Un matin, le badge ne fonctionne plus : un boîtier noir vous demande de regarder un point lumineux pour entrer dans vos bureaux. Votre visage devient votre clé, chaque passage est enregistré, et personne ne vous a vraiment demandé votre avis. Cette scène, encore rare il y a deux ans, se multiplie dans les immeubles de bureaux parisiens, où la reconnaissance faciale remplace le badge pour filtrer l’accès aux étages. Le réflexe naturel consiste à s’y soumettre pour éviter les ennuis, d’autant que le refus semble dérisoire face à une machine. Pourtant, le droit européen et le droit du travail français protègent précisément ce refus : votre visage est une donnée biométrique, son usage pour vous identifier est interdit par principe, et votre employeur ne peut l’imposer qu’en respectant une série d’obligations strictes d’information, de consultation et de proportionnalité. Cet article explique, dans un langage direct, pourquoi le portique facial est l’un des dispositifs les plus difficiles à justifier en droit, et comment contester pas à pas : exiger une alternative non biométrique, faire constater les manquements, saisir la CNIL et, si nécessaire, faire écarter devant le juge les preuves issues d’un système irrégulier tout en demandant réparation du préjudice subi.
I. La reconnaissance faciale à l’entrée du bureau : un traitement biométrique interdit par principe
Votre employeur remplace le badge par un portique qui scanne votre visage chaque matin. Le message est présenté comme un simple progrès pratique : fini les badges oubliés, l’entrée est fluide, la sécurité renforcée. Pourtant, derrière le boîtier fixé au mur, ce n’est pas un simple contrôle d’accès qui se joue. Chaque passage enregistre la géométrie de votre visage, la convertit en modèle numérique et la compare à une base de référence. Ce traitement touche à ce que le droit européen protège le plus strictement : votre identité biométrique. Face à un tel dispositif, la première question n’est pas technique, elle est juridique : sur quel fondement votre employeur prétend-il utiliser votre visage comme clé d’entrée, et pouvez-vous refuser sans risquer votre emploi ? La réponse tient en deux temps. D’une part, le règlement général sur la protection des données interdit par principe tout traitement biométrique destiné à identifier une personne de manière unique, et le consentement du salarié ne suffit presque jamais à lever cette interdiction en raison du lien de subordination. D’autre part, le code du travail encadre tout dispositif qui touche aux droits des salariés : information individuelle préalable, consultation des représentants du personnel et analyse d’impact. Un portique facial installé sans ces garde-fous expose l’employeur à une plainte devant la CNIL, à l’écartement des preuves qu’il en tirerait devant le conseil de prud’hommes et à une demande d’indemnisation. Voici, point par point, comment le droit s’applique à votre situation et comment agir concrètement, à Paris comme ailleurs en Île-de-France.
A. Votre visage est une donnée biométrique, et son usage pour vous identifier est interdit par principe
La loi du 6 janvier 1978, qui décline en droit français l’interdiction européenne, vise précisément les « données biométriques aux fins d’identifier une personne physique de manière unique » (article 6, I, de la loi du 6 janvier 1978). Le visage capté par le portique entre exactement dans cette catégorie, dès lors que le système en extrait un modèle destiné à reconnaître chaque salarié à chaque passage. Peu importe que l’employeur affirme ne conserver que des calculs mathématiques et non des photographies : dès que le traitement permet ou confirme votre identification unique, la qualification de donnée biométrique s’applique.
Or l’article 6 de cette loi pose une interdiction de principe : « Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne physique ou de traiter des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique. » (article 6, I, de la loi du 6 janvier 1978). Le contrôle d’accès par reconnaissance faciale est précisément un traitement de données biométriques aux fins d’identifier une personne physique de manière unique. Il est donc, par défaut, interdit. Cette interdiction ne peut être levée que dans les cas prévus par les textes : « Les exceptions à l’interdiction mentionnée au I sont fixées dans les conditions prévues par le 2 de l’article 9 du règlement (UE) 2016/679 du 27 avril 2016 et par la présente loi. » (article 6, II, de la loi du 6 janvier 1978). La première exception suppose un consentement explicite donné pour une ou plusieurs finalités spécifiques, comme le rappelle le Conseil d’État à propos du dispositif d’identité numérique mobile (Conseil d’État, 4 novembre 2020, n° 432656). En matière d’emploi, la loi française a prévu une exception étroite, propre au contrôle d’accès : « Les traitements conformes aux règlements types mentionnés au c du 2° du I de l’article 8 mis en œuvre par les employeurs ou les administrations qui portent sur des données biométriques strictement nécessaires au contrôle de l’accès aux lieux de travail ainsi qu’aux appareils et aux applications utilisés dans le cadre des missions confiées aux salariés, aux agents, aux stagiaires ou aux prestataires » (article 44, 4°, de la loi du 6 janvier 1978). Autrement dit, le portique facial n’est envisageable que s’il respecte le règlement type de la CNIL et si les données traitées sont strictement nécessaires à l’accès : deux conditions cumulatives que le simple remplacement d’un badge par un visage satisfait rarement. Hors conformité au règlement type et hors stricte nécessité démontrée, l’employeur ne peut pas imposer la reconnaissance faciale pour l’accès ordinaire aux bureaux, et le consentement du salarié, recueilli dans un rapport de subordination, ne suffit pas à lever l’interdiction.
C’est ici que la décision du Conseil d’État rendue sur le dispositif d’identité numérique mobile éclaire directement la situation des salariés. Le juge administratif rappelle d’abord l’exigence du règlement : « 4. Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat » (Conseil d’État, 4 novembre 2020, n° 432656, reprenant l’article 7, paragraphe 4, du RGPD). Le Conseil d’État cite ensuite les considérants du règlement, dont celui selon lequel « Le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice » et celui qui dispose que « Le consentement est présumé ne pas avoir été donné librement si un consentement distinct ne peut pas être donné à différentes opérations de traitement des données à caractère personnel bien que cela soit approprié dans le cas d’espèce, ou si l’exécution d’un contrat, y compris la prestation d’un service, est subordonnée au consentement malgré que celui-ci ne soit pas nécessaire à une telle exécution » (même décision). Transposée au bureau, cette grille est redoutable pour l’employeur : le salarié qui doit présenter son visage chaque matin pour atteindre son poste ne dispose d’aucune véritable liberté de choix, et le refus l’expose à un préjudice professionnel direct, depuis la remarque désobligeante jusqu’à la sanction disciplinaire. Un formulaire signé à l’embauche ou une case cochée sur l’intranet ne valent donc pas consentement explicite valable lorsque le badge facial conditionne l’accès au lieu de travail. La requête dirigée contre le dispositif d’identité mobile a certes été rejetée par le Conseil d’État, qui a jugé le recours à la reconnaissance faciale justifié par l’exigence d’un haut niveau de garantie d’identification pour des services publics sensibles et l’absence, à la date du décret, d’autre moyen entièrement dématérialisé offrant le même niveau de garantie, mais cette solution repose sur des motifs d’intérêt public propres à l’état civil numérique, sans équivalent pour l’ouverture d’une porte de bureau, là où un badge ou un code suffit depuis des décennies. La demande a été rejetée sur le fond du dossier : « Article 1er : La requête de La Quadrature du net est rejetée. » (même décision). Autrement dit, plus la finalité est banale, plus la reconnaissance faciale est difficile à justifier, car la loi n’admet la biométrie au travail que pour des données « strictement nécessaires au contrôle de l’accès aux lieux de travail » (article 44, 4°, de la loi du 6 janvier 1978). Ouvrir une porte n’exige pas de connaître le visage de celui qui la pousse.
B. Le code du travail impose information préalable, consultation des représentants et analyse d’impact
Même lorsque l’employeur croit disposer d’un fondement, le droit du travail dresse trois verrous cumulatifs. Le premier est le principe de proportionnalité : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » (article L1121-1 du code du travail). Filmer et modéliser le visage de chaque salarié à chaque entrée constitue une restriction évidente aux droits des personnes. Elle n’est justifiée ni par la nature des tâches accomplies dans un bureau ordinaire, ni proportionnée au but poursuivi, dès lors qu’un badge, un code ou un vigile atteint le même résultat sans toucher à la biométrie. Seuls des locaux qui exigent objectivement un niveau de sécurité renforcé, parce qu’ils abritent des biens ou des activités dont la protection le commande, peuvent nourrir une discussion sérieuse sur la nécessité, et encore faut-il démontrer qu’aucun moyen moins intrusif ne suffit. La Cour de cassation applique exactement cette logique lorsqu’elle impose au juge, face à une preuve issue d’un dispositif de surveillance, de rechercher « si l’employeur ne pouvait pas atteindre un résultat identique en utilisant d’autres moyens plus respectueux de la vie personnelle du salarié » (Cour de cassation, chambre sociale, 8 mars 2023, n° 21-17.802). Le badge classique est précisément cet autre moyen plus respectueux : son existence même fragilise tout portique facial installé pour un simple contrôle d’accès.
Le deuxième verrou est l’information individuelle préalable de chaque salarié. Le code est formel : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » (article L1222-4 du code du travail). Concrètement, l’employeur doit vous informer avant la mise en service du portique, par écrit, de l’existence du dispositif, de ce qu’il enregistre, de la finalité poursuivie, de la durée de conservation et de vos droits d’accès et d’opposition. Une affiche collée le jour de l’installation, une mention orale en réunion ou une clause perdue dans le règlement intérieur portée à votre connaissance après coup ne satisfont pas cette exigence. La chambre sociale l’a rappelé avec netteté dans une affaire de vidéosurveillance : « les salariés concernés doivent être informés, préalablement à la mise en oeuvre d’un traitement de données à caractère personnel, de l’identité du responsable du traitement des données ou de son représentant, de la (ou les) finalité(s) poursuivie(s) par le traitement, des destinataires ou catégories de destinataires de données, de l’existence d’un droit d’accès aux données les concernant, d’un droit de rectification et d’un droit d’opposition pour motif légitime, ainsi que des modalités d’exercice de ces droits » (Cour de cassation, chambre sociale, 10 novembre 2021, n° 20-12.263). Si vous découvrez le portique facial en arrivant un matin, sans information écrite préalable et complète, le dispositif est déjà irrégulier à votre égard, et les enregistrements qu’il produit pourront être contestés.
Le troisième verrou est collectif : « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. » (article L2312-38 du code du travail). Un portique facial horodate chaque entrée et chaque sortie ; ces journaux permettent de reconstituer les horaires, les retards et l’assiduité de chacun, c’est-à-dire de contrôler l’activité des salariés, même lorsque l’employeur jure que le système ne sert qu’à ouvrir des portes. Dès que le dispositif permet un tel contrôle, l’information et la consultation préalables du comité social et économique s’imposent avant toute décision de mise en œuvre, et non après. La même décision de la chambre sociale énonce que « le comité d’entreprise est informé et consulté, préalablement à la décision de mise en oeuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés » (Cour de cassation, chambre sociale, 10 novembre 2021, n° 20-12.263), et elle a cassé l’arrêt d’appel qui validait des enregistrements issus d’un système installé sans cette consultation : « CASSE ET ANNULE, en toutes ses dispositions, l’arrêt rendu le 14 mai 2019, entre les parties, par la cour d’appel de Saint-Denis de La Réunion, chambre d’appel de Mamoudzou » (même arrêt). S’y ajoute l’exigence de conformité au règlement type de la CNIL : l’exception prévue pour le contrôle d’accès aux locaux ne joue que pour « Les traitements conformes aux règlements types mentionnés au c du 2° du I de l’article 8 » (article 44, 4°, de la loi du 6 janvier 1978). Un employeur qui déploie un portique facial sans conformité documentée à ce cadre, sans information individuelle complète et sans consultation du comité cumule donc trois irrégularités distinctes, chacune exploitable dans votre contestation. Ce régime se distingue de la pointeuse biométrique qui mesure le temps de travail : pour ce dispositif voisin, qui soulève des questions proches mais non identiques, vous pouvez lire l’analyse consacrée à la pointeuse à empreinte ou faciale imposée au travail.
II. Contester pas à pas : refuser le visage-badge, exiger une alternative et faire sanctionner les manquements
A. Le refus écrit, l’alternative non biométrique et la saisine de la CNIL
Le premier geste consiste à formuler votre refus par écrit, de manière calme et précise. Adressez à votre employeur, par courriel avec accusé de réception ou par lettre remise en main propre contre décharge, un message qui constate les faits et exprime votre position : vous avez découvert tel jour l’obligation de présenter votre visage au portique pour accéder à votre poste, vous n’avez reçu aucune information écrite préalable complète, et vous demandez la désactivation de votre enrôlement facial ainsi que la remise d’un moyen d’accès non biométrique, badge ou code, qui vous permette d’exercer normalement vos fonctions. Conservez une copie de cet écrit, des photographies datées du portique, de toute note ou consigne relative à son usage, et des échanges avec votre hiérarchie. Ces pièces établiront, si le litige s’aggrave, la date de votre refus, l’absence d’alternative proposée et, le cas échéant, les pressions exercées. N’effacez aucun message, ne signez aucun nouveau formulaire d’enrôlement sous la contrainte du moment, et notez les noms des témoins présents lors des discussions.
Le deuxième geste consiste à exiger une alternative effective, car c’est le coeur juridique du dossier. Rappelez que le consentement n’est pas libre lorsque l’accès au poste en dépend, et que la loi n’admet que des données biométriques « strictement nécessaires au contrôle de l’accès aux lieux de travail » (article 44, 4°, de la loi du 6 janvier 1978). Demandez donc par écrit un badge classique ou un code personnel, en soulignant que ce moyen atteint le même objectif de contrôle d’accès sans traiter votre biométrie. Si l’employeur refuse ou fait traîner, demandez-lui d’expliquer par écrit en quoi le badge serait insuffisant pour votre site : cette question, simple en apparence, l’oblige à affronter le test de nécessité que le juge appliquera ensuite. Parallèlement, vérifiez auprès de vos représentants du personnel si le comité social et économique a été informé et consulté avant l’installation ; en l’absence de consultation, ce sont eux qui pourront exiger la suspension du dispositif jusqu’à régularisation. Vous pouvez également exercer votre droit d’accès : « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016. » (article 49 de la loi du 6 janvier 1978). Réclamez ainsi la copie de votre modèle facial, des journaux de vos passages, des finalités, des destinataires et de la durée de conservation. Une absence de réponse complète constituera un manquement supplémentaire.
Le troisième geste, si l’employeur maintient le dispositif, consiste à saisir la CNIL, l’autorité compétente pour contrôler ces traitements et prononcer des sanctions (site officiel de la CNIL). Votre plainte doit être factuelle et pièces à l’appui : description du portique, date d’installation, absence d’information préalable, refus d’alternative, absence de consultation du comité, copie de vos écrits et de la réponse de l’employeur. Précisez que le traitement porte sur des données biométriques servant à vous identifier de manière unique, interdites par principe, et que votre consentement, subordonné à l’accès à votre poste, n’est pas libre au sens des exigences rappelées par le Conseil d’État. La CNIL peut contrôler l’entreprise, la mettre en demeure de se conformer et, en cas de manquements graves, prononcer des sanctions financières dont le montant dépend de la gravité et de la coopération de l’organisme. À Paris et en Île-de-France, où se concentrent les sièges et les grands immeubles de bureaux équipés de tels portiques, les salariés concernés relèvent du conseil de prud’hommes de Paris pour les litiges individuels nés de l’exécution du contrat dans la capitale, et les directions régionales des entreprises y mènent régulièrement des contrôles documentaires : conservez donc vos bulletins de paie mentionnant votre lieu de travail, votre contrat et tout avenant, ainsi que les plannings qui prouvent que vos horaires sont reconstituables à partir des journaux du portique. Ces pièces parisiennes, jointes à votre plainte et à votre dossier prud’homal, ancrent le litige dans des faits vérifiables plutôt que dans des affirmations générales.
B. Faire écarter les preuves illicites et obtenir réparation du préjudice
L’employeur qui tire des conséquences de vos passages au portique, qu’il s’agisse de sanctionner un retard, de justifier une mise à pied ou d’alimenter un licenciement, utilise des preuves issues d’un dispositif potentiellement irrégulier. La jurisprudence récente de la chambre sociale encadre strictement cette situation. D’abord, l’illicéité n’entraîne pas automatiquement le rejet : « l’illicéité d’un moyen de preuve n’entraîne pas nécessairement son rejet des débats, le juge devant, lorsque cela lui est demandé, apprécier si l’utilisation de cette preuve a porté atteinte au caractère équitable de la procédure dans son ensemble, en mettant en balance le droit au respect de la vie personnelle du salarié et le droit à la preuve, lequel peut justifier la production d’éléments portant atteinte à la vie personnelle d’un salarié à la condition que cette production soit indispensable à l’exercice de ce droit et que l’atteinte soit strictement proportionnée au but poursuivi » (Cour de cassation, chambre sociale, 8 mars 2023, n° 21-17.802). Vous devez donc expressément demander au juge d’écarter les débats les journaux du portique et toute pièce qui en dérive, en détaillant les manquements : défaut d’information préalable, défaut de consultation du comité, absence d’analyse d’impact, absence de nécessité face au badge classique. Ensuite, le juge applique un contrôle en trois temps : « En présence d’une preuve illicite, le juge doit d’abord s’interroger sur la légitimité du contrôle opéré par l’employeur et vérifier s’il existait des raisons concrètes qui justifiaient le recours à la surveillance et l’ampleur de celle-ci. Il doit ensuite rechercher si l’employeur ne pouvait pas atteindre un résultat identique en utilisant d’autres moyens plus respectueux de la vie personnelle du salarié. Enfin le juge doit apprécier le caractère proportionné de l’atteinte ainsi portée à la vie personnelle au regard du but poursuivi. » (même arrêt). Pour un simple accès à des bureaux ordinaires, sans raison concrète de sécurité renforcée, avec un badge disponible comme moyen moins intrusif, ce triple test joue puissamment en faveur du salarié. La chambre sociale a d’ailleurs confirmé cette sévérité dans la saga née d’une officine équipée de vidéosurveillance sans consultation des représentants : après cassation pour défaut d’information et de consultation, le second pourvoi formé contre l’arrêt de renvoi a été purement et simplement rejeté, la Cour jugeant : « REJETTE les pourvois » (Cour de cassation, chambre sociale, 14 février 2024, n° 22-23.073).
Enfin, l’irrégularité du traitement ouvre un droit à réparation propre, indépendant du sort du contrat de travail. Le code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil). Le déploiement d’un portique facial méconnaissant l’interdiction de principe et les garanties du code du travail constitue une faute dont la victime peut demander réparation. Le préjudice moral se prouve par le sentiment d’être surveillé dans ses moindres allées et venues, la crainte d’être fiché par son visage, les tensions avec la hiérarchie après le refus et, le cas échéant, les conséquences sur la santé décrites par un médecin. Le préjudice matériel peut résulter d’une sanction injustifiée, d’une perte de prime liée aux horaires reconstitués par le portique ou d’une mise à l’écart. La loi française illustre cette articulation entre protection des données et droit du travail : c’est elle qui décline l’interdiction biométrique et son exception étroite pour l’accès aux locaux, tandis que le code du travail impose information et consultation préalables. Cet ensemble constitue le socle concret de votre contestation. Devant le conseil de prud’hommes, articulez donc trois demandes distinctes : l’écartement des débats des preuves issues du portique irrégulier, la remise d’un moyen d’accès non biométrique sous contrainte financière du juge, et l’indemnisation de vos préjudices matériel et moral sur le fondement du droit commun de la responsabilité et du droit du travail.
Conclusion
Le portique qui réclame votre visage n’est pas un simple gadget de sécurité : c’est un traitement de données biométriques interdit par principe, dont le consentement du salarié ne suffit pas à justifier l’existence dès lors que l’accès au poste en dépend. Le code du travail ajoute ses propres conditions, avec l’information individuelle préalable, la consultation des représentants du personnel et l’exigence de proportionnalité face au badge classique. Devant un tel dispositif, le salarié n’est pas démuni : refus écrit et daté, demande d’alternative non biométrique, exercice du droit d’accès, vérification de la consultation du comité, plainte étayée devant la CNIL, puis, si nécessaire, demande d’écartement des preuves illicites et indemnisation devant le conseil de prud’hommes. Chaque étape repose sur des textes et des décisions vérifiables, et chacune prive l’employeur d’un argument. Conservez vos écrits, photographiez le dispositif, notez les témoins, et ne laissez pas l’habitude s’installer : en matière de biométrie au travail, c’est la première réaction documentée qui fait la solidité de tout le dossier.