I. Ce que votre employeur peut vous demander avec votre corps, et ce qu’il ne peut pas vous imposer
A. La biométrie au travail reste une donnée sensible, en principe interdite
La CNIL définit la biométrie comme l’ensemble des techniques qui identifient une personne à partir de ses caractéristiques physiques, biologiques ou comportementales : empreinte digitale, contour de la main, iris, visage, réseau veineux, démarche. Au travail, on la rencontre à trois endroits : le contrôle des horaires avec une pointeuse, le contrôle des accès avec un lecteur à l’entrée des locaux, et de plus en plus la vie quotidienne avec le paiement de la cantine par le doigt ou l’ouverture des portes par le visage. Ces trois usages ne suivent pas les mêmes règles, et c’est de cette distinction que dépend votre droit de refuser.
Le premier réflexe consiste à mesurer ce qui se joue. Un mot de passe compromis se change en deux minutes. Une empreinte digitale ou un visage compromis vous identifient toute votre vie, sans que vous puissiez vous en affranchir. La CNIL le souligne dans ses pages consacrées à la publication du règlement type biométrie : ces traitements de données sensibles restent en principe interdits, hors cas étroitement énumérés Le règlement européen sur la protection des données range en effet les données biométriques parmi les catégories particulières de données, au même titre que les données de santé ou les opinions politiques, et leur traitement n’est possible que sur l’un des fondements étroitement délimités par son article 9. Pour un salarié, cela signifie que l’employeur ne dispose d’aucune liberté générale : chaque dispositif doit entrer dans un cadre autorisé, poursuivre une finalité précise et passer chaque contrôle de proportionnalité.
Le deuxième réflexe consiste à écarter le faux débat du consentement. Beaucoup de notes de service demandent aux salariés de « consentir » à l’enrôlement, comme si une case cochée suffisait à tout autoriser. La position de la CNIL, rappelée dans ses questions-réponses sur le règlement type, est nette : le consentement des salariés n’est pas exigé La Commission explique que le lien hiérarchique crée un déséquilibre qui prive le consentement de son caractère libre, de sorte qu’un autre fondement doit être retenu, le plus souvent l’intérêt légitime de l’employeur, encadré par le règlement type. Concrètement, votre signature sur un formulaire d’enrôlement ne rend pas régulier un dispositif qui ne le serait pas, et votre refus de signer ne rend pas irrégulier un dispositif qui respecterait toutes les conditions. Le débat se déplace donc vers les conditions de fond, vérifiables par chacun.
Le cadre applicable aujourd’hui est le règlement type « biométrie sur les lieux de travail », adopté par la délibération n° 2019-001 du 10 janvier 2019 de la CNIL. Ce texte a un caractère contraignant : l’employeur qui met en place un contrôle d’accès biométrique doit s’y conformer. Il couvre l’accès aux espaces, aux applications et aux outils de travail, c’est-à-dire les portes, les zones sensibles et les postes informatiques. Il distingue trois architectures : le gabarit conservé sur un support individuel détenu par le salarié lui-même, sans aucune copie chez l’employeur, qui est la solution la moins risquée ; les solutions chiffrées avec secret détenu par la personne ; et la base de données centralisée de tous les gabarits, qui expose l’ensemble du personnel en cas de fuite et appelle les garanties les plus lourdes. La CNIL décrit ainsi le premier modèle : les supports de stockage sont individuels et détenus par chaque salarié lui-même, sans qu’aucune copie ne soit conservée par l’employeur ou ses prestataires techniques. Retenez cette phrase : si l’on vous annonce que vos empreintes seront conservées dans le serveur de l’entreprise ou chez le prestataire qui vend la pointeuse, vous n’êtes pas dans le modèle de référence, et l’employeur doit justifier ce choix risqué.
Le même cadre impose une analyse d’impact relative à la protection des données avant toute mise en œuvre, mise à jour au moins tous les trois ans, ainsi qu’une information complète des salariés et l’existence d’une solution alternative non biométrique. L’alternative n’est pas une faveur : sans badge ou mot de passe de repli proposé sans conséquence négative, le dispositif ne respecte pas le cadre. Pour la cantine, cela signifie qu’on ne peut pas vous facturer le repas plus cher parce que vous payez par badge, ni vous reléguer à une file dégradée. Pour les portes, cela signifie qu’on ne peut pas vous interdire l’accès aux locaux où vous travaillez parce que vous refusez le lecteur facial.
Reste la question des horaires. Le règlement type de 2019 porte sur le contrôle des accès, pas sur le pointage du temps de travail. Or la CNIL a jugé excessive, sauf circonstances exceptionnelles établies par l’entreprise, l’utilisation d’une pointeuse par reconnaissance des empreintes digitales pour contrôler les horaires des salariés, comme l’a relaté la presse juridique à propos de sa délibération n° 2018-009 du 6 septembre 2018, avec mise en demeure préalable de cesser le dispositif et de supprimer les données. Si votre conflit porte sur la pointeuse qui enregistre vos heures, lisez aussi notre article consacré à la pointeuse biométrique pour le contrôle des horaires : refuser l’empreinte, exiger une alternative et saisir la CNIL. Le présent article traite des deux autres usages, la cantine et les portes, qui relèvent du contrôle d’accès et du règlement type, avec leurs propres conditions.
L’histoire du contour de la main éclaire cette mécanique. Sous l’empire de l’ancienne loi, la CNIL avait autorisé par une décision unique les dispositifs de reconnaissance du contour de la main pour la gestion des horaires, le contrôle d’accès et la restauration, à charge pour chaque organisme d’adresser un engagement de conformité. La cour administrative d’appel de Versailles, dans son arrêt du 15 mars 2018 (n° 17VE00249, commune de Garges-Lès-Gonesse), a validé des sanctions contre un agent qui refusait l’enrôlement, précisément parce que la commune justifiait d’une déclaration de conformité à cette autorisation unique et d’une information collective des agents et des organisations syndicales. La cour relève que ces traitements pouvaient couvrir la gestion des horaires et des temps de présence. Ce précédent ne signifie pas que tout refus est fautif : il signifie que le refus n’est fautif que lorsque le dispositif est régulier. Toute votre stratégie consiste donc à vérifier cette régularité avant de prendre position, selon la méthode exposée ci-dessous.
B. Les quatre verrous que l’employeur doit présenter avant tout enrôlement
Premier verrou : la proportionnalité entre le moyen et le but. L’article L1121-1 du code du travail dispose : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. » Appliquez ce test à chaque usage. Payer son repas à la cantine : un badge ou une carte prépayée atteint exactement le même résultat, sans capter une donnée corporelle irréversible. Le doigt n’apporte rien que le badge ne ferait déjà, et la balance penche vers l’excès. Ouvrir la porte du bureau où vous travaillez chaque jour : le badge ouvre la même porte, avec un risque nul pour votre vie privée. Le visage n’est proportionné que là où le badge ne suffit vraiment pas : laboratoire avec produits dangereux, salle des serveurs, coffre, zone soumise à une réglementation de sûreté, vestiaire d’un site aéroportuaire. Exigez que l’employeur écrive en quoi consiste ce risque précis, local par local, au lieu d’invoquer la sécurité en général. Une formule vague ne passe pas le test de l’article L1121-1.
Deuxième verrou : l’information et la consultation préalables. Le comité social et économique, quand il existe, doit être informé et consulté avant la décision de mise en œuvre : l’article L2312-38 du code du travail prévoit que « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ». Un lecteur qui enregistre chaque passage à la cantine ou à chaque porte contrôle l’activité des salariés au sens de ce texte : il révèle les heures d’arrivée, les pauses, les déplacements. Sans avis du comité, le dispositif est déjà fragile. À l’échelle individuelle, l’article L1222-4 du code du travail dispose : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Vous devez recevoir avant l’enrôlement l’identité du responsable du traitement, la finalité exacte, les destinataires, la durée de conservation, vos droits et la manière de les exercer, ainsi que l’existence de l’alternative non biométrique. Une affiche posée le matin de l’enrôlement ne suffit pas. Demandez la note d’information, la date de l’avis du comité et les mentions remises à chacun : l’absence de réponse écrite est déjà un indice.
Troisième verrou : l’alternative réelle, sans punition déguisée. Le règlement type et la doctrine de la CNIL exigent une solution de repli équivalente, badge ou mot de passe, proposée sans conséquence négative. Passez en revue les punitions déguisées les plus fréquentes : supplément tarifaire à la cantine pour les usagers du badge, file d’attente unique réservée aux biométriques, badge visiteur à demander chaque matin au risque d’être noté en retard, accès refusé aux salles de réunion ou au parking. Chacune de ces mesures transforme le prétendu choix en contrainte et vicie le dispositif. L’alternative doit être durable, pas transitoire : un badge présenté comme provisoire, en attendant que tout le monde passe au visage, n’est pas une alternative. Si vous êtes intérimaire, prestataire extérieur ou salarié d’une entreprise intervenante, la même exigence vaut pour vous : on ne peut pas conditionner votre accès au chantier ou au site client à la remise de votre visage dans une base que vous ne reverrez jamais. La fin de la mission doit entraîner l’effacement de votre gabarit, avec une attestation écrite.
Quatrième verrou : la sécurité du gabarit et la durée de conservation. Interrogez le support de stockage : gabarit sur votre badge personnel sans copie, ou base centrale chez l’employeur et chez son prestataire ? Interrogez les flux : le prestataire qui installe les lecteurs conserve-t-il une copie, administre-t-il la base à distance, transfère-t-il des données hors de l’Union européenne ? Interrogez les durées : conservation pendant l’emploi puis suppression, avec un délai précis après le départ, et journal des accès limité dans le temps. Un système qui conserve les empreintes de deux cents salariés pendant sept ans « au cas où » ne respecte ni la minimisation ni les durées proportionnées. L’analyse d’impact doit documenter ces choix : demandez-en la date et les conclusions, car un employeur sérieux la produit sans difficulté, tandis qu’un employeur approximatif ne sait pas de quoi vous parlez.
Si l’un de ces quatre verrous manque, vous n’êtes pas face à un ordre incontestable mais face à un dispositif contestable, et votre refus change de nature juridique, comme l’expose la seconde partie.
II. Refuser sans commettre de faute, contester la sanction et obtenir l’effacement
A. La bonne manière de refuser : écrire, proposer le badge et continuer à travailler
L’erreur la plus coûteuse consiste à refuser tout en bloc, y compris de pointer ou de travailler, puis à découvrir que le dispositif était régulier. La cour administrative d’appel de Versailles l’a rappelé dans l’affaire du contour de la main : qu’en refusant d’enregistrer le gabarit de ses doigts et d’utiliser le dispositif en place, l’agent avait refusé de se conformer aux instructions reçues et commis une faute de nature à justifier une sanction. L’avertissement puis l’exclusion temporaire de deux jours ont été validés parce que le dispositif reposait sur une autorisation CNIL, une information des organisations syndicales, un examen en comité technique et une note interne à tous les agents. La leçon est symétrique : face à un dispositif régulier, le refus persistant est une faute ; face à un dispositif irrégulier, le refus est l’exercice d’un droit. Votre priorité est donc de faire constater par écrit l’état du dispositif avant de refuser, pour ne jamais laisser l’employeur raconter seul l’histoire.
Agissez en cinq gestes, dans l’ordre. D’abord, demandez par écrit au responsable des ressources humaines et au délégué à la protection des données le dossier du dispositif : base légale retenue, référence exacte au règlement type de la CNIL, analyse d’impact et sa date, avis du comité social et économique, note d’information individuelle, durée de conservation des gabarits et des journaux, identité des destinataires dont le prestataire, support de stockage du gabarit, et description de l’alternative non biométrique. Ensuite, proposez explicitement l’alternative : badge pour la cantine et les portes, avec maintien de vos habitudes de pointage par le moyen existant. Puis continuez à travailler normalement : présentez-vous, pointez par l’ancien système, payez par l’ancien moyen, ne quittez pas votre poste et ne refusez aucune tâche. Conservez chaque pièce : note de service, courriels, captures de l’intranet, noms des témoins présents à l’enrôlement, badge visiteur qu’on vous impose. Enfin, exercez vos droits par écrit : opposition au traitement pour motifs légitimes, demande d’accès à l’ensemble des données vous concernant, et demande d’effacement des données déjà enrôlées si l’on vous a fait passer au lecteur sans information complète. Chaque courrier recommandé ou courriel conservé déplace le rapport de force : l’employeur ne pourra plus soutenir que vous avez refusé par principe un système dont il n’a jamais démontré la régularité.
Deux situations appellent une vigilance particulière. La première est celle des salariés des entreprises extérieures : agent de nettoyage, gardien, intérimaire, consultant. On vous demande souvent votre visage ou votre doigt pour entrer sur le site du client, sans note d’information, sans durée, sans interlocuteur. Exigez les mêmes écrits, adressés à votre employeur et à l’entreprise utilisatrice, car deux responsables se partagent ici le traitement, et chacun renvoie la faute à l’autre en cas de litige. La seconde est celle de la cantine : le paiement biométrique enregistre vos habitudes alimentaires, vos horaires, vos jours de présence, parfois votre état de santé à travers les menus. Pour un simple encaissement, la disproportion est massive, et le badge prépayé anonyme fait le même travail. Un salarié qui paie chaque midi avec son doigt sans y avoir réfléchi peut demander l’effacement de son gabarit et revenir au badge à tout moment : l’enrôlement passé ne vaut pas acceptation perpétuelle.
Si l’employeur répond par la menace, ne cédez ni ne provoquez : faites écrire la menace. Une convocation qui mentionne le refus du lecteur biométrique, un avertissement notifié pour ce motif, une prime retirée au prétexte d’un badge « provisoire » sont des pièces qui serviront ensuite devant le juge et devant la CNIL. À l’inverse, n’effacez rien vous-même dans les systèmes, ne forcez aucun lecteur, ne prêtez votre badge à personne : la fraude au pointage, comme l’a montré un arrêt récent de la cour d’appel de Paris du 7 mai 2025 (RG n° 23/00712) à propos d’une pointeuse classique, se retourne contre le salarié et fait perdre un procès gagnable sur la biométrie. Restez le salarié irréprochable qui conteste un dispositif, jamais l’inverse.
B. Les recours : CNIL, prud’hommes, juge pénal et effacement
Quand le dialogue écrit n’a rien donné, quatre voies se combinent, sans s’exclure.
La plainte à la CNIL est la voie la plus directe. Déposez-la en ligne en joignant vos courriers restés sans réponse, la note de service, les photographies des lecteurs et le nom du prestataire si vous le connaissez. La Commission peut contrôler sur place, mettre en demeure l’organisme de cesser le dispositif et de supprimer les données sous quelques mois, puis prononcer une sanction pécuniaire publique en cas de persistance. Dans l’affaire relatée par la presse juridique en 2018, une société de télésurveillance mise en demeure le 26 juillet 2017 de cesser son pointage par empreinte et de supprimer les données faisait encore l’objet d’un constat de persistance en mars 2018, avec conservation des traces de pointage depuis 2011 : c’est ce type d’obstination documentée qui conduit aux sanctions les plus lourdes. Pour votre dossier, la mise en demeure de la CNIL, quand elle existe, devient une pièce maîtresse devant les prud’hommes, car elle établit par une autorité indépendante ce que vous dénonciez seul.
Le conseil de prud’hommes est la voie de la sanction contestée et de la réparation. Si vous êtes salarié en Île-de-France, le conseil de Paris statue régulièrement sur ces dispositifs de contrôle : vérifiez la convention collective applicable et saisissez la juridiction compétente sans attendre la prescription. Demandez l’annulation de l’avertissement, de la mise à pied ou du licenciement fondés sur le refus du lecteur, car toute mesure prise par l’employeur après un agissement qu’il tient pour fautif constitue une sanction susceptible de recours, et et à titre subsidiaire leur requalification en rupture sans cause réelle et sérieuse avec les indemnités correspondantes. Ajoutez la réparation de l’exécution déloyale du contrat lorsque l’employeur vous a enrôlé sans information, sans avis du comité ou sans alternative, puis a fait pression sur vous. L’arrêt de la cour d’appel de Paris du 7 mai 2025 (décision publiée, RG n° 23/00712) montre l’exigence des juges sur la loyauté de la preuve patronale : la cour y écarte des images de vidéosurveillance obtenues sans information ni consultation du comité et conservées au-delà de la durée de trente jours affichée par l’employeur, avec un constat d’huissier aux dates incohérentes. Transposez ce raisonnement : des pointages, des journaux d’accès ou des photographies issus d’un lecteur biométrique mis en place sans consultation du comité, sans information individuelle ou avec des durées excessives constituent une preuve déloyale que le juge peut écarter. L’employeur qui a triché sur le dispositif ne peut pas ensuite s’en servir pour prouver une faute. Devant le juge, le doute profite au salarié : l’article L1235-1 du code du travail confie au juge l’appréciation du caractère réel et sérieux des motifs, au vu des éléments fournis par les parties. Si votre litige mêle biométrie et un autre contrôle, comme la lecture de vos messages ou votre localisation, les mêmes principes s’appliquent : notre article sur la géolocalisation du véhicule du salarié expose la méthode de contestation des dispositifs de suivi.
La voie pénale protège l’ordre public. L’article 226-16 du code pénal dispose : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » La mise en place d’un traitement biométrique sans respect du cadre, la conservation d’une base centrale d’empreintes sans analyse d’impact ni information, ou le maintien du dispositif malgré une mise en demeure de la CNIL entrent dans ce champ. Vous pouvez déposer plainte, en joignant vos écrits et, le cas échéant, la décision de la CNIL. La plainte pénale n’est pas un moyen de pression : réservez-la aux situations caractérisées, avec des pièces solides, car un dépôt abusif se retourne contre son auteur.
L’effacement et la réparation ferment le dispositif. Demandez par écrit la suppression de votre gabarit et de vos journaux d’accès, la confirmation écrite de cette suppression, et l’information du prestataire pour qu’il supprime ses copies. En cas de refus ou de silence, la CNIL peut l’ordonner et le juge l’assortir d’une astreinte. Devant les prud’hommes ou le tribunal judiciaire, chiffrez votre préjudice : atteinte à la vie privée par la captation d’une donnée corporelle irréversible, anxiété liée à la conservation de vos empreintes dans une base dont vous ignorez la sécurité, perte de chance de cantine ou d’accès dans des conditions normales, sanctions injustifiées avec leurs conséquences sur la carrière et la rémunération. Le Conseil d’État contrôle lui-même strictement ces dispositifs : dans sa décision du 4 novembre 2020 (n° 432656, application de reconnaissance faciale pour l’accès aux services publics), il examine la nécessité, la minimisation des données et le consentement au regard du règlement européen, et dans celle du 26 avril 2022 (n° 442364), il encadre le traitement automatisé des images captées dans l’espace public. Si le juge administratif impose cette rigueur à l’État pour votre visage, le juge judiciaire peut l’imposer à votre employeur pour votre doigt.
En pratique, un dossier solide tient en une chemise : la note de service qui impose le lecteur, votre demande écrite de dossier restée sans réponse complète, la preuve de l’absence d’avis du comité ou d’information individuelle, la description de l’alternative dégradée, vos bulletins et sanctions éventuelles, et la plainte à la CNIL avec son récépissé. Avec cette chemise, vous n’êtes plus le salarié qui refuse le progrès : vous êtes la personne qui demande l’application d’un règlement que l’employeur prétend respecter.
Conclusion
On ne paie pas sa cantine avec son corps quand un badge fait le même travail, et on n’ouvre pas une porte ordinaire avec son visage quand une carte l’ouvre aussi bien. La biométrie au travail n’est ni interdite absolument ni librement imposée : c’est une donnée sensible en principe interdite, que l’employeur ne peut utiliser pour vos accès et votre cantine qu’en respectant le règlement type de la CNIL, avec une analyse d’impact, un comité informé et consulté, une information individuelle préalable, un gabarit stocké sans copie inutile et une alternative non biométrique sans conséquence négative. Quand l’un de ces éléments manque, votre refus écrit, accompagné de la poursuite normale du travail et d’une demande d’effacement, est l’exercice d’un droit, pas une insubordination. Faites-vous remettre le dossier du dispositif avant tout enrôlement, proposez le badge, conservez chaque pièce, saisissez la CNIL en ligne et, en cas de sanction, le conseil de prud’hommes pour la contester et obtenir réparation. Le salarié qui écrit avant de refuser gagne presque toujours contre le dispositif qui n’a jamais été écrit.