Un matin, une badgeuse à empreinte digitale trône à l’entrée de vos locaux. La direction annonce que chacun doit poser son doigt sur le lecteur pour pointer ses horaires, puis pour ouvrir la porte du service. Vous hésitez : votre empreinte, votre visage ou votre iris appartiennent à votre corps, et vous ne voyez pas pourquoi votre employeur les enregistrerait. Quand vous demandez s’il est possible de garder un badge classique, on vous répond que tout le monde doit s’enrôler et que les récalcitrants seront notés. La question devient alors très concrète : votre employeur peut-il vraiment vous imposer la biométrie, et que risquez-vous si vous refusez de donner votre empreinte ?
La réponse tient en une phrase : la biométrie au travail n’est ni interdite dans tous les cas, ni librement imposable. Le règlement général sur la protection des données traite l’empreinte ou le visage comme une donnée sensible, interdite par principe, et la CNIL n’accepte le recours à ces dispositifs que lorsque le besoin est démontré et que des garanties précises entourent le système. Pour le simple pointage des horaires, la position de l’autorité est particulièrement sévère : une pointeuse biométrique y apparaît en général excessive. Pour l’accès à des zones véritablement sensibles, la porte reste entrouverte, à condition de respecter une procédure complète d’information, de consultation et d’analyse d’impact.
Ce premier développement explique pourquoi votre empreinte n’est pas une donnée comme une autre et quel test votre employeur doit réussir avant de l’exiger. Le second distingue la pointeuse des horaires, presque toujours contestable, du contrôle d’accès aux locaux sensibles, parfois admis. La suite donne la méthode pour refuser proprement, par écrit et sans vous mettre en faute, puis les recours devant la CNIL et les prud’hommes, avec les pièces à réunir et les textes à invoquer.
I. Votre employeur peut-il exiger votre empreinte ou votre visage ?
A. L’empreinte est une donnée sensible, interdite par principe
La CNIL définit la biométrie comme l’ensemble des techniques informatiques qui identifient un individu à partir de ses caractéristiques physiques, biologiques ou comportementales, telles que l’empreinte digitale, l’iris, la voix, le visage ou même la démarche. Concrètement, le lecteur ne conserve pas la photographie de votre doigt : un gabarit de référence, créé à partir des points distinctifs de l’empreinte, est enregistré puis comparé à chaque passage. C’est ce gabarit, dérivé de votre corps, qui constitue la donnée traitée par l’employeur, qu’il soit stocké sur un badge individuel ou dans une base centrale.
Or cette donnée présente une particularité que la CNIL souligne nettement : à la différence d’un badge ou d’un mot de passe, nul ne peut se défaire de sa caractéristique biométrique ni la modifier une fois celle-ci compromise. Un badge perdu se remplace, un mot de passe se réinitialise, mais une empreinte compromise l’est pour la vie. C’est cette irréversibilité qui explique le régime protecteur du règlement européen : l’article 9 du RGPD interdit par principe le traitement des données biométriques dès lors qu’elles servent à identifier une personne physique de manière unique, au même titre que les autres catégories particulières de données. L’interdiction est donc le point de départ, et toute biométrie d’identification au travail doit entrer dans l’une des exceptions limitativement prévues par ce même article.
Deux exceptions sont invoquées en pratique. La première vise le cas où la personne concernée a donné son consentement explicite pour une ou plusieurs finalités spécifiques. Dans la relation de travail, ce consentement signé à l’embauche ou glissé dans le règlement intérieur reste fragile : le salarié qui craint pour son poste consent rarement librement, et un simple formulaire ne dispense l’employeur ni de démontrer la nécessité du dispositif, ni de réaliser l’analyse d’impact, ni d’informer et de consulter les représentants du personnel. La seconde exception permet le traitement lorsqu’il est nécessaire à l’exécution des obligations et à l’exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de sécurité sociale et de protection sociale, mais seulement dans la mesure où ce traitement est autorisé par le droit de l’Union, par le droit d’un État membre ou par une convention collective prévoyant des garanties appropriées. Autrement dit, c’est le droit du travail français, avec ses propres conditions, qui décide si l’empreinte peut être exigée.
La CNIL a précisé ce cadre dans son règlement type sur la biométrie sur les lieux de travail, publié le 28 mars 2019, qui impose à l’employeur un raisonnement en trois étapes. La première étape est un test de nécessité sans concession : si un simple badge suffit, si le dispositif ne répond qu’à un besoin de confort ou si les locaux, applications ou appareils protégés ne sont pas particulièrement sensibles, la CNIL répond non à la biométrie. Tant que la réponse est négative, le traitement biométrique n’est pas nécessaire et une solution moins intrusive doit être privilégiée. La deuxième étape porte sur la maîtrise du gabarit : l’employeur doit privilégier le stockage des gabarits sous la maîtrise exclusive de la personne concernée, par exemple sur un badge conservé par le salarié, avant d’envisager les stockages partagés ou centralisés sous sa propre maîtrise. Quel que soit le mode retenu, la troisième étape impose de réaliser une analyse d’impact relative à la protection des données, de justifier par écrit le choix du dispositif et de respecter l’ensemble des dispositions du règlement type, en informant ou consultant les instances représentatives du personnel.
B. Pointeuse des horaires ou accès aux zones sensibles : deux situations opposées
Tout l’enjeu pratique tient à la finalité du dispositif, car la CNIL ne traite pas de la même façon le pointage des horaires et la sécurisation de locaux sensibles. Sur les horaires, sa fiche consacrée à l’accès aux locaux et au contrôle des horaires, mise à jour le 17 juin 2026, rappelle que des dispositifs de gestion des temps de présence ne peuvent être mis en œuvre que s’ils restent proportionnés et non excessifs au regard de l’objectif poursuivi. Or, pour une simple mesure du temps de travail, un badge ou un code suffit presque toujours : la pointeuse à empreinte ou à reconnaissance faciale, de même que la photographie systématique prise à chaque pointage, dépasse ce qui est nécessaire et heurte le principe de minimisation. Le raisonnement rejoint l’exigence générale de minimisation du règlement, qui limite les données à ce qui est adéquat, pertinent et strictement nécessaire au regard des finalités poursuivies. Un salarié sommé de poser son doigt quatre fois par jour uniquement pour faire compter ses heures dispose donc d’un levier de contestation sérieux, puisque l’employeur devra expliquer pourquoi un badge ne suffisait pas.
Le droit du travail conforte cette sévérité. L’article L. 1121-1 du Code du travail pose que « nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». La Cour de cassation applique ce test avec constance aux dispositifs de surveillance des salariés. Dans son arrêt du 18 mars 2026 (n° 24-18.976), rendu à propos du boîtier de géolocalisation Distrio porté par des distributeurs de la société Mediaposte, la chambre sociale juge que « l’utilisation d’un système de géolocalisation pour assurer le contrôle de la durée du travail n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace, et n’est pas justifié lorsque le salarié dispose d’une liberté dans l’organisation de son travail ». Le dispositif n’a été validé que grâce à des garanties cumulées : déclenchement volontaire par le salarié, extinction possible à tout moment, enregistrement limité aux phases de distribution, parcours conservés par un tiers de confiance et discussion ouverte seulement en cas d’écart significatif. Transposé à la biométrie, ce raisonnement est encore plus exigeant, puisque l’empreinte est une donnée sensible là où la localisation ne l’est pas : si un badge, fût-il moins confortable, permet le même pointage, l’empreinte ne passe pas le test.
Le sort du contrôle d’accès aux locaux véritablement sensibles est différent. La même fiche de la CNIL admet que l’employeur peut déployer des outils de contrôle individuel, y compris biométriques, pour sécuriser l’entrée des bâtiments et les locaux faisant l’objet d’une restriction de circulation, comme un laboratoire, une salle de coffres, un data center ou une zone de recherche protégée. Mais cette ouverture reste encadrée : le caractère sensible des lieux doit être réel et documenté, le stockage du gabarit doit rester le moins intrusif possible, l’analyse d’impact doit être réalisée, et la procédure d’information et de consultation doit être complète. Surtout, les données collectées pour ouvrir une porte ne peuvent servir à autre chose : la CNIL avertit que les données collectées par un dispositif ne doivent pas être réutilisées pour d’autres fins que celles ayant justifié son installation. Un lecteur d’empreinte installé pour protéger un serveur, puis utilisé pour vérifier les retards ou sanctionner les pauses, détourne le dispositif de sa finalité et devient contestable, même si l’accès biométrique était justifié au départ.
Deux formalités préalables conditionnent en outre tout dispositif, y compris licite sur le fond. D’abord, l’article L. 1222-4 du Code du travail dispose qu’«Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance». Le salarié doit donc être informé avant la mise en service : identité du responsable, finalité exacte, destinataires, durée de conservation, droits d’accès et d’opposition. Ensuite, l’article L. 2312-38 du Code du travail prévoit que « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ». L’importance de ces préalables apparaît dans l’arrêt du 21 mai 2025 (n° 22-19.925), où la chambre sociale a validé des preuves vidéo contre un agent de filtrage aéroportuaire parce que les images avaient été « traitées ultérieurement, tant par la société exploitant l’aéroport que par l’employeur, d’une manière compatible avec ces finalités », alors que « le salarié ayant été informé des finalités du dispositif de contrôle et de son droit d’accès aux enregistrements le concernant ». À l’inverse, une badgeuse biométrique installée sans information individuelle et sans consultation du comité social et économique cumule les irrégularités : le salarié pourra contester le dispositif lui-même et l’usage des données qu’il produit, notamment si l’employeur s’en sert pour justifier une sanction disciplinaire.
II. Comment refuser l’empreinte et faire valoir vos droits ?
A. Refuser par écrit, sans dégrader le dispositif ni désobéir à l’aveugle
Refuser de poser son doigt ne signifie pas arracher la badgeuse du mur ni ignorer toute consigne. La méthode la plus sûre consiste à formuler un refus écrit, précis et conservé, qui oblige l’employeur à justifier son dispositif. Dans un courrier remis en main propre contre décharge ou adressé par lettre recommandée, demandez la base légale exacte du traitement, en rappelant que l’article 6 du RGPD n’autorise un traitement que si au moins l’une des conditions qu’il énumère est remplie. Réclamez la démonstration de nécessité : pourquoi un badge ne suffit-il pas pour pointer vos horaires ? Exigez la copie de la notice d’information individuelle prévue par l’obligation d’information préalable du salarié, le procès-verbal de consultation du comité social et économique et l’analyse d’impact relative au dispositif. Proposez explicitement l’alternative moins intrusive, comme le maintien d’un badge ou d’un code, et demandez à exercer votre droit d’accès à l’ensemble des données déjà collectées vous concernant.
Ce courrier produit plusieurs effets. Il fige la chronologie et prouve que vous n’avez pas refusé par principe, mais faute de garanties démontrées. Il place l’employeur face à ses obligations : s’il ne répond pas ou répond vaguement, son silence alimentera une plainte devant la CNIL ou une action devant les prud’hommes. Si l’entreprise ne donne aucune suite à votre demande d’accès à vos données, la marche à suivre est détaillée dans notre analyse consacrée à la situation où l’organisme ne répond pas à votre demande d’accès et aux recours devant la CNIL et le juge. Parallèlement, saisissez le délégué à la protection des données de l’entreprise, lorsqu’il en existe un, et alertez par écrit les représentants du personnel, qui doivent être consultés avant toute mise en œuvre d’un moyen de contrôle de votre activité.
Reste la question disciplinaire : l’employeur peut-il vous sanctionner pour avoir refusé l’enrôlement ? La réponse dépend de la licéité du dispositif. Si l’ordre est illégal, parce que la pointeuse biométrique des horaires est disproportionnée ou que l’information et la consultation préalables ont été omises, la sanction elle-même devient contestable devant le conseil de prud’hommes, qui juge les litiges nés du contrat de travail et doit d’abord tenter de concilier les parties : l’article L. 1411-1 du Code du travail rappelle qu’« Il juge les litiges lorsque la conciliation n’a pas abouti ». Si le dispositif est en revanche régulier, par exemple un accès par empreinte à une zone réellement sensible avec gabarit sur badge individuel et procédure complète, le refus persistant expose à une sanction, comme tout refus d’une consigne licite. D’où l’importance de ne jamais refuser verbalement dans le couloir : un refus écrit, motivé par l’absence de garanties et assorti d’une proposition alternative, se défend devant un juge, tandis qu’un simple geste d’humeur se sanctionne. Conservez chaque pièce : note de service annonçant la badgeuse, photographies du lecteur, échanges avec la hiérarchie, noms des témoins présents lors de l’enrôlement collectif, bulletins de salaire si une retenue ou une prime est liée au pointage.
Dans les petites entreprises sans comité social et économique ni délégué à la protection des données, la démarche reste la même, adressée directement à l’employeur : demande écrite de la base légale et de la démonstration de nécessité, proposition du badge, exercice du droit d’accès et conservation de chaque réponse. L’absence d’instances ne prive pas l’employeur de ses obligations d’information préalable et de proportionnalité, et elle ne vous prive pas du droit de saisir la CNIL. Rapprochez-vous également de collègues soumis au même enrôlement : des attestations concordantes décrivant une pose d’empreinte imposée à toute l’équipe, sans notice ni alternative, pèsent lourd dans un dossier de plainte comme devant les prud’hommes.
B. Saisir la CNIL, le juge prud’homal et demander réparation
Lorsque l’employeur maintient le dispositif malgré vos demandes, la plainte devant la CNIL constitue la voie naturelle. L’article 77 du RGPD ouvre ce recours à toute personne qui estime qu’un traitement de ses données personnelles méconnaît le règlement. La plainte se dépose en ligne auprès de la CNIL, avec le récit chronologique des faits et les pièces conservées : courrier de refus, absence de notice d’information, absence de consultation des représentants, photographies du dispositif, preuve de l’enrôlement imposé. L’autorité informe l’auteur de la réclamation de l’état d’avancement et de l’issue de son dossier, ce qui vous permet d’en suivre le traitement, et elle peut contrôler l’entreprise, la mettre en demeure de se conformer, puis prononcer une sanction. Les amendes administratives prévues par l’article 83 du RGPD doivent rester dans chaque cas effectives, proportionnées et dissuasives, et leur montant tient notamment à la nature et à la gravité de la violation, au nombre de salariés concernés et au caractère intentionnel du manquement.
La voie judiciaire complète ce dispositif. L’article 79 du RGPD garantit à chaque personne concernée un recours juridictionnel effectif contre le responsable du traitement. Devant le conseil de prud’hommes, vous pouvez demander l’interdiction du dispositif, l’effacement des gabarits collectés sans base valable et l’annulation d’une sanction disciplinaire fondée sur des données issues d’un système irrégulier. Le détournement de finalité fournit un moyen puissant : dès lors que des pointages collectés pour compter les heures servent à surveiller les pauses, à noter le comportement ou à justifier un licenciement, l’employeur réutilise les données pour d’autres fins que celles ayant justifié l’installation du dispositif, ce que la CNIL prohibe. L’arrêt du 21 mai 2025 montre en miroir ce qu’un employeur régulier doit démontrer : finalités déterminées, information du salarié, compatibilité des usages ultérieurs avec ces finalités. Quand l’une de ces conditions manque, les preuves patronales tirées du dispositif deviennent vulnérables et la sanction disciplinaire perd son socle.
Le préjudice subi ouvre enfin droit à réparation. L’article 82 du RGPD ouvre à toute personne victime d’un dommage matériel ou moral causé par une violation du règlement le droit d’obtenir réparation de son préjudice auprès du responsable du traitement ou du sous-traitant. Concrètement, un salarié enrôlé de force, fiché par son empreinte sans information, sanctionné sur la foi de pointages détournés ou placé sous une surveillance permanente peut demander au juge des dommages et intérêts : atteinte à la vie privée, stress lié à la surveillance, perte de chance de contester une sanction, jours de suspension injustifiée. La charge de la preuve reste exigeante : conservez les relevés de pointage, les courriers échangés, les attestations de collègues soumis au même enrôlement et toute trace de l’usage disciplinaire des données. Plus le dossier démontre une imposition massive, sans alternative et sans information, plus la violation apparaît caractérisée.
Conclusion
Votre empreinte n’est pas un badge : le RGPD l’interdit par principe, la CNIL n’accepte la biométrie au travail qu’en cas de besoin démontré, et la pointeuse des horaires à reconnaissance corporelle échoue presque toujours au test de proportionnalité, là où l’accès à des zones véritablement sensibles peut être admis sous strictes garanties. Information individuelle préalable, consultation des représentants du personnel, analyse d’impact et stockage du gabarit le moins intrusif forment le socle que tout employeur doit présenter avant d’exiger quoi que ce soit. Si ce socle manque, refusez par écrit en visant la règle de justification et de proportionnalité, proposez le badge, saisissez le délégué à la protection des données, puis la CNIL et les prud’hommes avec un dossier de pièces ordonné. Chaque installation s’apprécie concrètement, badgeuse à empreinte comme borne de reconnaissance faciale, et seul l’examen précis de vos documents, de la notice remise et des usages réels du système permet de dire si le dispositif de votre entreprise franchit ou non la ligne.
Besoin d’un avis rapide sur votre dossier
Vous êtes sommé de donner votre empreinte ou votre visage au travail, ou vous avez été sanctionné après avoir refusé une pointeuse biométrique ? Pour un avis sur votre dossier en numérique et données personnelles, contactez Maître Reda KOHEN, avocat au Barreau de Paris, au 06 46 60 58 22. Vous pouvez également écrire au cabinet via la page contact du site en décrivant le dispositif installé, les documents reçus et les suites données à vos demandes écrites.