Votre employeur remplace le badge par une pointeuse à empreinte. Votre résidence installe un portique à reconnaissance faciale. L’école de votre enfant annonce la cantine par contour de la main. Un stade ou un magasin vous filme avec un système qui prétend détecter les comportements suspects. Dans chaque cas, la question est la même : pouvez-vous dire non, et que faire si l’organisme insiste.
La réponse tient en une phrase : la biométrie est une donnée sensible dont le traitement est interdit par principe, et la reconnaissance faciale dans l’espace public est interdite sauf exceptions étroites. Celui qui veut vous l’imposer doit démontrer qu’il y est autorisé, et vous disposez de leviers immédiats : exiger une solution non biométrique, exercer vos droits d’accès et d’effacement, saisir la CNIL puis le juge, et demander réparation.
Cet article décrit le raisonnement à tenir pièce par pièce, les textes applicables avec leur version datée au 4 octobre 2026, la sanction de référence prononcée contre un acteur de la reconnaissance faciale, et la marche à suivre à Paris et en Île-de-France comme ailleurs en France.
I. Avant tout refus, comprendre ce que l’organisme doit démontrer
A. Au travail, dans l’immeuble ou à l’école : la biométrie reste l’exception, jamais le confort
Le règlement général sur la protection des données pose une interdiction de principe. Son article 9 interdit par principe le traitement « des données biométriques aux fins d’identifier » une personne de manière unique (la biométrie, CNIL). L’interdiction ne tombe que si l’une des exceptions limitativement énumérées s’applique, dont le consentement explicite ou la nécessité prévue par le droit du travail avec garanties appropriées.
Le même règlement n’autorise un traitement que si « au moins une des conditions » prévues par le texte est remplie, au premier rang desquelles le consentement donné pour « une ou plusieurs finalités spécifiques » (les bases légales, CNIL). Or, face à un employeur, un bailleur ou une école, le consentement est rarement libre : refuser la pointeuse quand on craint pour son poste, refuser le portique quand on craint de ne plus entrer chez soi, ce n’est pas consentir. La CNIL l’a répété dans ses positions sur la biométrie au travail : un dispositif de confort, ou un dispositif mis en place alors qu’un badge suffit, ne passe pas le contrôle de nécessité.
La Commission a formalisé ce contrôle dans son règlement type sur la biométrie sur les lieux de travail, qui a un caractère contraignant. La méthode tient en trois étapes : justifier le besoin, garantir la maîtrise du gabarit par la personne, documenter les choix. Le test de nécessité est brutal : quand un badge suffit, quand le dispositif ne répond qu’à un besoin de confort, ou quand les locaux et applications protégés ne sont pas particulièrement sensibles, la biométrie n’est pas nécessaire et « une solution moins intrusive doit être privilégiée » (le contrôle d’accès biométrique sur les lieux de travail, CNIL). Un contrôle des horaires par empreinte, par exemple, échoue à ce test : la presse juridique spécialisée a relevé que la CNIL interdit le recours à la biométrie pour contrôler les horaires des salariés, précisément parce que des moyens ordinaires suffisent.
Quand le besoin est réel, parce que l’accès protège des locaux véritablement sensibles, la CNIL impose ensuite de privilégier le stockage des gabarits sous maîtrise de la personne : stockage sur un support individuel détenu par la personne, dit de type 1, ou à défaut gabarit stocké en base mais chiffré avec un secret confié à la personne, dit de type 2, le stockage sous maîtrise exclusive de l’employeur, dit de type 3, n’étant admis qu’en dernier recours (les dispositifs de biométrie sur le lieu de travail, CNIL). Quel que soit le type retenu, l’employeur doit effectuer une analyse d’impact relative à la protection des données, justifier par écrit le choix du dispositif et respecter l’ensemble du règlement type.
Cette analyse d’impact n’est pas une formalité. L’article 35 du RGPD impose au responsable du traitement, avant tout traitement susceptible d’engendrer un « risque élevé pour les droits et libertés » des personnes, d’effectuer une analyse d’impact relative à la protection des données (le contrôle d’accès biométrique, obligations CNIL). Un traitement biométrique, par nature à risque élevé, sans analyse d’impact préalable et communicable, est un indice sérieux de non-conformité que vous pouvez viser dans vos courriers.
Le droit du travail ajoute deux verrous procéduraux que les salariés connaissent mal. D’abord, « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » (article L1121-1 du code du travail sur Legifrance). Une pointeuse à empreinte généralisée à tout le personnel, y compris à des salariés qui n’accèdent à aucune zone sensible, peine à satisfaire ce double test de justification et de proportionnalité. Ensuite, « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (article L1222-4 du code du travail sur Legifrance). Un dispositif installé sans information préalable des salariés fragilise toute sanction disciplinaire qui s’appuierait sur les données ainsi collectées. Quand le dispositif sert aussi à noter ou à classer les salariés, le code ajoute que « Le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard » (article L1222-3 du code du travail sur Legifrance). Enfin, le comité social et économique doit être informé avant l’introduction de ces traitements : « Le comité social et économique est informé, préalablement à leur utilisation, sur les méthodes ou techniques d’aide au recrutement des candidats à un emploi ainsi que sur toute modification de celles-ci. Il est aussi informé, préalablement à leur introduction dans l’entreprise, sur les traitements automatisés de gestion du personnel » (article L2312-38 du code du travail sur Legifrance). L’absence de consultation du CSE, quand elle était requise, constitue un moyen supplémentaire dans une contestation prud’homale.
Ces principes valent au-delà de l’entreprise. Dans une copropriété, le syndic ne peut imposer la reconnaissance faciale au portail au prétexte de la sécurité : les clés, badges et interphones remplissent la même fonction sans traiter de données sensibles, et l’assemblée générale ne peut pas voter valablement un dispositif disproportionné. À l’école, la cantine par contour de la main ou par reconnaissance du visage se heurte à la même objection, aggravée par la minorité des enfants : l’argument du temps gagné à la cantine est un argument de confort, et la CNIL attend une alternative non biométrique systématique, sans stigmatisation de l’élève qui la choisit. Dans un magasin, proposer de payer avec son visage suppose un consentement réellement libre, avec un moyen de paiement ordinaire proposé dans les mêmes conditions de rapidité et sans remarque désobligeante à la caisse.
Concrètement, face à une biométrie de confort, votre première phrase écrite peut être : je refuse le traitement de mes données biométriques, je demande le maintien d’un moyen d’accès ordinaire, et je vous prie de me communiquer la base légale, l’analyse d’impact et la référence au règlement type que vous appliquez. Cette demande place la charge de la preuve où le droit la met : sur l’organisme.
B. Dans la rue, le stade ou le magasin : la reconnaissance faciale est interdite, la vidéosurveillance augmentée seulement expérimentée
Il faut distinguer deux objets que les discours confondent. D’un côté, l’identification biométrique à distance, qui reconnaît un visage dans une foule pour dire qui est qui : c’est la reconnaissance faciale. De l’autre, la vidéosurveillance dite augmentée ou algorithmique, qui ne reconnaît personne mais signale des situations à partir d’images : colis abandonné, foule dense, mouvement contraire. Le droit applicable n’est pas le même, et la confusion profite aux vendeurs de systèmes.
Pour la reconnaissance faciale dans l’espace public à des fins de maintien de l’ordre, le règlement européen sur l’intelligence artificielle pose une interdiction. Son article 5 prohibe l’identification biométrique à distance « en temps réel » dans les espaces accessibles au public à des fins répressives, sauf nécessité stricte liée à l’un des objectifs énumérés : recherche ciblée de victimes d’enlèvement, de traite ou d’exploitation sexuelle et de personnes disparues, prévention d’une menace spécifique et imminente pour la vie ou d’une menace terroriste réelle, ou localisation d’un suspect aux fins d’enquête ou de poursuites (article 5 du règlement (UE) 2024/1689, assistance officielle de la Commission européenne). Chacune de ces exceptions suppose une autorisation, une nécessité stricte et des garanties : un stade, un magasin ou une commune ne peuvent pas s’en prévaloir pour filtrer leurs clients ou leurs supporters.
La sanction de référence en France illustre ce que coûte le mépris de ces règles. Par sa sanction de 20 millions d’euros contre Clearview AI (CNIL, octobre 2022), la formation restreinte de la CNIL a prononcé contre la société Clearview AI une amende de vingt millions d’euros, avec injonction de cesser toute collecte et tout traitement sans base légale des données des personnes se trouvant en France et de supprimer les données déjà collectées. La décision retient que la société n’avait pas recueilli le consentement des personnes et que les autres fondements de l’article 6 ne pouvaient s’appliquer à une aspiration massive de photographies sur internet pour alimenter un moteur de reconnaissance faciale. Elle fait suite à une « mise en demeure » du 26 novembre 2021, restée sans réponse après « deux mois » et deux relances, qui enjoignait déjà de respecter les articles 6, 12, 15 et 17 du RGPD. La leçon pour un particulier est directe : une entreprise qui aspirerait vos photos en ligne pour vous reconnaître dans ses locaux reproduirait le schéma sanctionné, et vous pouvez le citer dans votre plainte.
Pour la vidéosurveillance algorithmique sans identification, la France a choisi la voie d’une expérimentation encadrée par la loi du 19 mai 2023 relative aux jeux Olympiques. Son article 10 dispose : « A titre expérimental, jusqu’au 31 décembre 2030, à la seule fin de prévenir des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes, des images collectées au moyen de systèmes de vidéoprotection autorisés » peuvent faire l’objet de traitements algorithmiques dans des lieux et conditions strictement énumérés (article 10 de la loi n° 2023-380 sur Legifrance, version en vigueur au 4 octobre 2026). La prolongation jusqu’au 31 décembre 2030, issue de la loi du 18 août 2026 et en vigueur depuis le 20 août 2026, ne change pas la nature du régime : expérimentation, finalité unique de prévention du terrorisme et des atteintes graves, lieux listés, interdiction de l’identification biométrique et contrôle humain. Rappel utile : hors expérimentation comme dedans, « L’installation d’un système de vidéoprotection dans le cadre du présent titre est subordonnée à une autorisation du représentant de l’Etat dans le département et, à Paris, du préfet de police » (article L252-1 du code de la sécurité intérieure sur Legifrance) : un système posé sans autorisation préfectorale est irrégulier avant même tout débat sur l’algorithme. Un magasin qui vous annonce qu’il « teste la détection des voleurs par IA » hors de ce cadre, ou un stade qui conserve vos images pour établir des listes d’interdits sans base légale, sort du régime expérimental et retombe sous l’interdiction de principe.
Le droit pénal protège en outre l’image captée dans un lieu privé. L’article 226-1 du code pénal dispose : « Est puni d’un an d’emprisonnement et de 45 000 euros d’amende le fait, au moyen d’un procédé quelconque, volontairement de porter atteinte à l’intimité de la vie privée d’autrui », notamment « En fixant, enregistrant ou transmettant, sans le consentement de celle-ci, l’image d’une personne se trouvant dans un lieu privé » (article 226-1 du code pénal sur Legifrance). Une caméra de voisin, un drone ou un dispositif d’immeuble qui capte l’intérieur de votre domicile ou de votre jardin sans votre accord peut relever de ce texte, en plus du RGPD. La plainte pénale et la plainte à la CNIL ne s’excluent pas : la première vise la sanction de l’auteur, la seconde la cessation du traitement et la sanction administrative.
Retenez le raisonnement en trois questions. Premièrement, le dispositif m’identifie-t-il par mon corps : visage, empreinte, iris, voix, démarche. Si oui, c’est de la biométrie, interdite par principe. Deuxièmement, où suis-je : lieu de travail, école, immeuble, commerce, espace public. Le lieu détermine les verrous applicables, mais aucun lieu ne transforme un confort en nécessité. Troisièmement, que me propose-t-on à la place : badge, clé, liste d’émargement, paiement ordinaire, entrée manuelle. L’absence d’alternative réelle est en soi un grief.
II. Refuser proprement, saisir la CNIL et le juge, obtenir réparation
A. La méthode pas à pas : du refus oral à la plainte qui aboutit
Ne commencez jamais par un éclat en public, commencez par un écrit qui fige la situation. Sur place, dites calmement que vous refusez le traitement de vos données biométriques et que vous demandez le moyen ordinaire d’accès ou de paiement. Puis, le jour même, adressez à l’organisme une demande écrite en recommandé ou par courriel conservé : rappel des faits datés, refus du traitement biométrique, demande d’une alternative non biométrique sans surcoût ni stigmatisation, demande de communication de la base légale, de l’analyse d’impact, des durées de conservation et des destinataires, et exercice de vos droits d’accès et d’effacement sur le fondement des articles 12, 15 et 17 du RGPD. Fixez un délai d’un mois, qui est le délai de droit commun de réponse à une demande d’exercice des droits.
Si vous êtes salarié, doublez ce courrier d’une information au CSE et, si l’entreprise en a un, au délégué à la protection des données : demandez si le CSE a été informé avant l’introduction du dispositif, si une analyse d’impact existe, et quelle alternative est offerte aux salariés qui refusent. Conservez la notice d’information qui vous a été remise, ou l’absence de notice : en cas de contentieux prud’homal ultérieur, l’absence d’information préalable exigée par l’article L1222-4 et l’absence de justification au sens de l’article L1121-1 pèseront contre l’employeur, notamment si une sanction disciplinaire repose sur des données issues du dispositif contesté. Ne refusez pas brutalement de travailler : contestez le moyen de contrôle tout en exécutant vos fonctions, et faites constater par écrit chaque pression, chaque refus d’entrée ou chaque retenue.
Si l’organisme maintient le dispositif ou garde le silence au-delà d’un mois, saisissez la CNIL par sa procédure de plainte en ligne, en joignant vos courriers et les réponses reçues. La Commission instruit, peut mettre en demeure, puis sanctionner : rappel à l’ordre, injonction de mise en conformité sous astreinte, amende administrative. Pour situer l’échelle des sanctions encourues par les organismes, le régime général des sanctions prononcées par la CNIL contre les entreprises, avec mise en demeure, amende, injonction et astreinte peut aller jusqu’à des montants très élevés pour les manquements aux principes fondamentaux, comme l’a montré l’amende de vingt millions d’euros contre Clearview AI. Votre plainte doit être précise : nature du dispositif, lieu, dates, nombre de personnes concernées, absence d’alternative, pièces jointes numérotées. Une plainte documentée aboutit plus souvent qu’un signalement vague.
En parallèle, si le litige touche votre contrat de travail, saisissez le conseil de prud’hommes pour contester toute sanction fondée sur des données biométriques irrégulièrement collectées et pour demander la cessation du dispositif à votre égard. Si le litige touche votre logement, votre école ou un commerce, le tribunal judiciaire peut ordonner la cessation du traitement, l’effacement et des mesures d’information. Devant le juge civil, l’article 82 du RGPD fonde votre demande indemnitaire : toute personne victime d’une violation du texte peut obtenir « réparation du préjudice subi », matériel ou moral (adresser une plainte à la CNIL). Le droit français complète ce fondement : « Chacun a droit au respect de sa vie privée. » (article 9 du code civil sur Legifrance), et les juges peuvent prescrire toute mesure propre à faire cesser l’atteinte. Le préjudice moral n’a pas besoin d’être spectaculaire : l’anxiété de savoir son visage ou son empreinte conservés sans base légale, les démarches répétées, le refus d’accès essuyé, sont des chefs de préjudice que les juges savent chiffrer lorsqu’ils sont prouvés par des pièces.
À Paris et en Île-de-France, quelques repères pratiques renforcent l’article sans changer le droit applicable. La CNIL siège à Paris et reçoit les plaintes dématérialisées quelle que soit votre région : indiquez votre département pour faciliter l’instruction locale. Pour un litige de travail francilien, le conseil de prud’hommes compétent est en principe celui du lieu d’exécution du contrat ou du domicile du salarié demandeur : un salarié qui badge à La Défense, à Créteil ou à Saint-Denis n’a pas à renoncer parce que le siège est loin. Pour un litige civil, le tribunal judiciaire de Paris connaît des actions en protection des données dans les conditions du droit commun de la compétence, et les associations de consommateurs comme les organisations syndicales peuvent agir dans certains cas. Préparez un dossier parisien comme un dossier national : chronologie d’une page, courriers avec accusés, photos du dispositif et de l’absence d’alternative, captures des notices, témoignages datés. Les juridictions franciliennes, très sollicitées, tranchent plus vite les dossiers dont la chronologie tient en une page.
Deux erreurs fréquentes doivent être évitées. La première consiste à invoquer le RGPD sans exercer concrètement ses droits : le juge et la CNIL attendent vos demandes d’accès et d’effacement datées, pas une pétition de principe. La seconde consiste à tout mélanger : contester à la fois la vidéosurveillance classique de l’immeuble, le badge, et la reconnaissance faciale du nouveau portique dilue votre dossier. Visez le traitement biométrique précis, avec sa date d’installation et son responsable identifié, et gardez les autres griefs pour d’autres courriers.
B. Prouver, chiffrer et faire cesser : le dossier qui emporte la décision
Un dossier biométrique se gagne sur trois colonnes : l’illicéité du traitement, la réalité du dommage, l’effectivité de la cessation. Pour l’illicéité, alignez les manquements : absence de base légale au sens des articles 6 et 9 du RGPD, badge suffisant donc nécessité non établie au sens du règlement type CNIL, absence d’analyse d’impact au sens de l’article 35, absence d’information préalable au sens de l’article L1222-4, absence d’information du CSE au sens de l’article L2312-38, disproportion au sens de l’article L1121-1, et, dans l’espace public, méconnaissance de l’interdiction de l’article 5 du règlement sur l’IA ou sortie du cadre expérimental de l’article 10 de la loi du 19 mai 2023. Chaque manquement documenté renforce les autres : un dispositif peut être à la fois inutile, non documenté et non annoncé.
Pour le dommage, tenez un tableau simple : date, fait, pièce, conséquence. Le 12 septembre, refus d’entrée au parking faute d’enrôlement, courriel du gardien joint, retard et frais de stationnement. Le 20 septembre, convocation pour refus de pointer à l’empreinte, convocation jointe, anxiété et crainte disciplinaire attestées par un proche. Le 3 octobre, réponse de l’organisme qui maintient le dispositif sans fournir l’analyse d’impact, lettre jointe. Joignez les justificatifs de frais, les attestations de témoins rédigées dans les formes, et, pour un enfant, décrivez sans pathos l’effet concret : files séparées, remarques en public, crainte d’aller à la cantine. L’article 82 n’exige pas un préjudice exceptionnel, il exige un préjudice prouvé et lié à la violation.
Pour la cessation, demandez au juge des mesures précises plutôt qu’une formule générale : interdiction de vous imposer le dispositif biométrique, fourniture d’un badge ou d’une clé dans un délai déterminé, effacement de vos gabarits et de vos images avec attestation de suppression, information du personnel ou des résidents sur l’alternative, et astreinte par jour de retard. Devant la CNIL, sollicitez expressément l’injonction de mise en conformité et la suppression des données, comme dans l’affaire Clearview où la formation restreinte a enjoint de cesser la collecte sans base légale et de supprimer les données. Une demande chiffrée et datée s’exécute ; une indignation générale se classe.
La concurrence éditoriale sur ce thème confirme l’angle utile de cet article. Les pages généralistes rappellent les principes, la presse spécialisée relève l’interdiction de la biométrie pour les horaires, et les sites institutionnels déclinent les questions fréquentes : ce qui manquait, c’était la méthode complète du refus à la réparation, avec les textes datés et les modèles de demandes. Les analyses doctrinales sur la preuve dans les contentieux du travail rappellent par ailleurs qu’un moyen de preuve issu d’un dispositif non déclaré ou disproportionné fragilise la partie qui l’emploie : ne fournissez jamais à l’adversaire, par un usage résigné de la pointeuse, l’argument de votre consentement tacite. Contestez par écrit tout en préservant l’exécution de vos obligations, et faites constater l’absence d’alternative par tout moyen loyal : photographie du portique sans autre entrée, attestation d’un collègue, constat d’huissier pour les situations graves.
Reste la question des délais. Réponse à une demande d’exercice des droits : un mois en principe. Plainte CNIL : instruction de plusieurs mois, à suivre en ligne avec vos compléments. Action prud’homale ou civile : pensez prescription et ne laissez pas un refus d’enrôlement se transformer en faute disciplinaire non contestée dans les délais. Pénal pour l’image en lieu privé : déposez plainte avec vos preuves sans attendre l’issue de la plainte CNIL, les deux voies se complètent. Et conservez tout jusqu’à la décision définitive : gabarits, journaux d’accès et images se prescrivent mal quand l’organisme annonce qu’il a « tout supprimé » sans attestation.
En somme, face à l’empreinte ou au visage imposés, ne discutez pas de technologie, discutez de droit : interdiction de principe, nécessité non démontrée, alternative absente, procédure non respectée. L’organisme qui ne peut produire ni base légale, ni analyse d’impact, ni alternative réelle a déjà perdu l’essentiel. Votre rôle est de l’écrire, de le dater et de saisir qui de droit.
Conclusion
On ne vous impose ni une empreinte ni un visage comme on vous imposerait un nouveau badge. Les données biométriques sont interdites par principe, leur traitement suppose une exception établie et documentée, et la reconnaissance faciale dans l’espace public reste prohibée hors exceptions étroites, la vidéosurveillance algorithmique n’étant qu’une expérimentation bornée jusqu’au 31 décembre 2030. Au travail, à l’école, dans l’immeuble ou dans un commerce, exigez l’alternative ordinaire, réclamez la base légale et l’analyse d’impact, exercez vos droits d’accès et d’effacement, puis saisissez la CNIL et le juge avec un dossier daté et chiffré. La sanction de vingt millions d’euros prononcée contre Clearview AI montre que l’interdiction n’est pas théorique. Un refus écrit, une alternative exigée et une plainte documentée restent vos trois gestes les plus efficaces.