l’usage obligatoire de la pointeuse en début et fin de journée comme à chaque pause : après des manquements persistants, le licenciement a été validé et le salarié débouté de toutes ses demandes. La cour « Dit que le licenciement de M. [A] [I] est fondé sur une cause réelle et sérieuse », puis « Condamne M. [A] [I] à payer à la société Le Phare Saint Louis II une somme de 800 euros sur le fondement de l’article 700 du code de procédure civile ». L’enseignement est symétrique : le salarié ne peut pas ignorer impunément une pointeuse régulièrement installée, mais l’employeur ne peut sanctionner qu’au prix d’une installation elle-même irréprochable, notifiée, proportionnée et connue de l’intéressé.
B. L’empreinte digitale pour gérer les horaires : une interdiction de principe
Avec la biométrie, on change de monde. La CNIL rappelle qu’à la différence d’un badge ou d’un mot de passe, nul ne peut se défaire de ses caractéristiques biométriques ni les modifier, de sorte que tout détournement expose durablement la personne. Le règlement européen en tire la conséquence en rangeant ces données parmi les données sensibles, dont le traitement est en principe interdit sauf à entrer dans l’une des exceptions limitativement prévues. Pour les lieux de travail, la Commission a précisé le cadre dans un règlement type contraignant, qui s’impose aux organismes au lieu et place de l’ancien régime d’autorisation préalable.
Le raisonnement se déroule en trois étapes obligatoires. D’abord, justifier le besoin : si un badge suffit, si le dispositif ne répond qu’à un besoin de confort, ou si les locaux, applications ou appareils protégés ne présentent pas de sensibilité particulière, la biométrie doit être écartée au profit d’une solution moins intrusive. Le contrôle des horaires par empreinte digitale échoue systématiquement à ce test : pointer les entrées et sorties ne présente aucune exigence de sécurité justifiant de collecter des gabarits d’empreintes, et les offres commerciales qui vantent la pointeuse biométrique comme une simple modernisation du badgeage se trompent sur le droit applicable. Ensuite, quand la biométrie reste envisageable pour des accès véritablement sensibles, garantir la maîtrise du gabarit par la personne : stockage sur support individuel en priorité, puis stockage en base associé à un secret confié à la personne, le stockage sous maîtrise exclusive de l’employeur n’étant admis qu’en dernier recours. Enfin, documenter : analyse d’impact relative à la protection des données dans tous les cas, justification écrite du choix du dispositif et de la nécessité du traitement, respect intégral du règlement type et information ou consultation des représentants du personnel.
Notre analyse des caméras sur le lieu de travail, de ce que l’employeur peut filmer et de la contestation devant la CNIL et les prud’hommes suit la même logique de proportionnalité pour un autre dispositif de surveillance : filmer en continu des postes de travail sans justification particulière est proscrit comme l’est la collecte d’empreintes pour pointer. Dans les deux cas, le salarié peut refuser de se soumettre à un dispositif illicite, saisir la CNIL et contester devant le juge prud’homal les mesures prises sur ce fondement, tandis que l’employeur doit démontrer la nécessité et la proportionnalité de son système avant de sanctionner qui que ce soit.
Concrètement, l’analyse d’impact que l’employeur doit réaliser avant tout traitement biométrique décrit les finalités poursuivies, démontre la nécessité du dispositif au regard d’alternatives moins intrusives, évalue les risques pour les droits des salariés et prévoit les mesures pour les réduire : chiffrement des gabarits, cloisonnement des accès, durées de conservation limitées, procédure d’exercice des droits. Le choix du mode de stockage doit être justifié par écrit, en privilégiant le support individuel remis à la personne, puis le stockage en base couplé à un secret détenu par elle, le stockage sous maîtrise exclusive de l’employeur n’étant admis qu’en dernier ressort et pour des contextes qui l’exigent vraiment. Toute modification ultérieure du dispositif, extension à de nouveaux locaux, ajout de fonctionnalités, changement de prestataire d’hébergement, impose de mettre à jour l’analyse et d’en informer à nouveau les salariés et les représentants. Un dossier figé à la date d’installation puis oublié dans un tiroir ne protège plus personne trois ans après, quand les usages ont dérivé et que les équipes ont changé.
Quatrième condition, trop souvent négligée, la consultation des représentants du personnel. Le code du travail l’impose sans détour : « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. » Une pointeuse qui enregistre les entrées, les sorties et les pauses permet à l’évidence un contrôle de l’activité : l’employeur doit donc saisir le comité social et économique avant l’installation, lui transmettre une documentation précise sur le dispositif, ses finalités et ses garanties, et recueillir son avis. L’omission de cette consultation vicie la procédure d’introduction et fragilise toutes les sanctions ultérieurement fondées sur les relevés, quand bien même chaque salarié aurait été informé individuellement. Les entreprises sans comité, en dessous des seuils d’effectif, restent tenues des autres obligations, information individuelle, proportionnalité, fiabilité, mais échappent à cette formalité collective : vérifiez votre situation avant d’investir dans le matériel.
Cinquième point de vigilance, la durée de conservation et les destinataires des données de pointage. Les relevés d’horaires n’ont pas à être conservés indéfiniment : quelques mois suffisent pour établir les bulletins de paie et répondre aux réclamations courantes, et toute conservation plus longue doit être justifiée par une finalité précise, par exemple un contentieux en cours. L’accès doit être réservé aux personnes qui en ont besoin pour la paie et l’encadrement direct, à l’exclusion des collègues, des clients ou des prestataires sans habilitation. Chaque consultation à des fins disciplinaires gagne à être tracée, car le salarié qui conteste une sanction demandera qui a vu ses données, quand et pourquoi. Ces exigences découlent du principe de minimisation autant que du bon sens : un fichier de pointage exhaustif, accessible à tous et conservé des années, concentre tous les manquements que la CNIL sanctionne, collecte excessive, sécurité insuffisante et information incomplète.
II. Devant le juge : prouver ses heures par la badgeuse, contester un pointage illicite
Le contentieux de la pointeuse se joue sur deux terrains qui se répondent : le salarié s’appuie sur les relevés pour réclamer son dû pendant que l’employeur s’appuie sur les mêmes relevés pour sanctionner les manquements. La valeur de ces données dépend entièrement de la régularité du système qui les produit.
A. Faire payer ses heures : la badgeuse comme preuve, à charge partagée
Le salarié qui réclame des heures supplémentaires se heurte souvent à la même fin de non-recevoir : ses propres décomptes seraient invérifiables, établis pour les besoins de la cause. La loi organise un partage de la preuve qui corrige ce déséquilibre : « En cas de litige relatif à l’existence ou au nombre d’heures de travail accomplies, l’employeur fournit au juge les éléments de nature à justifier les horaires effectivement réalisés par le salarié. » Le salarié doit seulement étayer sa demande par des éléments suffisamment précis, tableaux d’horaires, relevés de badgeuse, courriels tardifs, témoignages, pour permettre à l’employeur d’y répondre ; c’est ensuite au juge de former sa conviction au vu des pièces des deux parties, en ordonnant au besoin des mesures d’instruction. Et lorsque le décompte repose sur un enregistrement automatique, la loi ajoute une exigence qui pèse sur l’entreprise : « Si le décompte des heures de travail accomplies par chaque salarié est assuré par un système d’enregistrement automatique, celui-ci doit être fiable et infalsifiable. »
La cour d’appel de Paris a appliqué ce mécanisme le 28 mai 2025 au profit d’un salarié du secteur du luxe qui produisait ses relevés de badgeuse à l’appui de deux années d’heures supplémentaires. L’employeur, qui contestait ces décomptes sans fournir d’éléments contraires permettant de justifier les horaires réellement effectués, a été condamné à verser « 7 066,38 euros au titre des heures supplémentaires », outre « 13 500 euros à titre d’indemnité pour licenciement sans cause réelle et sérieuse » dans le même arrêt, le licenciement prononcé dans des conditions vexatoires ayant justifié un complément de 6 000 euros de dommages et intérêts. Trois leçons pour le salarié : conservez vos relevés de badgeuse et tout document corroborant vos horaires, chiffrez précisément vos demandes période par période, et exigez la production par l’employeur de ses propres éléments, car son silence ou ses pièces lacunaires profitent à votre cause. Pour l’employeur, la leçon est inverse : un système de pointage fiable et infalsifiable, des extractions complètes produites au débat et des plannings validés constituent la seule défense efficace contre une réclamation chiffrée.
Le refus de se soumettre au pointage obéit à une logique miroir. Quand la pointeuse a été installée dans les règles, notifiée au salarié, proportionnée et prévue par le contrat ou le règlement intérieur, le refus persistant de l’utiliser constitue une faute que l’employeur peut sanctionner jusqu’au licenciement, comme l’a validé la cour d’appel de Versailles en retenant une cause réelle et sérieuse et en condamnant le salarié aux dépens et à 800 euros de frais irrépétibles. Quand le dispositif est irrégulier, jamais notifié, disproportionné ou fondé sur une biométrie injustifiée, le salarié peut refuser de s’y soumettre sans commettre de faute : on ne sanctionne pas le refus d’obéir à un ordre illicite, et les mesures prises sur le fondement de données collectées illégalement s’effondrent devant le juge. Entre ces deux pôles, chaque dossier se joue sur pièces : la notification écrite, la consultation des représentants, l’analyse de proportionnalité et la fiabilité technique du système. Le salarié qui conteste a donc intérêt à demander par écrit la régularisation, à saisir la CNIL d’une plainte documentée et à porter le litige devant le conseil de prud’hommes avec un dossier complet, plutôt que de se contenter d’un refus oral dont la preuve sera discutée.
Le salarié peut aussi agir avant tout litige individuel en alertant les représentants du personnel, qui disposent d’un droit d’alerte et peuvent exiger de l’employeur la communication du dossier de conformité : analyse d’impact, registre des traitements, notice d’information, avis du comité. L’inspection du travail, saisie par écrit avec des pièces précises, peut intervenir pour rappeler à l’employeur ses obligations et vérifier sur place la réalité du dispositif, sans que le salarié ait à exposer seul sa situation face à sa hiérarchie. Ces démarches préalables présentent un triple avantage : elles créent des traces écrites datées, elles contraignent l’employeur à formaliser une position qu’il devra assumer ensuite devant la CNIL ou les prud’hommes, et elles préservent la relation de travail quand l’entreprise, souvent de bonne foi mais mal conseillée par son fournisseur, accepte de corriger le tir en basculant vers le badge. Conservez copie de chaque courrier, de chaque réponse et de chaque engagement de mise en conformité : en cas d’échec du dialogue, ces pièces formeront l’ossature de la plainte et de l’action prud’homale.
La plainte devant la CNIL suit un chemin balisé. Décrivez le dispositif, datez sa mise en place, joignez la notice remise ou constatez son absence, produisez vos demandes écrites restées sans réponse et, pour la biométrie, expliquez en quoi un badge suffirait. La Commission peut contrôler l’entreprise, exiger la mise en conformité et, en cas de manquements graves ou persistants, prononcer des sanctions pécuniaires publiques qui dépassent largement l’enjeu du litige individuel. Cette voie administrative ne remplace pas l’action prud’homale sur le contrat de travail, elle la renforce : un manquement constaté par l’autorité de contrôle éclaire le juge sur l’illicéité du dispositif et sur le bien-fondé du refus du salarié.
B. Sécuriser le dispositif côté employeur : le dossier qui résiste aux deux contrôles
Pour l’entreprise, la pointeuse n’est pas un achat de matériel, c’est un projet de conformité. Avant toute commande, formalisez le besoin : quels horaires doivent être décomptés, pour quels salariés, avec quelle précision, et pourquoi un badge complété si besoin d’un code suffit. Écartez d’emblée la biométrie pour la gestion des temps : le règlement type de la CNIL la réserve aux accès véritablement sensibles, et une pointeuse à empreinte pour pointer les entrées et sorties ne passera ni le test de nécessité ni un contrôle. Choisissez un système fiable et infalsifiable, avec des droits d’accès limités aux personnes habilitées, une journalisation des consultations et des durées de conservation alignées sur les besoins, quelques mois pour les horaires courants, sans archivage indéfini des allées et venues.
Informez ensuite chaque salarié par écrit avant la mise en service : existence du dispositif, données enregistrées, finalités, destinataires, durées, droits d’accès, de rectification, d’effacement et d’opposition, et coordonnées du délégué à la protection des données quand il existe. Inscrivez le traitement au registre, réalisez l’analyse d’impact quand le dispositif présente un risque élevé, notamment dès qu’une composante biométrique est envisagée, et consultez le comité social et économique avant l’installation. Intégrez la règle de pointage au règlement intérieur ou au contrat de travail pour la rendre opposable, comme dans l’affaire jugée à Versailles où la clause contractuelle a fondé le licenciement. Enfin, produisez systématiquement vos extractions en cas de litige sur les horaires : l’employeur qui retient ses données perd deux fois, sur les heures réclamées et sur la crédibilité de l’ensemble de sa défense.
Anticipez les deux juges. Devant la CNIL, l’absence d’analyse d’impact, le défaut d’information ou une biométrie non nécessaire conduisent à la mise en demeure puis à la sanction publique, avec un effet réputationnel que les montants affichés ne résument pas. Devant les prud’hommes, un dispositif irrégulier prive l’employeur de sa preuve et transforme le refus du salarié en exercice légitime de ses droits, tandis qu’un dispositif régulier autorise la sanction jusqu’au licenciement pour cause réelle et sérieuse. Le coût de la conformité, analyse documentaire, paramétrage sobre, information des équipes, reste sans commune mesure avec celui d’un redressement cumulant sanction administrative, rappels d’heures supplémentaires et indemnités de licenciement. Les arrêts de Versailles et de Paris rendus à un an d’intervalle le démontrent par les chiffres : 800 euros mis à la charge du salarié qui contestait à tort une pointeuse régulière, contre plus de 26 000 euros mis à la charge de l’employeur qui n’a pas su justifier les horaires ni sécuriser la rupture.
Reste la question que tout salarié se pose face à un lecteur d’empreintes installé sans explication : puis-je refuser de poser mon doigt sans être sanctionné. La réponse tient en deux temps. D’abord, exercez vos droits par écrit : demandez à l’employeur la base juridique du traitement, la justification de la nécessité de la biométrie, l’analyse d’impact, l’avis des représentants du personnel et la solution alternative non biométrique qui doit vous être proposée. Cette lettre ne constitue ni une insubordination ni un refus d’obéissance, mais l’exercice normal de vos droits de salarié et de personne concernée. Ensuite, si l’employeur maintient un dispositif manifestement illicite, par exemple une pointeuse à empreinte pour de simples horaires sans locaux sensibles ni analyse d’impact, votre refus de vous y soumettre ne caractérise pas une faute, et toute sanction prononcée sur ce fondement pourra être contestée devant le conseil de prud’hommes, avec à la clé l’annulation de la mesure, des dommages et intérêts et, en cas de licenciement, une indemnité pour rupture sans cause réelle et sérieuse. Faites-vous assister tôt : un représentant du personnel, l’inspection du travail pour un signalement, puis un avocat pour chiffrer les demandes et ordonner les pièces.
Pour l’employeur sommé de justifier une biométrie existante, la régularisation passe par un audit sans complaisance. Recensez les dispositifs déployés, y compris ceux installés par un prédécesseur ou un prestataire sans validation juridique, et mesurez chacun au test du règlement type : le badge suffirait-il, les locaux sont-ils sensibles, le gabarit est-il sous maîtrise de la personne, l’analyse d’impact existe-t-elle. Quand la réponse est négative, démontez le dispositif biométrique et basculez vers le badge, en informant les salariés et les représentants : le coût du remplacement reste inférieur à celui d’une mise en demeure publique suivie d’une sanction. Quand la biométrie se justifie véritablement, contrôle d’accès à une zone sensible, données couvertes par une exception légale, mettez le dossier en conformité complète, analyse d’impact, stockage de type un ou deux, information individuelle, consultation du comité, registre et durées limitées, avant qu’un contrôle ou un litige ne révèle les lacunes. Dans les deux cas, cessez immédiatement d’utiliser à des fins disciplinaires des données issues d’un système dont vous savez la base fragile : chaque sanction nouvelle aggrave le dossier.
Conclusion
Badgeuse et pointeuse obéissent à une grammaire simple : informer avant de collecter, Collecter seulement ce qui est nécessaire, conserver un système fiable et préférer toujours le dispositif le moins intrusif. Le badge notifié, proportionné et fiabilisé passe tous les contrôles et fonde aussi bien la réclamation d’heures supplémentaires du salarié que la sanction de ses manquements. L’empreinte digitale pour gérer les horaires échoue au premier contrôle : quand un badge suffit, la biométrie est écartée, et l’employeur qui l’impose cumule les risques, plainte CNIL, sanction publique et censure prud’homale.
Si l’on vous impose une pointeuse à empreinte, demandez par écrit la justification du dispositif, l’analyse d’impact et l’alternative non biométrique, conservez vos relevés d’horaires et saisissez la CNIL puis les prud’hommes sans attendre que la situation se dégrade. Si vous dirigez une entreprise, auditez votre système avant qu’un salarié ou un contrôleur ne le fasse à votre place : supprimez la biométrie inutile, fiabilisez l’enregistrement, informez par écrit et produisez vos données au premier litige. Dans ce contentieux, le dossier le mieux documenté gagne, des deux côtés de la pointeuse.
Besoin d’un avis rapide sur votre dossier
On vous impose une pointeuse à empreinte, votre employeur conteste vos heures supplémentaires malgré vos relevés de badgeuse, ou votre entreprise veut installer un contrôle des horaires conforme face à la CNIL et aux prud’hommes : faites analyser votre dossier en numérique et données personnelles par Maître Reda KOHEN, avocat au Barreau de Paris. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page contact du cabinet.