Votre employeur installe une caméra qui vous reconnaît au visage pour ouvrir la porte, pointer vos horaires ou surveiller vos faits et gestes : pouvez-vous dire non, et que risque l’entreprise qui vous l’impose sans respecter le cadre légal ? La question n’est pas théorique. La reconnaissance faciale traite votre image comme une donnée biométrique, c’est-à-dire une donnée sensible dont le traitement est en principe interdit par le règlement européen sur la protection des données. En France, la CNIL a fixé un cadre contraignant pour la biométrie sur les lieux de travail avec son règlement type du 10 janvier 2019, et la Cour de cassation contrôle sévèrement les dispositifs de surveillance des salariés non déclarés ou disproportionnés. De son côté, le Comité européen de la protection des données a rappelé le 24 mai 2024, dans son avis sur la reconnaissance faciale dans les aéroports, que les personnes doivent garder le contrôle sur leurs données biométriques. Cet article explique le régime applicable, ce que votre employeur doit démontrer avant d’allumer la caméra, et le parcours utile pour refuser, saisir la CNIL et obtenir réparation devant le conseil de prud’hommes.

I. Une caméra à reconnaissance faciale au travail est en principe interdite

A. Votre visage est une donnée biométrique sensible, protégée par l’article 9 du RGPD et le règlement type de la CNIL

Le règlement européen définit les données biométriques comme les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que les images faciales ou les données dactyloscopiques. Cette définition figure à l’article 4, point 14, du règlement (UE) 2016/679. Une caméra qui reconnaît les salariés au visage entre donc exactement dans cette catégorie.

La conséquence est posée par l’article 9, paragraphe 1, du même règlement : le traitement des données biométriques aux fins d’identifier une personne physique de manière unique est interdit. L’interdiction est le principe. Elle ne peut être levée que dans des cas limitativement énumérés au paragraphe 2, parmi lesquels le consentement explicite de la personne ou la nécessité d’exécuter des obligations en matière de droit du travail lorsque le droit national l’autorise avec des garanties appropriées. Le paragraphe 4 ajoute que les États membres peuvent maintenir ou introduire des conditions supplémentaires, y compris des limitations, pour le traitement des données biométriques. La France a utilisé cette marge de manœuvre.

C’est l’objet de la délibération n° 2019-001 du 10 janvier 2019, par laquelle la CNIL a adopté un règlement type relatif à la mise en œuvre de dispositifs ayant pour finalité le contrôle d’accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail. Ce texte est pris notamment au visa de l’article 9 du RGPD et des articles 8 et 11 de la loi du 6 janvier 1978. La CNIL précise que ce règlement type revêt un caractère contraignant : les organismes qui mettent en œuvre ces traitements sont tenus de respecter les indications données, et à défaut de le respecter, un tel traitement ne peut être mis en œuvre. Ce point est rappelé dans les questions-réponses officielles qui accompagnent le règlement type.

Le champ du règlement type mérite une lecture attentive. Il couvre toute utilisation des données biométriques imposée par un employeur de droit public ou privé à son personnel au sens large, ce qui inclut les salariés, les stagiaires, les intérimaires et les prestataires, pour contrôler les accès aux locaux, aux applications et aux outils professionnels. En revanche, il ne s’applique pas aux traitements poursuivant une autre finalité. Une caméra à reconnaissance faciale qui servirait à mesurer vos horaires, à évaluer votre productivité ou à surveiller en continu votre poste de travail sort du champ du règlement type, ce qui ne la rend pas libre pour autant : elle relève alors de l’interdiction de principe de l’article 9 du RGPD, combinée aux règles du code du travail sur la surveillance des salariés. La finalité affichée par l’employeur doit donc être examinée avec rigueur, car un contrôle d’accès ne peut pas servir de prétexte à une surveillance généralisée.

Autre limite importante : le règlement type n’autorise que l’authentification biométrique fondée sur des caractéristiques morphologiques, comme l’empreinte digitale, l’iris, le réseau veineux de la main ou le visage. L’authentification nécessitant un prélèvement biologique, par exemple la salive ou le sang, est proscrite. Le choix du type de biométrie doit être justifié et documenté par l’employeur, notamment la raison d’utiliser une caractéristique plutôt qu’une autre. Une caméra faciale installée par simple commodité, parce qu’elle évite de distribuer des badges, ne satisfait pas cette exigence.

Il faut distinguer cette situation de deux régimes voisins souvent confondus avec elle. D’abord, la simple vidéosurveillance sans reconnaissance faciale, qui filme sans identifier biométriquement, obéit à un autre cadre, décrit par la CNIL dans sa page sur la vidéosurveillance et la vidéoprotection au travail : information des salariés, durée de conservation limitée, accès restreint aux images. Ensuite, l’interdiction posée par le règlement européen sur l’intelligence artificielle, le règlement (UE) 2024/1689, qui vise à son article 5, point h, l’utilisation de systèmes d’identification biométrique à distance en temps réel dans des espaces accessibles au public à des fins répressives. Ce texte précise lui-même qu’il est sans préjudice de l’article 9 du RGPD pour les traitements à des fins autres que répressives, et ses considérants indiquent que les locaux d’entreprise réservés aux employés ne sont pas des espaces accessibles au public. Au travail, le texte applicable à la caméra faciale reste donc le RGPD et le règlement type de la CNIL, avec des interdictions de l’IA applicables depuis le 2 février 2025 et des sanctions pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires mondial pour leur violation. La pointeuse à empreinte digitale imposée au travail obéit à la même logique, mais la reconnaissance faciale y ajoute une dimension propre : votre visage est capté à distance, potentiellement à votre insu, sans geste volontaire de votre part, ce qui rend l’exigence d’information préalable et de solution alternative encore plus déterminante.

B. Avant d’allumer la caméra, l’employeur doit justifier, consulter et informer

Le premier verrou est la justification du recours à la biométrie. L’article 3 du règlement type impose au responsable du traitement de démontrer la nécessité de recourir à un traitement de données biométriques, en indiquant les raisons pour lesquelles le recours à d’autres dispositifs d’identification, comme les badges ou les mots de passe, ou à des mesures organisationnelles et techniques de protection ne permet pas d’atteindre le niveau de sécurité exigé. Cette justification doit détailler le contexte spécifique rendant nécessaire un niveau de protection élevé, détailler les raisons justifiant la biométrie plutôt qu’une autre technologie, et être documentée par écrit. La CNIL explique dans ses questions-réponses que l’employeur doit justifier de manière très concrète son besoin par rapport à des solutions moins intrusives, par exemple la manipulation de machines dangereuses, l’accès à des fonds ou à des objets de valeur, ou des contraintes techniques particulières. Un simple souci de modernité ou d’économies sur les badges ne constitue pas une justification.

Le deuxième verrou est le stockage du gabarit. Le règlement type définit le gabarit comme le résultat du traitement de l’enregistrement brut de la caractéristique biométrique par un algorithme rendant impossible la reconstitution de celle-ci. Il distingue trois types de détention : le type 1, où le seul support de stockage durable est détenu par la personne elle-même, par exemple un badge ou une carte à puce ; le type 2, où le support est maîtrisé par l’employeur mais conservé sous une forme inexploitable sans un secret détenu par la personne ; et le type 3, où l’employeur conserve les gabarits sous une forme exploitable sans badge ni secret de la personne. En l’absence de circonstances particulières, seuls les gabarits sous maîtrise des personnes concernées, le type 1, peuvent être utilisés. Le recours au type 2 n’est possible que s’il est avéré que le type 1 n’est pas adapté à l’architecture et au contexte d’exploitation, et le recours au type 3 exige en outre les mesures de sécurité renforcées et une analyse des risques documentée de manière particulièrement circonstanciée. Cette gradation reprend la position du Comité européen exprimée dans son avis du 24 mai 2024 : les solutions compatibles avec les principes du RGPD sont celles dans lesquelles les données biométriques restent sous le contrôle de la personne concernée. Pour une caméra faciale, qui fonctionne par nature avec une base centrale de visages, l’employeur devra donc expliquer pourquoi un badge biométrique individuel ne suffisait pas, ce qui sera rarement évident pour une simple porte d’entrée.

Le troisième verrou est la conservation. Les enregistrements bruts, c’est-à-dire les photos ou captations d’origine, ne peuvent être traités que le temps nécessaire au calcul des gabarits et ne peuvent pas être conservés. Les gabarits eux-mêmes ne peuvent être conservés sous forme chiffrée que pendant la durée d’habilitation de la personne et doivent être supprimés en cas de retrait des habilitations ou de cessation des fonctions. Les données de journalisation des accès produites par le dispositif ne peuvent être conservées en base active pendant plus de six mois glissants. Concrètement, votre ancien employeur ne peut pas garder votre modèle facial dans sa base après votre départ, et il ne peut pas reconstituer vos allées et venues au-delà de six mois pour une finalité de contrôle courant.

Le quatrième verrou est la sécurité et l’analyse d’impact. Le règlement type impose des mesures précises : cloisonnement et chiffrement des données biométriques selon l’état de l’art, détection de la fraude, interdiction de tout accès externe à la donnée biométrique, effacement effectif en fin de conservation, et surtout mise à disposition d’un dispositif alternatif de secours, sans contrainte ni surcoût pour les personnes n’utilisant pas la solution biométrique. En outre, une analyse d’impact relative à la protection des données doit être effectuée avant la mise en œuvre, conformément à l’article 35 du RGPD, texte qui impose cette analyse lorsque le traitement est susceptible d’engendrer un risque élevé, ce qui inclut le traitement à grande échelle de catégories particulières de données. Le responsable du traitement doit mettre à jour cette évaluation au moins tous les trois ans.

Le cinquième verrou relève du code du travail. L’article L1121-1 dispose que nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. L’article L1222-3 précise que le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard, et que ces méthodes doivent être pertinentes au regard de la finalité poursuivie. L’article L1222-4 ajoute qu’aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. L’article L2312-38 prévoit que le comité social et économique est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. Le règlement type lui-même rappelle que l’employeur doit fournir aux personnes une information individuelle dans une notice écrite remise à chacun préalablement à l’enrôlement, sans préjudice de l’information et de la consultation des instances représentatives du personnel. Une caméra faciale installée sans information préalable des salariés et sans consultation du comité est donc doublement irrégulière, au regard du droit des données personnelles comme du droit du travail.

Reste la question du consentement, souvent invoquée à tort. La CNIL répond clairement dans ses questions-réponses : non, un consentement des salariés n’est pas nécessaire, et surtout il ne peut que très rarement servir de fondement, parce que le lien hiérarchique crée un déséquilibre qui affecte le caractère libre du consentement. L’employeur doit se fonder sur un autre fondement, le plus souvent son intérêt légitime, et respecter dans tous les cas le règlement type. S’il veut néanmoins se fonder sur le consentement, il doit offrir une véritable liberté de choix avec une solution alternative équivalente, badge ou mot de passe, sans qu’aucune conséquence ne puisse influencer ce choix. Vous n’avez donc pas à signer une autorisation pour que le dispositif soit régulier, et une autorisation arrachée sous la menace d’une sanction ne vaut pas consentement libre.

II. Refuser la caméra, la faire éteindre et obtenir réparation : le parcours utile

A. Refuser l’enrôlement, exiger l’alternative et saisir la CNIL

Face à une caméra à reconnaissance faciale, le premier réflexe utile consiste à demander par écrit à l’employeur les documents qui conditionnent la régularité du dispositif : la justification du recours à la biométrie, l’analyse d’impact, la notice d’information individuelle qui aurait dû vous être remise avant l’enrôlement, et la preuve de la consultation du comité social et économique. Adressez cette demande par un écrit dont vous conservez la preuve, lettre recommandée ou courriel avec accusé de réception, en rappelant que l’article L1222-4 du code du travail interdit toute collecte par un dispositif non porté préalablement à votre connaissance. Si l’employeur est incapable de produire ces pièces, chaque jour de fonctionnement de la caméra aggrave sa position.

Vous pouvez refuser l’enrôlement facial et exiger la solution alternative. Le règlement type impose à l’employeur de mettre à disposition un dispositif de secours, sans contrainte ni surcoût, pour les personnes n’utilisant pas la solution biométrique, y compris en cas d’impossibilité d’enrôlement ou de situation de handicap. Un salarié qui refuse de livrer son visage au système doit donc pouvoir continuer à travailler avec un badge ou un code, dans des conditions équivalentes. Toute sanction disciplinaire, toute mise à l’écart ou toute pression liée à ce refus fragilise l’employeur, car elle démontre l’absence de liberté de choix et contredit l’obligation d’alternative. Conservez les traces de ces pressions : convocations, courriels, attestations de collègues, planning modifié.

Si l’employeur maintient le dispositif, la plainte devant la CNIL constitue la voie naturelle. La Commission peut contrôler sur place et sur pièces, mettre en demeure, puis sanctionner. L’affaire dite Clearview illustre la détermination de l’autorité en matière de reconnaissance faciale : par sa délibération SAN-2022-019 du 17 octobre 2022, la formation restreinte a relevé que la société collectait toutes les images sur lesquelles apparaissent des visages sur des millions de sites web, sans avoir recueilli le consentement des personnes, et a retenu des manquements à la base légale et aux droits des personnes. Elle a prononcé une amende administrative de 20 millions d’euros, assortie d’une injonction de cesser la collecte sans base légale et de supprimer les données, sous astreinte de 100 000 euros par jour de retard à l’issue d’un délai de deux mois. Certes, cette affaire visait un éditeur commercial et non un employeur, mais elle fixe l’échelle des sanctions encourues pour un traitement facial sans base légale, et la CNIL consacre une page spécifique au contrôle des employeurs qui abusent de la vidéosurveillance. Votre plainte doit être précise : lieu et dates de fonctionnement de la caméra, absence de notice, absence d’alternative, photographies du dispositif, échanges avec l’employeur et, si possible, position du comité social et économique.

Pensez aussi à exercer vos droits individuels. Le RGPD vous reconnaît un droit d’accès, un droit d’effacement et un droit d’opposition, et le règlement type organise la suppression des gabarits à la fin des fonctions. Après votre départ de l’entreprise, exigez par écrit la suppression de votre gabarit facial et la confirmation de l’effacement. Si des images ou des gabarits ont fuité, par exemple après une attaque du prestataire qui gère la caméra, l’employeur doit vous en informer lorsque la violation engendre un risque élevé pour vos droits, et notifier la CNIL dans les 72 heures. Une fuite de gabarits faciaux présente un caractère irréversible, car on ne change pas de visage comme on change de mot de passe, ce que la CNIL souligne elle-même pour justifier le statut sensible de ces données. Cet élément pèse dans l’évaluation du préjudice.

B. Contester devant les prud’hommes : preuve écartée, sanction annulée, préjudice réparé

Le contentieux prud’homal est le second pilier du parcours. L’article L1411-1 du code du travail confie au conseil de prud’hommes les différends nés à l’occasion du contrat de travail, ce qui inclut la contestation d’un dispositif de surveillance et la réparation du préjudice subi. Si vous travaillez à Paris ou en petite couronne, le conseil de prud’hommes du lieu de travail est saisi selon les règles habituelles de compétence, et les délais pour agir courent à compter des faits. N’attendez pas la fin du contrat pour agir si la caméra fonctionne aujourd’hui : une action en cessation de l’illicite et en réparation peut être engagée pendant l’exécution du contrat.

L’argument central devant le juge est celui de la preuve illicite. La chambre sociale de la Cour de cassation a fixé un cadre désormais stable. Dans son arrêt du 8 mars 2023, pourvoi n° 21-17.802, elle rappelle qu’en présence d’une preuve illicite, le juge doit d’abord s’interroger sur la légitimité du contrôle opéré par l’employeur et vérifier s’il existait des raisons concrètes qui justifiaient le recours à la surveillance et l’ampleur de celle-ci, rechercher ensuite si l’employeur ne pouvait pas atteindre un résultat identique en utilisant d’autres moyens plus respectueux de la vie personnelle du salarié, et apprécier enfin le caractère proportionné de l’atteinte au regard du but poursuivi. Dans cette affaire, la cour d’appel avait constaté que l’employeur n’avait informé la salariée ni des finalités du dispositif de vidéosurveillance ni de sa base juridique, et n’avait pas sollicité l’autorisation préfectorale alors exigée, ce dont elle avait exactement déduit que les enregistrements constituaient un moyen de preuve illicite. Ce contrôle s’appuie sur l’article 9 du code civil, selon lequel chacun a droit au respect de sa vie privée. Transposée à la reconnaissance faciale, cette grille est redoutable pour l’employeur : une caméra installée sans notice préalable, sans justification documentée et sans alternative par badge échoue dès la première étape du contrôle.

L’arrêt du 14 février 2024, pourvoi n° 22-23.073, rendu à propos d’une caissière de pharmacie filmée puis licenciée, confirme la méthode. La Cour y reprend le triple test : légitimité du contrôle et raisons concrètes, recherche d’un moyen moins intrusif, proportionnalité de l’atteinte. Une caméra faciale qui identifie chaque salarié à chaque passage, enregistre les heures d’arrivée et croise ces données avec les journaux de présence, constitue un contrôle d’une ampleur considérable. L’employeur devra expliquer au juge pourquoi un badge suffisait ailleurs et pourquoi le visage devenait indispensable ici. Faute de réponse convaincante, les images et les relevés issus du dispositif sont écartés des débats, et le licenciement qui reposait sur eux perd son fondement.

L’arrêt du 21 mai 2025, pourvoi n° 22-19.925, apporte deux compléments précieux. D’une part, il rappelle les définitions et principes du RGPD : le traitement s’entend de toute opération appliquée à des données personnelles, y compris la collecte, la consultation et l’utilisation ; le responsable du traitement est celui qui détermine les finalités et les moyens ; les données doivent être traitées de manière licite, loyale et transparente, pour des finalités déterminées, et limitées à ce qui est nécessaire. D’autre part, le moyen soulevé dans cette affaire invoquait ensemble les articles 4 et 48 de la loi du 6 janvier 1978 et les articles L1222-4 et L2312-38 du code du travail, en faisant valoir qu’il revenait à l’employeur d’établir qu’il avait mis les images à disposition du salarié. Autrement dit, c’est à l’employeur de prouver qu’il a informé, consulté et permis l’exercice du droit d’accès, et non au salarié de prouver qu’il a réclamé. Devant les prud’hommes, exigez la production de la notice, du registre, de l’analyse d’impact et de l’avis du comité : le silence de l’employeur parle contre lui. Ce rappel rejoint l’article 9 du code de procédure civile, selon lequel il incombe à chaque partie de prouver conformément à la loi les faits nécessaires au succès de sa prétention : à l’employeur d’établir la régularité de son dispositif.

Les conséquences d’une victoire se déclinent en trois volets. Premièrement, les éléments issus du dispositif illicite sont écartés, ce qui entraîne fréquemment l’annulation de la sanction disciplinaire ou la reconnaissance d’un licenciement sans cause réelle et sérieuse lorsque la mesure reposait sur ces seuls éléments. Deuxièmement, le juge peut ordonner la cessation du trouble, c’est-à-dire l’arrêt du dispositif ou sa mise en conformité avec une astreinte. Troisièmement, le préjudice est réparé. L’article 82, paragraphe 1, du RGPD dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le préjudice moral lié à une surveillance faciale permanente, à l’impossibilité de s’y soustraire et à la conservation de son modèle biométrique est indemnisable, et le caractère irréversible de l’exposition d’une donnée que l’on ne peut pas révoquer justifie une évaluation attentive. L’arrêt du 16 septembre 2020, pourvoi n° 19-18.109, montre par ailleurs que les manquements aux obligations d’information et de consultation préalables fragilisent durablement la position de l’employeur dans le contentieux du licenciement.

N’oubliez pas le volet pénal, qui pèse dans la négociation comme dans la plainte. L’article 226-16 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait, y compris par négligence, de procéder à des traitements de données personnelles sans respecter les formalités préalables prévues par la loi. La mise en œuvre d’une caméra faciale sans analyse d’impact, sans information et sans respect du règlement type expose donc le décideur à des poursuites, indépendamment de l’amende administrative de la CNIL et des dommages-intérêts prud’homaux. Un dépôt de plainte simple ou avec constitution de partie civile reste possible, en parallèle de la plainte CNIL et de l’action prud’homale, sans qu’il soit nécessaire de choisir une seule voie.

Conclusion

Une caméra qui vous reconnaît au visage sur votre lieu de travail n’est pas un simple équipement de sécurité : elle traite une donnée sensible dont le traitement est interdit par principe, et que l’employeur ne peut mettre en œuvre qu’en respectant le règlement type contraignant de la CNIL, en justifiant par écrit pourquoi un badge ne suffisait pas, en conservant votre gabarit sous votre maîtrise, en supprimant toute trace brute, en vous informant individuellement avant l’enrôlement, en consultant le comité social et économique et en vous offrant une alternative équivalente sans surcoût. Le consentement signé à la hâte ne remplace aucune de ces garanties, et la sanction Clearview de 20 millions d’euros rappelle l’échelle des risques pour les traitements faciaux sans base légale. Si la caméra tourne déjà sans ces garanties, demandez les pièces par écrit, refusez l’enrôlement en exigeant le badge, exercez vos droits d’accès et d’effacement, saisissez la CNIL et portez le litige devant les prud’hommes où le triple test de la Cour de cassation écarte les preuves issues d’un contrôle illégitime ou disproportionné. Votre visage vous appartient pour toute votre vie : c’est précisément pour cette raison que le droit interdit à l’employeur d’en faire une clé de pointage sans y être contraint par une nécessité démontrée.