Ce matin, à l’entrée de l’entreprise, une borne toute neuve remplace la badgeuse : votre employeur vous demande de poser l’index dessus, ou de fixer l’objectif pour une reconnaissance faciale, afin d’enregistrer vos arrivées et vos départs. Refuser, c’est risquer un avertissement, voire pire. Accepter, c’est livrer une donnée qui ne se change pas comme un mot de passe. La question est donc simple : votre employeur peut-il vous imposer la biométrie pour pointer vos horaires, et que faire s’il persiste ?
La réponse tient en deux temps. Pour le seul contrôle des horaires et des temps de présence, la position de la CNIL est tranchée : installer une pointeuse biométrique, par empreinte ou par reconnaissance faciale, ou photographier systématiquement chaque pointage, ce que la CNIL juge excessif et contraire au principe de minimisation. Pour le contrôle d’accès aux locaux, aux applications ou aux outils de travail, la biométrie reste possible, mais dans un cadre strict et contraignant, avec une analyse d’impact, une justification de nécessité et l’information puis la consultation des représentants du personnel. Dans les deux cas, le salarié n’est pas démuni : il peut refuser par écrit, exiger un moyen non biométrique, exercer ses droits sur ses données, saisir la CNIL et, si une sanction tombe, la contester devant le conseil de prud’hommes en faisant écarter des preuves obtenues de manière illicite et en demandant réparation.
I. Ce que votre employeur peut et ne peut pas faire avec vos empreintes et votre visage
A. Pointer vos horaires par biométrie : une pratique excessive et donc illicite
Vos empreintes digitales, votre iris, votre voix ou les traits de votre visage sont des données biométriques. Le règlement général sur la protection des données les range parmi les catégories particulières de données, dites sensibles : le traitement « des données biométriques aux fins d’identifier une personne physique de manière unique » est en principe interdit, sauf exception limitativement prévue, comme le rappelle l’article 9 du RGPD. Cette interdiction de principe change tout par rapport à une simple badgeuse : l’employeur ne peut pas se contenter d’invoquer son pouvoir de direction ou la modernisation du pointage.
Premier écueil pour l’employeur : le consentement du salarié ne suffit presque jamais. Le RGPD exige un consentement libre, et son considérant 43 prévient « il convient que celui-ci ne constitue pas un fondement juridique valable pour le traitement de données à caractère personnel dans un cas particulier lorsqu’il existe un déséquilibre manifeste entre la personne concernée et le responsable du traitement ». Entre un salarié et son employeur, ce déséquilibre existe par nature : un accord donné pour garder son poste ou éviter une sanction n’est pas un consentement libre. Les lignes directrices 05/2020 du Comité européen de la protection des données sur le consentement développent exactement ce point pour la relation de travail. Concrètement, la case « j’accepte » cochée à l’embauche ou la note de service signée sous pression ne rend pas licite une pointeuse biométrique.
Second écueil : la proportionnalité. Le code du travail pose une règle générale qui s’applique à tous les dispositifs de contrôle : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché », selon l’article L1121-1 du code du travail. Or, pour mesurer des horaires, un badge, un code ou un relevé déclaratif suffit. La Cour de cassation vient de le rappeler avec force dans un contentieux de géolocalisation : « l’utilisation d’un système de géolocalisation pour assurer le contrôle de la durée du travail n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen, fût-il moins efficace », d’après l’arrêt de la chambre sociale du 18 mars 2026. Le raisonnement vaut pour la biométrie : dès lors qu’un moyen moins intrusif existe, même moins confortable pour l’employeur, le dispositif biométrique n’est pas justifié.
La CNIL applique ce raisonnement sans détour aux pointeuses. Dans sa fiche consacrée à l’accès aux locaux et au contrôle des horaires, mise à jour le 17 juin 2026, elle admet des dispositifs de gestion des horaires à condition qu’ils restent proportionnés et non excessifs, mais écarte la pointeuse biométrique, y compris par reconnaissance faciale, ainsi que la photographie systématique à chaque pointage, jugées excessives et contraires au principe de minimisation, comme l’explique la CNIL sur le contrôle des horaires. Autrement dit, une borne à empreinte installée pour surveiller les retards et les départs anticipés ne passe pas le contrôle : le besoin de confort ou de fiabilité du pointage ne rend pas nécessaire le traitement d’une donnée sensible.
Il faut distinguer ce cas de la simple mesure du temps de travail, qui reste obligatoire. Pour garantir l’effet utile du droit au repos et à la limitation de la durée du travail, l’employeur doit mettre en place un système objectif, fiable et accessible de mesure des horaires, comme la Cour de justice de l’Union européenne l’a jugé le 14 mai 2019 dans l’affaire dite CCOO. Cette obligation ne l’autorise pas pour autant à choisir la technologie la plus intrusive : elle lui impose seulement de mesurer, pas de biométriser. Un salarié qui conteste une pointeuse à empreinte ne conteste donc pas le principe du pointage, seulement son moyen, et cette nuance compte devant le juge comme devant la CNIL.
Le code du travail confirme que le moyen reste libre : quand les salariés ne suivent pas le même horaire collectif, la durée du travail est décomptée quotidiennement « selon tous moyens », par enregistrement des heures de début et de fin ou par relevé des heures accomplies, selon l’article D3171-8 du code du travail. Et si l’employeur choisit un enregistrement automatique, la loi exige seulement que le système « soit fiable et infalsifiable », selon l’article L3171-4 du code du travail. Un badge ou un relevé fiable satisfait cette exigence ; la biométrie n’y ajoute juridiquement rien pour le contrôle des horaires.
B. Contrôler l’accès par biométrie : possible, mais dans un cadre contraignant
La situation diffère lorsque la biométrie sert à ouvrir une porte, à déverrouiller un poste ou à accéder à une application, pour protéger des locaux ou des outils qui présentent une sensibilité particulière : local serveur, zone de recherche, pharmacie, coffre, données de santé. La CNIL admet alors des dispositifs biométriques, y compris pour les salariés et les visiteurs, mais elle les soumet à un règlement type publié le 28 mars 2019, qui indique aux organismes comment encadrer ces traitements de contrôle d’accès aux locaux, aux applications ou aux outils de travail et qui revêt un caractère contraignant.
Ce règlement type impose une démarche en trois étapes, que tout salarié confronté au dispositif doit connaître pour vérifier la régularité de ce qu’on lui impose. Première étape : justifier le besoin. La CNIL l’écrit noir sur blanc : si un système de badge suffit, la réponse est non ; si la biométrie ne répond qu’à un besoin de confort, la réponse est non ; si les locaux ou les applications protégés ne sont pas particulièrement sensibles, la réponse est non. Un open space ordinaire ou une cantine ne justifient pas une serrure à empreinte. Deuxième étape : garantir la maîtrise du gabarit, c’est-à-dire de l’échantillon biométrique de référence créé à partir de l’empreinte ou du visage. L’employeur doit privilégier le stockage sous maîtrise exclusive de la personne, par exemple sur un badge individuel, et ne recourir à une base centrale sous sa seule maîtrise qu’en dernier ressort, quand le contexte l’impose. Troisième étape : justifier et documenter les choix, réaliser dans tous les cas une analyse d’impact relative à la protection des données, et informer ou consulter les représentants du personnel.
Ces deux dernières obligations relèvent aussi du code du travail, et leur méconnaissance rend le dispositif inopposable au salarié. D’une part, « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance », selon l’article L1222-4 du code du travail : chacun doit être informé avant la mise en service, avec l’identité du responsable, la finalité, les destinataires, les droits d’accès, de rectification et d’opposition et leurs modalités. D’autre part, « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés », selon l’article L2312-38 du code du travail. Une badgeuse biométrique installée sans information individuelle et sans consultation du comité social et économique cumule deux irrégularités, et chacune peut suffire à faire écarter les données ainsi collectées.
La reconnaissance faciale mérite une vigilance redoublée. Contrairement à la vérification d’une empreinte sur un support individuel, elle fonctionne souvent en identification, en comparant un visage à une base de personnes, avec un risque d’erreur et de surveillance permanente bien plus élevé. Elle ne peut donc quasiment jamais justifier un simple pointage des horaires, et même pour un contrôle d’accès, elle doit passer le même triple filtre : locaux ou outils vraiment sensibles, absence de solution moins intrusive, garanties maximales sur le gabarit et les durées de conservation. Un salarié à qui l’on impose du jour au lendemain de « regarder la caméra » pour entrer dans des bureaux ordinaires se trouve face à un dispositif dont la nécessité est très difficile à établir.
Ajoutez un contrôle souvent oublié : les durées de conservation et la sécurité des journaux. Les traces de passage et les historiques de pointage ne peuvent pas être conservés indéfiniment dans un fichier parallèle, ni croisés avec d’autres finalités comme l’évaluation individuelle ou la géolocalisation des pauses. Le règlement type exige que l’employeur précise ces durées, chiffre les gabarits stockés en base et trace les accès administrateurs. Demandez par écrit le tableau des durées, la politique de purge et l’identité des destinataires : un employeur incapable de produire ces documents démontre lui-même que son analyse d’impact, si elle existe, n’a pas été menée sérieusement. L’avis du délégué à la protection des données, quand l’entreprise en a désigné un, doit aussi avoir été sollicité avant la mise en service, puisque le RGPD impose au responsable du traitement de demander son avis lors de toute analyse d’impact. Si aucun délégué n’existe alors que l’entreprise traite des données sensibles à grande échelle, relevez-le dans votre plainte : la CNIL y sera attentive.
II. Refuser, saisir la CNIL et faire écarter la sanction aux prud’hommes
A. Les démarches immédiates : refus écrit, droits sur vos données et plainte à la CNIL
Face à une badgeuse biométrique, la première erreur serait de subir en silence ou, à l’inverse, de bloquer le dispositif par un coup d’éclat. La bonne méthode consiste à écrire. Adressez à votre employeur, par courriel avec accusé de réception ou par lettre recommandée, un refus motivé et daté : rappelez que vos données biométriques sont des données sensibles, que le consentement obtenu dans la relation de travail n’est pas libre, qu’un badge ou un code suffit pour pointer vos horaires, et demandez la mise à disposition d’un moyen non biométrique équivalent. Conservez une copie de cet écrit, de la note de service qui impose le dispositif, des photographies de la borne et de tout échange avec la hiérarchie. Ces pièces feront foi de votre position si un avertissement ou une retenue suit votre refus.
Exercez ensuite vos droits sur vos données. Vous pouvez demander l’accès à l’ensemble des informations détenues sur vous : gabarit enregistré, journaux d’accès et de pointage, destinataires, durées de conservation. Vous pouvez demander l’effacement de votre gabarit et se voir opposer un refus motivé, que vous pourrez contester. Si l’organisme ne répond pas dans le mois ou répond de manière évasive, la procédure à suivre est détaillée dans notre analyse consacrée au droit d’accès quand un organisme ne répond pas, avec la plainte CNIL et le recours au juge : mise en demeure de l’organisme, puis plainte devant la CNIL, puis saisine du juge judiciaire pour faire ordonner la communication ou l’effacement sous astreinte.
La plainte devant la CNIL est l’arme centrale du salarié. Elle se dépose en ligne, gratuitement, en joignant le refus écrit, l’absence de réponse à la demande d’accès ou d’effacement, et toute preuve de l’installation sans information ni consultation. La CNIL peut contrôler l’entreprise, la mettre en demeure de se conformer sous délai, puis prononcer des sanctions : injonction de cesser le traitement, amende administrative qui doit être effective, proportionnée et dissuasive selon l’article 83 du RGPD. Le volet pénal existe aussi : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende », selon l’article 226-16 du code pénal. Vous n’avez pas à viser ce texte vous-même dans votre plainte, mais son existence explique pourquoi les employeurs régularisent vite après un contrôle.
Anticipez enfin l’argument favori des directions : tout le monde a accepté ou la lutte contre la fraude au pointage. La fraude éventuelle de quelques salariés ne rend pas nécessaire la biométrie de tous, et l’adhésion des collègues ne vaut pas consentement libre de chacun. De même, un règlement intérieur modifié unilatéralement, sans consultation des représentants du personnel, ne purge pas l’irrégularité du dispositif. Notez précisément qui a été informé, quand, et si le comité social et économique a été consulté : ces deux points feront l’objet des premières questions du juge prud’homal comme de la CNIL.
Respectez les délais et l’ordre des recours pour ne pas affaiblir votre position. Laissez à l’employeur un délai raisonnable, de l’ordre de trois à quatre semaines, pour répondre à votre demande d’alternative non biométrique et à votre exercice de droits, puis saisissez la CNIL sans attendre la fin d’une procédure disciplinaire en cours : la plainte et le contentieux prud’homal avancent en parallèle et se renforcent mutuellement. Si une sanction disciplinaire est notifiée entre-temps, contestez-la par écrit dans les plus brefs délais en rappelant votre refus motivé et l’absence de base légale du dispositif, car le silence après une mise à pied ou un avertissement sera interprété comme une acceptation. Chaque courrier compte : datez, conservez les accusés de réception et constituez une chronologie précise des faits, du premier jour de la borne jusqu’à la sanction.
B. Devant le juge : faire écarter les preuves illicites et obtenir réparation
Si votre refus de la biométrie vous vaut un avertissement, une mise à pied ou un licenciement, ou si l’employeur utilise contre vous des pointages ou des images issus du dispositif, le litige se déplace devant le conseil de prud’hommes. Deux leviers s’y combinent : l’illicéité du dispositif et le régime des preuves.
Sur le premier levier, la jurisprudence est constante : un moyen de contrôle mis en place sans information préalable des salariés ni consultation des représentants du personnel produit des preuves illicites. La chambre sociale l’a jugé pour une vidéosurveillance installée sans information ni consultation, en rappelant que les salariés doivent être informés au préalable de l’identité du responsable, de la finalité, des destinataires et de leurs droits, et que le comité d’entreprise doit être informé et consulté avant la décision de mise en oeuvre, puis en cassant l’arrêt qui avait validé le licenciement, selon l’arrêt de la chambre sociale du 10 novembre 2021. Transposée à la badgeuse biométrique, la solution est redoutable pour l’employeur : sans information individuelle complète et sans consultation du comité social et économique, ni les pointages ni les journaux d’accès ne peuvent servir à établir un retard, une absence ou une faute.
Sur le second levier, l’employeur tentera de sauver ses preuves en invoquant son droit à la preuve. Depuis l’arrêt d’assemblée plénière du 22 décembre 2023, l’illicéité ou la déloyauté d’une preuve n’entraîne plus automatiquement son rejet en matière civile : le juge doit mettre en balance le droit à la preuve et les droits concurrents, et ne peut admettre la preuve que si « cette production soit indispensable à son exercice et que l’atteinte soit strictement proportionnée au but poursuivi », comme l’a jugé l’assemblée plénière de la Cour de cassation. Ce test est très difficile à passer pour une pointeuse biométrique : prouver un retard par une empreinte n’est jamais indispensable quand un badge, un planning ou des témoignages existent, et porter atteinte à une donnée sensible pour établir quelques minutes de retard n’est jamais strictement proportionné. La chambre sociale applique déjà cette grille aux preuves issues de dispositifs de contrôle des salariés, et elle a précisé que l’illicéité du moyen de preuve n’entraîne pas nécessairement son rejet, le juge devant vérifier l’atteinte au caractère équitable de la procédure dans son ensemble. En pratique, demandez donc au juge, à titre principal, l’écart des pièces issues du dispositif illicite, et à titre subsidiaire, le contrôle de proportionnalité : dans les deux cas, l’employeur qui a choisi la biométrie pour pointer des horaires part avec un handicap sérieux.
Reste la réparation. Toute personne qui subit un dommage matériel ou moral du fait d’une violation du RGPD « a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi », selon l’article 82 du RGPD. Le salarié fiché par biométrie sans base légale peut ainsi demander des dommages et intérêts pour l’atteinte à sa vie personnelle et à la protection de ses données, en plus des indemnités liées à la sanction injustifiée : rappel de salaire en cas de mise à pied, indemnité pour licenciement sans cause réelle et sérieuse si la rupture reposait sur ces seules preuves, dommages et intérêts pour circonstances vexatoires si le refus a été sanctionné publiquement. Chiffrez chaque poste séparément : la violation des données et la sanction disciplinaire sont deux préjudices distincts, et les confondre affaiblit la demande.
Préparez ce contentieux comme un dossier, pas comme un coup de colère. Rassemblez dans l’ordre : la note imposant la biométrie, votre refus écrit, la preuve de l’absence d’alternative proposée, votre demande d’accès et d’effacement et la réponse ou le silence de l’employeur, votre plainte à la CNIL et ses suites, les sanctions notifiées et les pièces issues du dispositif que l’employeur vous oppose. Saisissez le conseil de prud’hommes du lieu de travail avec ces pièces numérotées, en demandant l’annulation de la sanction, l’interdiction de l’usage des données litigieuses et la réparation des deux préjudices. Et si la CNIL a déjà mis l’entreprise en demeure ou l’a sanctionnée pour ce même dispositif, versez cette décision au dossier prud’homal : le juge n’est pas lié par elle, mais elle établit puissamment l’illicéité du moyen de contrôle.
En résumé, la biométrie au travail n’est ni un gadget que l’employeur impose à sa guise, ni un totem que le salarié refuse d’un mot : pour pointer vos horaires, elle est excessive et vous pouvez l’écarter ; pour ouvrir des locaux vraiment sensibles, elle est tolérée sous conditions strictes que vous pouvez vérifier une à une. Le salarié méthodique, qui écrit, qui exerce ses droits, qui saisit la CNIL puis le juge avec des pièces en ordre, transforme une borne imposée en contentieux gagnable. L’employeur avisé, lui, range sa pointeuse à empreinte et distribue des badges : il mesurera les horaires aussi bien, sans s’exposer à une mise en demeure, à une amende, à des preuves écartées et à des dommages et intérêts.
Besoin d’un avis rapide sur votre dossier
Vous êtes confronté à une badgeuse biométrique, à une reconnaissance faciale ou à un pointage contesté dans votre entreprise. Maître Reda KOHEN, avocat au Barreau de Paris, vous répond sur votre dossier en numérique et données personnelles. Appelez le 06 46 60 58 22 pour une consultation téléphonique en 48 heures avec un avocat du cabinet, ou écrivez via la page contact du cabinet.