Votre employeur vient d’installer une pointeuse qui lit votre empreinte digitale, ou il vous annonce que l’accès aux locaux se fera désormais par reconnaissance du contour de la main ou du visage. Vous devez poser votre doigt sur un capteur matin et soir pour être payé, et on vous explique que c’est moderne, rapide et infalsifiable. Puis vient la question qui fâche : pouvez-vous dire non ? Que risquez-vous si vous refusez de donner votre empreinte ? Et si l’appareil est déjà en place depuis des mois sans que personne ne vous ait rien expliqué, quels recours vous restent-ils ?
La réponse tient en une phrase : en France, un employeur ne peut pas vous imposer sa solution biométrique par sa seule volonté. Les caractéristiques de votre corps, empreinte, iris, visage, contour de la main, réseau veineux, appartiennent à la catégorie la plus protégée des données personnelles. Le règlement général sur la protection des données pose une interdiction de principe, le code du travail encadre strictement tout contrôle des salariés, et la Commission nationale de l’informatique et des libertés a publié un règlement type que l’employeur doit respecter à la lettre. Quand l’une de ces conditions manque, le dispositif est illicite, et le salarié qui le conteste dispose d’armes concrètes : refus d’y être soumis, demande d’un moyen alternatif, plainte devant la Commission, action devant le conseil de prud’hommes, écartement des preuves obtenues illégalement et réparation du préjudice.
Cet article explique d’abord ce que votre employeur peut et ne peut pas vous imposer en matière de biométrie au travail, puis comment agir pas à pas pour refuser proprement, prouver les manquements et obtenir réparation. Il s’adresse aux salariés du secteur privé comme aux agents dont l’organisme utilise ces outils, et il décrit aussi les obligations de l’employeur qui voudrait déployer un système régulier.
I. Ce que votre employeur peut et ne peut pas vous imposer
A. Vos empreintes et votre visage sont interdits de traitement par principe, sauf exception étroite
Le point de départ se trouve dans le règlement européen. L’article 9 du règlement général sur la protection des données dispose : « Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits. » (article 9 du RGPD sur EUR-Lex). Une empreinte digitale, un visage ou un iris captés pour reconnaître un salarié de façon unique entrent directement dans cette interdiction. Le texte européen ne prévoit que des dérogations limitativement énumérées, dont le consentement explicite et la nécessité d’exécuter des obligations en droit du travail, chacune assortie de garanties renforcées.
Le consentement du salarié, dans une relation de travail, est un fondement fragile. La Commission considère qu’un accord donné sous la pression du lien de subordination n’est presque jamais libre, dès lors que le refus expose à une sanction, à une retenue sur salaire ou à une mise à l’écart. Un formulaire signé à l’embauche ou une case cochée sur l’intranet ne suffisent donc pas à blanchir une badgeuse à empreinte. L’employeur doit démontrer une autre base et, surtout, une nécessité réelle.
À cette exigence européenne s’ajoute le filtre du droit du travail français. L’article L1121-1 du code du travail énonce : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » (article L1121-1 du code du travail). Autrement dit, même utile, même pratique, un contrôle biométrique doit être justifié par la tâche et proportionné à l’objectif. Filmer les allées d’un entrepôt pour la sécurité des stocks ne justifie pas d’identifier chaque préparateur par son empreinte à chaque pause. Le juge vérifie concrètement s’il existait un moyen moins intrusif, badge, code, liste d’émargement, contrôle humain, et si le niveau de sécurité invoqué correspond à la réalité des locaux.
La Cour de cassation applique ce test sans indulgence. Dans un arrêt rendu le 19 décembre 2018 à propos d’un système de géolocalisation des distributeurs d’une société, la chambre sociale a jugé que « l’utilisation d’un système de géolocalisation pour assurer le contrôle de la durée du travail, laquelle n’est licite que lorsque ce contrôle ne peut pas être fait par un autre moyen » (Cass. soc., 19 décembre 2018, n° 17-14.631). Le raisonnement vaut pour la biométrie : dès lors qu’un badge ou un code permet le même pointage, la captation de l’empreinte ne passe pas le contrôle de proportionnalité. Cet arrêt, publié au Bulletin, reste la référence que les conseils de prud’hommes citent pour écarter les dispositifs de surveillance excessive.
Enfin, la procédure compte autant que le fond. L’article L1222-4 du code du travail dispose : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » (article L1222-4 du code du travail). Un capteur posé pendant les congés d’été, découvert à la rentrée, sans note de service ni information individuelle, viole déjà ce texte, avant même tout débat sur la biométrie. Parallèlement, l’article L2312-38 du même code prévoit : « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. » (article L2312-38 du code du travail). Sans consultation du comité social et économique, le déploiement est irrégulier, et cette irrégularité nourrit à la fois la plainte devant la Commission et l’action prud’homale. Le règlement intérieur, lorsqu’il prévoit des sanctions liées au pointage, doit également être mis à jour dans les formes, faute de quoi aucune sanction fondée sur le nouveau système ne tient. Le même code ajoute une exigence de pertinence : « Les méthodes et techniques d’évaluation des salariés doivent être pertinentes au regard de la finalité poursuivie. » (article L1222-3 du code du travail). Une empreinte qui sert à la fois à ouvrir la porte, à compter les pauses et à noter l’assiduité cumule des finalités que l’employeur doit justifier une par une.
Concrètement, avant de poser le doigt où que ce soit, demandez par écrit quatre pièces : l’analyse d’impact et la base légale invoquée, la délibération ou l’acte qui autorise le dispositif, la preuve de l’information individuelle des salariés, et l’avis du comité social et économique. L’absence d’une seule de ces pièces oriente déjà tout le dossier vers l’illicéité.
B. Badgeuse à empreinte contre badge simple : le test de proportionnalité que la plupart des pointeuses échouent
La Commission nationale de l’informatique et des libertés distingue les usages selon leur intrusivité, et c’est cette grille que le juge reprend. Son règlement type sur la biométrie au travail réserve en principe la biométrie au contrôle des accès aux espaces, aux applications et aux outils de travail, là où un enjeu de sécurité identifié le commande, et non au simple décompte des heures. Sa question-réponse sur le contrôle d’accès biométrique détaille les conditions : démontrer que le badge ou le mot de passe ne suffit pas, exposer le besoin précis de l’organisme, et choisir le gabarit le moins intrusif, stocké de préférence sur un support que le salarié détient seul, sans copie centrale.
Trois familles de dispositifs existent. Dans la première, le gabarit biométrique reste sur une carte ou un badge que l’employé garde, sans base centrale : c’est la configuration la moins attentatoire, celle que la Commission privilégie. Dans la deuxième, les gabarits sont chiffrés dans une base commune et ne peuvent être lus qu’avec l’intervention du salarié, par exemple un code personnel. Dans la troisième, l’employeur centralise seul tous les gabarits, sans maîtrise du salarié : ce modèle n’est envisageable que dans un contexte exceptionnel, étayé et documenté, comme la protection d’installations sensibles où la réaction en urgence l’exige. Une usine ordinaire, un magasin, un open space ou un restaurant n’entrent pas dans ce cadre, et une base centrale d’empreintes de caissiers ou de serveurs ne s’y justifie pas.
Le pointage horaire par empreinte se heurte frontalement à cette grille. Pointer, c’est enregistrer une heure d’arrivée, ce qu’un badge, un code ou une application d’horodatage font parfaitement, pour un coût et un risque incomparablement moindres. L’argument de la fraude à la pointeuse, le fameux pointage par un collègue, ne suffit pas à lui seul : l’employeur doit prouver des abus avérés, chiffrés, auxquels aucun contrôle classique ne remédie, et non une crainte abstraite. Les juridictions appliquent ici la leçon de l’arrêt de 2018 cité plus haut : un moyen de contrôle plus efficace ne devient pas nécessaire pour autant, si un moyen ordinaire existe. Une pointeuse à empreinte installée pour « moderniser » ou « simplifier la paie » échoue donc presque toujours au test.
La reconnaissance faciale ou le contour de la main pour pointer subissent le même sort, en pire, car elles captent des données exploitables à distance et conservent des images. La Commission les traite avec une sévérité particulière sur les lieux de travail. Quant aux dispositifs qui croisent biométrie et géolocalisation, par exemple une application de pointage sur téléphone personnel qui relève l’empreinte et la position, ils cumulent deux régimes restrictifs et doivent satisfaire aux deux grilles à la fois. Le salarié sommé d’installer une telle application sur son propre téléphone peut opposer, en plus du reste, l’atteinte à sa vie personnelle et à son droit de propriété sur son terminal.
Reste la question des données déjà collectées. Un employeur qui a fait fonctionner pendant des mois une badgeuse irrégulière détient des gabarits sans base valable : il doit cesser le traitement, effacer la base centrale et les copies chez ses prestataires, et le prouver. La conservation au-delà de la durée nécessaire, la réutilisation des empreintes pour d’autres finalités, enquêtes internes, contrôle des pauses, ou leur transfert à un prestataire de paie sans contrat encadrant la sous-traitance aggravent la situation et ouvrent des demandes indemnitaires distinctes. Chaque finalité doit avoir sa base, sa durée et son information propre. La conservation prolongée de ces gabarits dans une base centrale, sans le consentement exprès des intéressés et hors les cas prévus par la loi, entre en outre dans le champ de l’article 226-19 du code pénal, puni des mêmes peines (article 226-19 du code pénal).
Sur le plan pénal, l’enjeu n’est pas théorique. L’article 226-16 du code pénal dispose : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-16 du code pénal). Un déploiement sauvage, sans analyse, sans information ni consultation, expose donc aussi le décideur à des poursuites, ce qui explique que les mises en demeure de la Commission soient prises au sérieux par les directions. La collecte elle-même est pénalement sanctionnée quand elle est déloyale : « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-18 du code pénal).
Pour les lecteurs qui subissent d’autres formes de surveillance au travail, comme les enregistrements d’écran ou la lecture des messages, les réflexes décrits ici se complètent utilement avec ceux présentés dans notre analyse du télétravail surveillé par keylogger, captures d’écran ou webcam permanente, où le même contrôle de proportionnalité s’applique aux outils numériques de suivi de l’activité.
II. Refuser, prouver, saisir et obtenir réparation
A. Dire non sans faute : la méthode qui protège votre contrat de travail
Le salarié n’est pas tenu d’offrir son corps pour pointer. Le refus de se soumettre à un dispositif biométrique illicite ne constitue pas une insubordination fautive, et l’employeur ne peut ni sanctionner ni licencier sur ce seul motif, ni priver de salaire les heures réellement effectuées sous prétexte d’un pointage manquant. Mais ce principe ne dispense pas de méthode : un refus brutal, sans écrit et sans proposition alternative, complique la preuve. La bonne démarche tient en quatre gestes, accomplis dans l’ordre.
D’abord, contester par écrit, vite et calmement. Adressez à la direction et au délégué à la protection des données un courrier qui expose les faits, date d’installation, modèle d’appareil, données captées, absence d’information ou de consultation, et qui demande la communication des pièces : base légale, analyse d’impact, acte autorisant le dispositif, information individuelle, avis du comité social et économique. Demandez la suspension de votre enrôlement le temps de la vérification et la mise à disposition d’un moyen alternatif, badge ou code, pour continuer à pointer et à travailler normalement. Transmettez ce courrier par un canal traçable et conservez-en une copie hors de l’entreprise.
Ensuite, continuez à exécuter loyalement votre travail. Présentez-vous, pointez par le moyen alternatif ou, à défaut, signalez votre présence par écrit chaque jour à votre responsable, et notez les heures effectuées. Si l’employeur bloque l’accès aux locaux ou refuse de comptabiliser vos heures, faites constater par écrit, courriel, huissier ou témoignages, car ces éléments fonderont plus tard le rappel de salaire et la réparation. Ne dégradez pas l’appareil, ne refusez pas toute forme de contrôle, ne cessez pas le travail de votre propre chef : la contestation porte sur la biométrie, pas sur l’obligation de travailler ni sur le contrôle légitime des horaires par des moyens ordinaires.
Puis, exercez vos droits sur vos données. Toute personne peut demander l’accès aux données détenues sur elle, la rectification des erreurs et l’effacement des données traitées illicitement, ainsi que la limitation du traitement pendant l’examen de sa demande. Formulez une demande d’accès et d’effacement de votre gabarit et de vos passages, adressée au responsable du traitement, avec une copie de votre pièce d’identité si l’organisme l’exige pour vous identifier. L’employeur doit répondre dans un délai d’un mois, et son silence ou son refus non motivé constitue un grief supplémentaire devant la Commission et devant le juge. Si vos données ont été transmises à un prestataire de pointage ou de paie, exigez l’attestation d’effacement chez ce sous-traitant également.
Enfin, ne restez pas isolé. Alertez les représentants du personnel et le comité social et économique, qui peuvent exiger d’être consultés et faire inscrire le point à l’ordre du jour. Un syndicat peut agir en justice pour faire cesser un dispositif illicite portant atteinte à l’intérêt collectif des salariés, comme l’illustre le contentieux jugé en 2018 où une fédération syndicale avait fait censurer un système de suivi disproportionné. L’action collective renforce la vôtre et protège les collègues qui n’osent pas écrire seuls.
Trois erreurs reviennent sans cesse dans les dossiers perdus. La première consiste à signer un avenant « biométrie » sous la menace d’une sanction, puis à prétendre avoir été contraint sans en avoir gardé aucune preuve : si on vous fait signer, ajoutez la mention manuscrite du contexte et écrivez le jour même votre protestation. La deuxième consiste à demander uniquement l’effacement, en croyant que tout sera réglé : l’effacement n’empêche pas la réinstallation du même système ni ne répare les mois de collecte illicite, et seule une action complète, cessation, garanties et indemnisation, clôt le litige. La troisième consiste à attendre des années : les délais de prescription courent, les preuves s’effacent avec le turnover, et un salarié qui a utilisé sans protester pendant trois ans un dispositif connu de lui plaide moins facilement la contrainte que celui qui a écrit dès la première semaine.
Un cas particulier mérite un mot : le candidat à l’embauche ou le nouvel arrivant à qui l’on présente l’enrôlement biométrique comme une simple formalité d’accueil. Rien ne vous oblige à livrer votre empreinte pour être embauché, et un refus d’embauche motivé par ce seul refus serait discriminatoire dans ses effets et contestable. Demandez le règlement intérieur, l’information écrite sur le traitement et le nom du délégué à la protection des données avant tout enrôlement, et faites la même demande écrite que ci-dessus, adaptée au recrutement.
B. Saisir la Commission et le juge, faire écarter les preuves illicites et chiffrer la réparation
Quand l’employeur maintient son système malgré votre courrier, deux voies se combinent utilement : la plainte devant la Commission nationale de l’informatique et des libertés, et l’action devant le conseil de prud’hommes, sans oublier le signalement à l’inspection du travail dans les situations tendues.
La plainte devant la Commission se prépare comme un dossier, pas comme un cri de colère. Rassemblez le courrier de contestation et la réponse de l’employeur, les photographies datées de l’appareil et des affiches, les attestations de collègues, les bulletins de paie montrant les retenues éventuelles, et la copie de votre demande d’accès restée sans réponse. Décrivez précisément les données captées, les personnes concernées, les finalités affichées et l’absence d’alternative. La Commission peut contrôler sur place ou sur pièces, mettre en demeure l’organisme de se conformer sous délai, prononcer une sanction pécuniaire publique et ordonner la cessation du traitement. Une mise en demeure ou une sanction, même postérieure à votre action prud’homale, pèse lourd devant les juges du fond, qui y voient la confirmation officielle de l’illicéité.
Devant le conseil de prud’hommes, les demandes se construisent en faisceau. Première branche : la cessation de l’illicite, retrait du dispositif à votre égard, fourniture d’un moyen alternatif de pointage, effacement attesté de vos gabarits et des historiques, sous astreinte. Deuxième branche : l’annulation des sanctions prononcées sur le fondement du système, avertissement, mise à pied, licenciement, et le rappel des salaires ou primes amputés pour des pointages manquants. Troisième branche : les dommages et intérêts pour violation de vos droits, atteinte à votre vie personnelle, contrainte subie, démarches imposées, crainte pour vos données conservées dans une base centrale. Quatrième branche, le cas échéant : la prise d’acte ou la résiliation judiciaire si la situation a rendu la poursuite du contrat impossible, ou la contestation du licenciement fondé sur le refus de la biométrie, avec les indemnités correspondantes.
Le sort des preuves mérite une attention particulière. L’employeur qui voudrait justifier une sanction disciplinaire ou un licenciement par les relevés de la pointeuse biométrique illicite s’appuie sur une preuve déloyale : les juges écartent des débats les éléments obtenus par un dispositif inconnu du salarié, non déclaré, disproportionné ou détourné de sa finalité. Vérifiez systématiquement à quoi servent les relevés dans votre dossier, retard allégué, temps de pause, présence sur site, et demandez au juge d’écarter toute pièce issue du système contesté, en visant l’information préalable manquante et la disproportion du moyen. À l’inverse, constituez votre propre preuve par des moyens loyaux : relevés de badge alternatif, courriels d’arrivée, témoignages, constats, plannings, relevés téléphoniques professionnels.
Le chiffrage de la réparation doit être concret et documenté. Listez les retenues sur salaire et les primes perdues, pièce par pièce, puis évaluez le préjudice moral : contrainte durable, crainte pour des données corporelles conservées sans droit, démarches répétées, tensions avec la hiérarchie, exposition collective. Les juridictions indemnisent ces préjudices de façon variable selon la durée de l’illicite, le nombre de salariés concernés, la sensibilité des données centralisées et l’attitude de l’employeur après signalement. Un employeur qui régularise vite, efface et propose une alternative obtient généralement une appréciation plus clémente qu’un employeur qui sanctionne le salarié vigilant. Joignez tout ce qui objective votre préjudice : certificats médicaux si la situation a affecté votre santé, attestations de proches ou de collègues, journal daté des incidents.
N’oubliez pas les leviers complémentaires. L’inspection du travail peut intervenir sur les conditions de mise en place du dispositif et le respect des consultations obligatoires. Le délégué à la protection des données de l’entreprise, lorsqu’il existe, doit être saisi et peut appuyer la mise en conformité interne. Et si vos empreintes ont circulé vers un prestataire hors de l’entreprise, interrogez par écrit ce transfert, sa base et ses garanties, car chaque destinataire indûment destinataire de vos données ouvre un chef de demande propre.
Deux situations de sortie se présentent le plus souvent. Dans la première, l’employeur, ébranlé par votre courrier précis et la perspective d’un contrôle de la Commission, retire la pointeuse biométrique, généralise le badge et atteste l’effacement : il reste à solder les retenues et le préjudice de la période illicite, ce qu’une transaction écrite peut fixer proprement. Dans la seconde, l’employeur s’entête : la combinaison d’une plainte à la Commission et d’une action prud’homale bien documentée produit alors, dans la plupart des dossiers solides, la cessation du système et une indemnisation, au prix d’une procédure plus longue. Dans les deux cas, la règle d’or reste la même : écrire tôt, prouver par des pièces loyales, et ne jamais accepter que votre corps devienne votre carte de pointage sans un cadre légal inattaquable.
En conclusion, une badgeuse à empreinte ou une pointeuse biométrique ne s’impose pas d’elle-même. L’interdiction européenne de principe, le double verrou du code du travail, justification et proportionnalité, et le règlement type de la Commission dessinent un chemin étroit que la plupart des pointages biométriques ordinaires ne peuvent emprunter. Le salarié qui reçoit une telle injonction dispose d’une réponse graduée et efficace : demander les pièces par écrit, continuer à travailler et à se signaler, exiger une alternative et l’effacement, alerter les représentants du personnel, puis saisir la Commission et le juge pour faire cesser l’illicite, annuler les sanctions qui en découlent et obtenir réparation. Face à un capteur qui prétend lire votre identité dans votre doigt, la meilleure posture reste la plus simple : des écrits précis, des preuves loyales et des demandes nettes, jusqu’à ce que l’employeur revienne à un badge qui ne sait rien de votre corps.