Votre employeur installe une pointeuse à empreinte digitale, vous refusez de poser votre doigt sur le lecteur et, quelques semaines plus tard, un avertissement, une mise à pied ou une convocation à un entretien préalable au licenciement arrive sur votre bureau. Le motif invoqué tient en une ligne : refus de se soumettre au dispositif de contrôle des horaires. Cette situation, de plus en plus fréquente dans les entrepôts, les commerces, les cliniques privées et les entreprises de services, soulève une question directe : une sanction prononcée pour avoir refusé la biométrie est-elle valable ? La réponse ne se trouve ni dans le règlement intérieur seul, ni dans l’argument commode selon lequel tout le monde aurait accepté. Elle se trouve dans l’articulation entre le droit du travail et le droit des données personnelles. L’empreinte digitale n’est pas un simple identifiant : c’est une donnée biométrique, attachée à votre corps de façon permanente, qui permet de vous identifier de manière unique toute votre vie. À la différence d’un badge perdu, que l’on remplace, ou d’un mot de passe compromis, que l’on change, une empreinte compromise le reste pour toujours. C’est pour cette raison que le droit européen en interdit le traitement par principe et que l’autorité française de protection des données encadre strictement son usage au travail. Face à une pointeuse à empreinte, le salarié n’est donc pas désarmé : l’employeur qui veut sanctionner un refus doit d’abord démontrer que son dispositif est licite, proportionné, précédé d’une information individuelle et d’une consultation des représentants du personnel, et accompagné d’une alternative non biométrique. À défaut, la sanction repose sur un dispositif irrégulier et les preuves qu’il produit peuvent être écartées des débats prud’homaux. Cet article expose, dans un premier temps, les conditions de licéité que l’employeur doit réunir avant toute sanction, puis, dans un second temps, les voies concrètes pour contester la mesure, saisir la Commission nationale de l’informatique et des libertés et obtenir réparation.

I. Avant toute sanction, l’employeur doit démontrer que sa pointeuse à empreinte est licite

A. L’empreinte de pointage est une donnée sensible, interdite par principe et jamais autorisée en blanc

Le point de départ tient au statut de l’empreinte digitale. Le règlement général sur la protection des données range les données biométriques parmi les catégories particulières de données, dites sensibles. Le principe posé est une interdiction : le traitement de données biométriques aux fins d’identifier une personne de manière unique est en principe prohibé, sauf à entrer dans l’une des exceptions limitativement prévues par le texte. L’une de ces exceptions vise le monde du travail : le traitement peut être admis lorsqu’il est nécessaire à l’exécution d’obligations et à l’exercice de droits en matière de droit du travail, dans la mesure où il est autorisé par le droit de l’Union, par le droit d’un État membre ou par une convention collective qui prévoit des garanties appropriées, avec une nécessité démontrée au cas par cas (article 9 du RGPD, biométrie et monde du travail). Autrement dit, contrôler les horaires par l’empreinte n’est jamais libre : il faut une nécessité démontrée et un cadre juridique qui l’autorise avec des garanties.

Cette exigence de nécessité se double du principe de minimisation. Les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées » (principes de licéité et de minimisation rappelés par la Cour de cassation), et traitées « de manière licite, loyale et transparente au regard de la personne concernée ». Pour un simple contrôle des horaires d’arrivée et de départ, un badge, un code ou un émargement suffit dans l’immense majorité des cas. L’autorité française l’exprime sans détour dans sa doctrine applicable aux lieux de travail : si un système de badge est suffisant, la réponse est non ; si la biométrie ne répond qu’à un besoin de confort, la réponse est non ; si les locaux ou les outils protégés ne présentent pas une sensibilité particulière, la réponse est non. Dans ces trois cas, une solution moins intrusive doit être privilégiée (le contrôle d’accès biométrique sur les lieux de travail). Le code du travail impose le même test de proportionnalité à tout dispositif : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » (article L1121-1 du code du travail).

Une précision de champ d’application mérite l’attention du salarié comme de l’employeur. Le règlement type adopté par la Commission le 28 mars 2019, qui encadre la biométrie sur les lieux de travail, est un instrument contraignant : les organismes qui mettent en œuvre ces traitements sont tenus d’en respecter les indications. Mais son objet est délimité : il fixe les règles pour le contrôle des accès aux locaux, aux applications et aux outils de travail. Il ne s’applique pas aux traitements de données biométriques poursuivant une finalité autre que celle du contrôle des accès sur les lieux de travail (questions-réponses sur le règlement type biométrie). Le pointage des horaires n’est pas un contrôle d’accès aux locaux : c’est un contrôle de l’activité et du temps de travail. Il ne bénéficie donc d’aucune autorisation en blanc. L’employeur qui installe une pointeuse à empreinte pour gérer les horaires doit construire, pièce par pièce, la démonstration de la nécessité : contexte spécifique exigeant un niveau de protection élevé, démonstration de l’insuffisance des moyens moins intrusifs tels que le badge ou le code, justification documentée du choix de la caractéristique biométrique. Faute de cette démonstration, le refus du salarié de livrer son empreinte s’appuie sur un socle juridique solide, et toute sanction disciplinaire prononcée pour ce motif naît suspecte.

B. Information individuelle, consultation du CSE, analyse d’impact et alternative : quatre verrous procéduraux

Même lorsque l’employeur prétend justifier la nécessité, quatre verrous procéduraux conditionnent la régularité du dispositif, et chacun d’eux offre au salarié sanctionné un moyen de contestation autonome.

Le premier verrou est l’information individuelle préalable. Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance (article L1222-4 du code du travail). Le droit européen ajoute le contenu obligatoire de cette information : lorsque les données sont collectées auprès de la personne, le responsable du traitement lui fournit, dès l’obtention des données, l’ensemble des informations prévues par le texte, à commencer par les finalités poursuivies et la base juridique retenue (informer les personnes et garantir la transparence). Concrètement, une note affichée le jour même de la mise en service, une mention orale en réunion ou un règlement intérieur modifié sans notification individuelle ne suffisent pas. Le salarié doit savoir qui traite ses données, pourquoi, sur quel fondement, combien de temps, quels sont ses droits d’accès, de rectification et d’opposition, et comment les exercer. La Cour de cassation l’a rappelé avec netteté : « les salariés concernés doivent être informés, préalablement à la mise en oeuvre d’un traitement de données à caractère personnel » (Cour de cassation, chambre sociale, 10 novembre 2021, n° 20-12.263). Un salarié qui découvre la pointeuse sans avoir reçu cette information peut soutenir que le traitement lui est inopposable et que tout relevé issu du dispositif ne peut fonder une sanction.

Le deuxième verrou est la consultation des représentants du personnel. Le comité social et économique « est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés » (article L2312-38 du code du travail). La pointeuse à empreinte, qui enregistre les heures d’arrivée et de départ et permet de vérifier le respect des horaires, constitue à l’évidence un moyen de contrôle de l’activité. La jurisprudence applique cette exigence avec rigueur, y compris lorsque l’outil n’avait pas été conçu à l’origine pour surveiller les salariés. Dans une affaire où un outil de traçabilité informatique destiné à la sécurité des opérations bancaires avait été utilisé pour vérifier les consultations d’un salarié, la Cour de cassation a approuvé les juges du fond d’avoir déduit que « l’employeur aurait dû informer et consulter le comité d’entreprise sur l’utilisation de ce dispositif à cette fin et qu’à défaut, il convenait d’écarter des débats les documents résultant de ce moyen de preuve illicite » (Cour de cassation, chambre sociale, 11 décembre 2019, n° 18-11.792). La leçon vaut pour la pointeuse : un terminal présenté comme un simple outil de gestion des temps, installé sans information ni consultation du comité, produit des relevés que le juge peut écarter. Le salarié sanctionné demandera donc systématiquement la production des procès-verbaux d’information et de consultation du comité : leur absence vicie la preuve, et la sanction qui repose exclusivement sur elle s’effondre.

Le troisième verrou est l’analyse d’impact. Lorsqu’un traitement est susceptible d’engendrer un risque élevé pour les droits et libertés, le responsable effectue avant tout déploiement une analyse d’impact relative à la protection des données (l’analyse d’impact AIPD). La doctrine de l’autorité française est explicite pour la biométrie : l’analyse d’impact doit obligatoirement être effectuée avant la mise en œuvre, documenter la nécessité du recours à la biométrie, justifier le mode de conservation des gabarits et être mise à jour régulièrement. Surtout, le stockage centralisé des gabarits sous la seule maîtrise de l’employeur, qui est précisément le modèle de la plupart des pointeuses à empreinte du commerce, est présenté comme la solution la plus risquée : l’existence d’une base centralisée rend possible une fuite exposant de manière irréversible les données biométriques de l’ensemble des salariés (questions-réponses sur le règlement type biométrie). Le salarié peut donc exiger de savoir où son gabarit est conservé, sous quelle forme, avec quel chiffrement, et si une analyse d’impact a été réalisée. Une base centralisée non chiffrée, sans analyse d’impact, cumule les indices d’illicéité.

Le quatrième verrou tient au consentement et à l’alternative. Dans la relation de travail, le lien hiérarchique crée un déséquilibre qui affecte le caractère libre du consentement : le consentement ne peut que très rarement fonder un traitement de données au travail. Lorsqu’un employeur prétend néanmoins s’en prévaloir, l’autorité exige qu’une solution alternative équivalente, de type badge ou mot de passe, soit mise à la disposition des personnes afin que chacun choisisse librement l’option qui lui convient, sans qu’aucune conséquence, positive ou négative, ne vienne influencer ce choix (questions-réponses sur le règlement type biométrie). Cette phrase est décisive pour le salarié sanctionné : menacer d’une sanction le salarié qui refuse l’empreinte, c’est précisément exercer la conséquence négative qui interdit de se prévaloir de son accord. Par ailleurs, le droit européen reconnaît à chacun le droit de retirer son consentement à tout moment, aussi simplement qu’il l’a donné (consentement et droit au retrait). Un salarié qui avait d’abord posé son doigt puis s’est ravisé peut retirer son accord ; l’employeur doit alors lui proposer le badge ou le code équivalent et cesser d’exiger l’empreinte. Enfin, lorsque l’installation et la maintenance sont confiées à un prestataire, celui-ci n’agit que pour le compte de l’employeur, seul responsable du traitement, et un contrat encadrant les obligations de chacun en matière de protection des données doit être établi. Le salarié peut demander communication de ce contrat : son absence révèle une non-conformité supplémentaire.

II. Sanctionné pour refus : contester devant les prud’hommes, saisir la CNIL et obtenir réparation

A. Faire annuler la mesure devant le conseil de prud’hommes et priver l’employeur de ses preuves

La contestation commence par la qualification de la mesure. Un avertissement ou une mise à pied disciplinaire prononcé pour refus de la biométrie est une sanction disciplinaire : le salarié peut en demander l’annulation lorsque la procédure ou le fondement est irrégulier. Un licenciement prononcé pour ce seul motif s’analyse en licenciement disciplinaire : le salarié en conteste la cause réelle et sérieuse et sollicite les indemnités correspondantes, outre le rappel des salaires afférents à une mise à pied conservatoire annulée. Le juge compétent est le conseil de prud’hommes, qui « règle par voie de conciliation les différends qui peuvent s’élever à l’occasion de tout contrat de travail » et « juge les litiges lorsque la conciliation n’a pas abouti » (article L1411-1 du code du travail). La stratégie contentieuse repose sur trois piliers.

Le premier pilier consiste à démontrer l’illicéité du dispositif selon la grille exposée plus haut : absence de nécessité documentée, information individuelle inexistante ou tardive, défaut de consultation du comité social et économique, absence d’analyse d’impact, base centralisée de gabarits sans chiffrement, absence d’alternative non biométrique. Chaque manquement est un moyen autonome. L’argument est d’autant plus fort que la Cour de cassation a censuré les cours d’appel qui valident des sanctions fondées sur des dispositifs de contrôle mis en œuvre sans information ni consultation préalables : dans l’affaire tranchée le 10 novembre 2021, elle a cassé en toutes ses dispositions l’arrêt qui avait jugé le licenciement fondé, au visa de l’obligation d’information préalable des salariés et de l’obligation d’information et de consultation du comité sur les moyens de contrôle (Cour de cassation, chambre sociale, 10 novembre 2021, n° 20-12.263). Le parallèle avec la vidéosurveillance permanente du poste, autre dispositif fréquemment utilisé pour surveiller puis sanctionner, est éclairant : les mêmes exigences d’information et de consultation s’appliquent, et leur méconnaissance vicie la preuve, comme l’expose l’analyse consacrée à la caméra qui filme le salarié en permanence à son poste.

Le deuxième pilier vise les preuves elles-mêmes. Les relevés de la pointeuse, les rapports d’anomalies et les constats d’huissier établis à partir du dispositif irrégulier constituent des moyens de preuve illicites que le salarié demande au juge d’écarter des débats, sur le fondement de l’arrêt du 11 décembre 2019 cité plus haut. Une honnêteté contentieuse s’impose toutefois : depuis l’évolution jurisprudentielle récente, « L’illicéité d’un moyen de preuve […] n’entraîne pas nécessairement son rejet des débats, le juge devant apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble », en mettant en balance le respect de la vie personnelle du salarié et le droit à la preuve de l’employeur (Cour de cassation, chambre sociale, 10 novembre 2021, n° 20-12.263). L’employeur plaidera que les pointages étaient indispensables pour établir les retards. Le salarié répondra que des moyens licites existaient : badge, émargement, témoignages, plannings. Plus l’alternative licite était évidente, plus la balance penche vers l’écartement de la preuve biométrique. À l’inverse, le salarié doit connaître la limite symétrique, illustrée par un arrêt récent : lorsque le dispositif poursuit une finalité légitime de sécurité, qu’il a fait l’objet de déclarations, d’une autorisation et d’une information effective des personnes, la preuve issue du système peut être admise et le licenciement maintenu. Dans cette affaire, la Cour a rappelé que « le responsable du traitement de données personnelles doit délivrer aux personnes concernées des informations relatives notamment aux finalités du dispositif de contrôle, à leur droit d’accès et de rectification, aux coordonnées du délégué à la protection des données » (Cour de cassation, chambre sociale, 21 mai 2025, n° 22-19.925). La morale procédurale est claire : tout se joue sur la conformité du dispositif, et l’employeur qui a tout documenté part avec une avance considérable.

Le troisième pilier est probatoire et pratique. Le salarié conserve tout écrit : convocation à l’entretien, notification de la sanction, règlement intérieur, notes de service annonçant la pointeuse, échanges avec la hiérarchie et le délégué à la protection des données, procès-verbaux du comité social et économique s’ils existent. Il formule son refus par écrit, de préférence par lettre remise en main propre contre décharge ou par courrier recommandé, en visant l’information manquante et l’absence d’alternative, et il demande expressément un badge ou un code équivalent. Il exerce ses droits : demande d’accès à l’ensemble des données détenues sur lui, y compris les gabarits et les journaux de pointage, car l’organisme qui ignore une telle demande s’expose à un contentieux supplémentaire, selon la procédure applicable lorsque l’accès aux données reste sans réponse. Il saisit le comité social et économique et, s’il est protégé, l’inspection du travail. Il ne dégrade ni ne bloque le terminal, pour ne pas offrir un motif disciplinaire autonome, et il continue de pointer par tout moyen licite mis à sa disposition afin de ne pas être accusé d’absence injustifiée.

B. Plainte à la CNIL, volet pénal et réparation du préjudice, y compris à Paris et en Île-de-France

Parallèlement au contentieux prud’homal, le salarié peut saisir la Commission nationale de l’informatique et des libertés par une plainte en ligne décrivant le dispositif, les manquements constatés et la sanction subie. L’autorité dispose de pouvoirs gradués, de la mise en demeure à la sanction pécuniaire. Le droit européen exige que les amendes administratives soient dans chaque cas effectives, proportionnées et dissuasives (pouvoirs de sanction de l’autorité de contrôle), et le montant tient notamment à la nature, à la gravité et à la durée de la violation, au nombre de personnes concernées et au caractère délibéré du manquement. Une pointeuse à empreinte déployée sur l’ensemble du personnel, sans analyse d’impact et avec une base centralisée de gabarits, cumule les facteurs d’aggravation. Le volet pénal n’est pas théorique : le fait, y compris par négligence, de mettre en œuvre un traitement sans respecter les formalités préalables prévues par la loi « est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-16 du code pénal). La plainte pénale pour collecte déloyale de données peut ainsi compléter la plainte auprès de l’autorité de protection des données, notamment lorsque l’employeur a enrôlé les empreintes de salariés qui n’avaient reçu aucune information.

La réparation du préjudice suit deux fondements complémentaires. Le règlement européen ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir réparation de son préjudice auprès du responsable du traitement ou du sous-traitant (droit à réparation des personnes concernées). Le droit commun de la responsabilité civile ajoute que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » (article 1240 du code civil). Le préjudice du salarié sanctionné à tort se décline concrètement : perte de salaire afférente à une mise à pied, perte d’emploi et de revenus en cas de licenciement, atteinte à la réputation professionnelle, trouble dans les conditions d’existence, et préjudice moral spécifique lié à la collecte forcée d’une donnée corporelle permanente. La violation massive, touchant des dizaines ou des centaines de salariés enrôlés sans information, peut en outre fonder une action collective. Enfin, le droit européen autorise les États membres à prévoir, par la loi ou par conventions collectives, des règles plus spécifiques protégeant les données personnelles des salariés dans le cadre des relations de travail (données des salariés et dialogue social) : un accord collectif d’entreprise peut donc utilement interdire la biométrie pour le pointage ou imposer le badge, et le salarié vérifiera ce que prévoient sa convention collective et ses accords d’entreprise avant d’agir.

Pour les salariés franciliens, quelques repères pratiques complètent le tableau. Le conseil de prud’hommes compétent est en principe celui du lieu d’exécution du contrat, ce qui conduit les salariés travaillant à Paris devant la juridiction parisienne et les autres devant celle de leur département d’emploi en petite ou grande couronne. La saisine s’effectue par requête, avec un exposé des faits, les moyens d’illicéité du dispositif et les pièces : refus écrit, sanction notifiée, absence de preuve d’information et de consultation, demande d’accès restée sans réponse. La plainte auprès de la Commission s’effectue en ligne depuis tout lieu de résidence et peut être déposée même après la rupture du contrat, tant que les données sont conservées. Les délais procéduraux étant stricts en matière prud’homale comme en matière de contestation d’une sanction disciplinaire, le salarié sanctionné a intérêt à faire constater rapidement la situation : demande écrite d’alternative, exercice du droit d’accès, signalement au comité et, le cas échéant, dépôt de plainte. Chaque semaine qui passe sans écrit fragilise la démonstration.

Sanctionné pour avoir refusé de poser son doigt sur une pointeuse, le salarié n’est pas un salarié fautif par définition. L’empreinte digitale est une donnée sensible dont le traitement est interdit par principe ; le contrôle des horaires par biométrie ne bénéficie d’aucune autorisation générale, puisque le cadre contraignant de l’autorité de contrôle vise le contrôle des accès et non le pointage ; et l’employeur ne peut sanctionner qu’au prix d’une démonstration complète de nécessité, d’une information individuelle préalable, d’une consultation du comité social et économique, d’une analyse d’impact et d’une alternative non biométrique sans conséquence pour celui qui la choisit. À défaut, la sanction repose sur un dispositif irrégulier, les preuves qu’il produit peuvent être écartées, et l’employeur s’expose à la plainte devant l’autorité de protection des données, au volet pénal et à la réparation du préjudice devant le juge. La conduite à tenir tient en quatre gestes : refuser par écrit en visant les manquements, exiger un badge ou un code équivalent, exercer le droit d’accès et saisir sans tarder le conseil de prud’hommes et la Commission. Seul le juge, au vu des pièces produites par chacune des parties, dira si la pointeuse était licite et si la sanction doit être annulée.