Votre employeur vient d’installer une pointeuse à reconnaissance faciale ou un lecteur d’empreintes et vous demande de poser le doigt ou de présenter votre visage matin et soir pour valider vos horaires. Vous vous demandez si vous avez le droit de refuser, si un licenciement ou une retenue sur salaire pourrait suivre, et à qui vous adresser si la machine enregistre déjà vos données. La question est concrète et urgente, car une donnée biométrique ne se change pas comme un badge perdu : votre visage et vos empreintes vous suivent toute votre vie.

La réponse du droit français est tranchée sur un point et nuancée sur un autre. Tranchée pour le pointage des horaires : la Commission nationale de l’informatique et des libertés (CNIL) considère qu’utiliser la biométrie pour contrôler les horaires des salariés est en principe excessif et donc interdit, sauf circonstances exceptionnelles qu’il appartient à l’entreprise de démontrer. Nuancée pour le contrôle d’accès aux locaux, aux applications ou aux outils de travail : la biométrie y est possible, mais uniquement dans le cadre contraignant d’un règlement type de la CNIL, avec une analyse d’impact, une information des représentants du personnel et des garanties techniques précises. Confondre ces deux usages est l’erreur la plus fréquente, côté employeurs comme côté salariés.

Cet article décrit d’abord ce que votre employeur peut et ne peut pas vous imposer, puis la méthode pas à pas pour refuser un dispositif illégal, rassembler les preuves et saisir la CNIL, le conseil de prud’hommes et, le cas échéant, le juge pénal, afin d’obtenir la cessation du dispositif et la réparation de votre préjudice.

I. Ce que votre employeur peut et ne peut pas vous imposer avec vos empreintes et votre visage

Le point de départ est simple : vos empreintes digitales, votre visage, votre iris ou votre voix sont des données sensibles au sens du droit européen. Le règlement (UE) 2016/679 du 27 avril 2016 (RGPD, CELEX:32016R0679) : la CNIL rappelle que le traitement de ces données sensibles est en principe interdit, sauf cas limitativement énumérés. Cette interdiction de principe ne peut être levée que dans des cas limitativement énumérés, dont le consentement explicite ou la nécessité d’exécuter des obligations propres au responsable du traitement. Or, dans la relation de travail, le consentement du salarié n’est presque jamais regardé comme libre, car refuser expose à une sanction : la CNIL et le Comité européen de la protection des données écartent donc systématiquement l’argument du « salarié volontaire » pour justifier une pointeuse biométrique.

À cette protection des données s’ajoute la protection du droit du travail. L’article L1121-1 du Code du travail pose que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». Tout dispositif de contrôle, biométrique ou non, doit passer ce double test de justification et de proportionnalité. Par ailleurs, l’article L1222-4 du Code du travail dispose qu’« Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ». Un boîtier installé sans information écrite préalable est donc contestable dès ce stade, avant même tout débat sur la biométrie. Enfin, l’article L2312-38 du Code du travail prévoit que « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés ». Dans les entreprises dotées d’un comité social et économique, l’absence de consultation préalable fragilise tout le dispositif et toute sanction qui s’appuierait sur ses relevés.

A. Pointer vos horaires à l’empreinte ou au visage : un usage en principe interdit

La position de la CNIL sur le pointage biométrique des horaires est constante depuis plus de dix ans et elle a été confirmée sous l’empire du RGPD : contrôler les heures d’arrivée et de départ par empreinte digitale ou reconnaissance faciale est disproportionné. La CNIL rappelle sur sa page consacrée au contrôle d’accès biométrique la méthode à suivre est simple : dès qu’un badge suffit à suivre les horaires ou que la biométrie ne répond qu’à un besoin de confort, et qu’une solution moins intrusive doit alors être privilégiée. Autrement dit, dès qu’un badge, un code ou un émargement suffit à suivre les horaires, la biométrie doit être écartée. Les arguments habituellement avancés par les fournisseurs — éviter qu’un collègue pointe pour un autre, gagner du temps de paie, fiabiliser les relevés — ne changent pas cette analyse : ils relèvent du confort de gestion, pas d’une nécessité.

Cette interdiction a été sanctionnée en pratique. Dans une délibération SAN-2018-009 du 6 septembre 2018, relatée par la presse juridique, la CNIL a sanctionné d’une amende de 10 000 euros rendue publique une société de télésurveillance qui utilisait un pointage biométrique par reconnaissance des empreintes digitales pour contrôler les horaires des salariés, jugé disproportionné. L’entreprise avait été mise en demeure en juillet 2017 de cesser et de supprimer les données, mais un contrôle de mars 2018 avait révélé que le logiciel conservait les traces de pointage de 2011 à 2018 et que certains salariés continuaient d’être enregistrés. La Commission rappelle à cette occasion que les données biométriques permettent d’identifier un individu à partir de ses caractéristiques physiques ou biologiques et bénéficient d’un régime particulièrement protecteur : la biométrie pour la gestion des horaires est donc exclue en principe, sauf circonstances exceptionnelles fondées sur un impératif spécifique de sécurité que l’entreprise doit démontrer.. La société n’en justifiant d’aucune, la collecte était excessive au regard de sa finalité, et s’y ajoutaient des manquements sur l’information des salariés et la sécurité des données.

Concrètement, si votre employeur vous impose aujourd’hui une pointeuse faciale ou digitale pour enregistrer vos horaires sans démontrer un impératif spécifique de sécurité — par exemple l’accès couplé à une zone à très haute sensibilité où le pointage et le contrôle d’accès ne font qu’un, avec une justification écrite et documentée — le dispositif est contestable. Le fait que vos collègues aient accepté, que vous ayez signé un formulaire ou que le prestataire affirme que les données restent « dans le boîtier » ne suffit pas à le rendre licite. La question déterminante est unique : un moyen moins attentatoire aux libertés permettait-il de suivre les horaires ? Dans l’immense majorité des bureaux, commerces, entrepôts et chantiers, la réponse est oui, et la pointeuse biométrique doit alors être retirée.

Cette analyse rejoint celle applicable aux autres surveillances au travail, décrite dans notre dossier sur le télétravail surveillé par keylogger, captures d’écran ou webcam permanente : contester le dispositif et saisir la CNIL : un outil de contrôle du temps de travail ou de l’activité doit être justifié, proportionné, déclaré aux personnes et aux représentants du personnel, faute de quoi les preuves qu’il produit sont fragiles et l’employeur s’expose à des sanctions.

B. Ouvrir une porte ou déverrouiller un poste par biométrie : un usage possible mais strictement encadré

Il faut distinguer le chronométrage de la journée du verrouillage d’un lieu ou d’un outil. Pour le contrôle d’accès aux espaces, aux applications et aux outils de travail, la biométrie peut être admise, mais uniquement dans le cadre du règlement type biométrie sur les lieux de travail adopté par la CNIL le 10 janvier 2019, qui précise les obligations des employeurs souhaitant recourir aux dispositifs biométriques pour contrôler les accès aux espaces, aux applications et aux outils de travail, et qui revêt un caractère contraignant. La page de la CNIL sur les dispositifs de biométrie au travail rappelle que que leur traitement génère des risques importants pour les droits et les libertés des personnes en cas de compromission de ces données, car une caractéristique biologique est permanente et indissociable de la personne : c’est pourquoi le règlement type impose des garanties renforcées.

Le premier réflexe de l’employeur doit être le test de nécessité décrit par la CNIL sur le contrôle d’accès biométrique : le local, l’application ou l’appareil protégé est-il particulièrement sensible ? Un badge suffit-il ? S’agit-il d’un simple confort ? Si la biométrie est retenue, l’employeur doit privilégier le stockage du gabarit biométrique sous la maîtrise de la personne : support individuel conservé par le salarié (type 1) ou, à défaut, gabarit chiffré illisible sans un secret remis au salarié (type 2). Le stockage centralisé en base sous la seule maîtrise de l’employeur (type 3) n’est admis qu’en dernier recours, lorsque le contexte l’impose réellement. Dans tous les cas, l’employeur doit réaliser une analyse d’impact relative à la protection des données, justifier par écrit le choix des caractéristiques du dispositif et la nécessité du recours à la biométrie, respecter l’ensemble du règlement type et informer ou consulter les instances représentatives du personnel. Le règlement type de la CNIL le traitement biométrique à grande échelle, qui présente par nature un risque élevé pour les droits et libertés.

La reconnaissance faciale appelle une vigilance redoublée. Contrairement à une empreinte posée volontairement sur un lecteur, un visage peut être capté à distance, à l’insu de la personne, et comparé à des bases d’images. C’est l’une des raisons pour lesquelles la CNIL a prononcé le 17 octobre 2022 une sanction de 20 millions d’euros contre la société Clearview AI, qui aspirait des photographies en ligne pour alimenter un moteur de reconnaissance faciale, sans base légale et malgré l’opposition des personnes. Cette affaire, qui ne concernait pas un employeur mais un fournisseur de technologie, illustre le niveau de risque attaché au visage comme identifiant universel et explique pourquoi un employeur ne peut pas déployer une caméra de pointage facial comme il déploierait une badgeuse. Si votre entreprise remplace ses badges par des portiques faciaux sans analyse d’impact, sans information du comité social et économique et sans stockage sous votre maîtrise, chaque étape manquante est un moyen de contestation supplémentaire.

En pratique, retenez cette grille de lecture. On vous demande votre doigt ou votre visage uniquement pour compter vos heures : le dispositif est en principe illicite et vous pouvez le refuser selon la méthode décrite ci-dessous. On vous le demande pour ouvrir un local sensible, avec une note écrite qui justifie la sensibilité, une analyse d’impact, un support individuel et une consultation des élus : le dispositif peut être licite et le refus doit alors être argumenté différemment, par exemple en demandant un moyen alternatif si votre situation l’exige. Dans tous les cas, exigez l’écrit : la note d’information individuelle, l’avis du comité, l’analyse d’impact et le descriptif du stockage du gabarit. Un employeur en règle produit ces documents ; un employeur qui refuse de les communiquer s’affaiblit.

II. Refuser la pointeuse illégale, prouver et obtenir réparation

Refuser une pointeuse biométrique ne consiste pas à cesser de venir travailler ni à bloquer l’entrée du site. La méthode efficace combine un refus écrit et mesuré, une demande d’alternative non biométrique, la conservation des preuves et, si l’employeur persiste, la saisine graduée du délégué à la protection des données, de la CNIL et du conseil de prud’hommes. Chaque étape doit être datée et conservée, car c’est sur vos écrits que le juge appréciera la loyauté de votre comportement et la déloyauté éventuelle du dispositif.

Avant d’agir, identifiez précisément le traitement, les parties et les rôles, comme l’exige toute analyse de conformité : quel appareil capte quoi (empreinte, visage, gabarit), pour quelle finalité affichée (horaires, accès, les deux), qui est responsable du traitement (votre employeur ou la société utilisatrice en cas d’intérim et de sous-traitance), qui est sous-traitant (le fournisseur de la pointeuse, l’hébergeur), où sont stockées les données et combien de temps. Photographiez le boîtier et ses mentions, conservez la note de service, le courriel d’installation, le règlement intérieur et tout formulaire de consentement qu’on vous a fait signer. Notez qui est soumis au dispositif et qui en est exempté : si les cadres pointent par badge et les employés par visage, cette différence alimentera le débat sur la proportionnalité. Cette phase d’identification conditionne tout le reste, car les obligations de l’employeur et vos recours dépendent du rôle de chacun et du contrat en cause, sans se confondre avec les obligations contractuelles de fourniture ou de maintenance du prestataire informatique ni avec les régimes de cybersécurité qui s’appliquent aux incidents de sécurité.

A. Dire non sans commettre de faute : l’écrit, l’alternative et les élus

Le droit du travail protège le salarié qui refuse un ordre illicite, mais il sanctionne l’insubordination et l’abandon de poste. Votre refus doit donc être ciblé : vous continuez d’exécuter votre travail et de respecter les horaires, vous contestez uniquement le moyen biométrique de les enregistrer. Envoyez à votre supérieur hiérarchique et aux ressources humaines un message écrit, sobre et daté, dont vous conservez une copie : vous indiquez que vous avez pris connaissance de l’installation, que vous vous étonnez de l’absence d’information individuelle préalable et de consultation des élus, que vous demandez la note justifiant la nécessité du dispositif, l’analyse d’impact et le descriptif du stockage, et que dans l’attente vous proposez de pointer par tout moyen non biométrique (badge, code, émargement, application horaire existante). Demandez une réponse écrite sous un délai raisonnable, par exemple huit jours. Cette lettre remplit trois fonctions : elle prouve votre loyauté, elle met l’employeur en demeure de justifier son dispositif, et elle crée la trace qui fondera vos recours.

En parallèle, saisissez les relais internes. Si un comité social et économique existe, écrivez à ses membres pour demander s’il a été informé et consulté sur le dispositif, en visant l’article L2312-38 du Code du travail. Si un délégué à la protection des données a été désigné, adressez-lui une demande d’exercice de vos droits : droit d’accès à vos données de pointage, information sur la base légale, la durée de conservation et les destinataires. Le RGPD impose un principe de minimisation, rappelé par la CNIL pour le contrôle d’accès biométrique : dès qu’un badge suffit, la biométrie doit être écartée. Les relevés de pointage doivent donc rester limités au nécessaire conservés au-delà du nécessaire violent manifestement cette exigence. Conservez les réponses, mais aussi les silences : un employeur qui n’informe ni ne consulte, qui ne produit ni analyse d’impact ni justificatif de circonstances exceptionnelles, accumule les indices d’illicéité.

Surtout, ne signez aucun document sous la pression. Un formulaire intitulé « consentement volontaire à la pointeuse biométrique » signé le jour d’une menace de sanction n’est pas un consentement libre au sens du RGPD et ne régularise rien. Ne dégradez pas le boîtier, ne refusez pas de travailler, ne quittez pas le site sans autorisation : ces comportements pourraient fonder une sanction disciplinaire indépendante du débat biométrique et affaiblir votre position prud’homale. Chacun dispose en outre du droit au respect de sa vie privée : l’article 9 du Code civil dispose que « Chacun a droit au respect de sa vie privée », et permet au juge de prescrire toute mesure propre à faire cesser l’atteinte. Si l’employeur vous convoque à un entretien préalable après votre refus, présentez-vous avec vos écrits et, si possible, accompagné d’une personne de votre choix appartenant au personnel, comme l’autorise la procédure disciplinaire : l’article L1332-2 du Code du travail prévoit que « Lors de son audition, le salarié peut se faire assister par une personne de son choix appartenant au personnel de l’entreprise », avec une sanction « motivée et notifiée à l’intéressé » ; rappelez que votre contestation porte sur le moyen de preuve des horaires, non sur l’obligation de respecter les horaires elle-même. À Paris et en Île-de-France, où les sièges et les prestataires sont nombreux, les directions disposent généralement d’un délégué à la protection des données et d’un comité : exigez leurs coordonnées et leurs avis écrits, car le tribunal vérifiera concrètement si ces acteurs ont été associés. La juridiction compétente sera le conseil de prud’hommes du lieu de travail ou du siège, avec des délais de procédure variables selon les sections ; préparez un dossier chronologique avec chaque pièce datée, car la clarté de la chronologie emporte souvent la conviction.

B. Saisir la CNIL et le juge : cessation du dispositif et réparation du préjudice

Si l’employeur maintient la pointeuse malgré votre courrier, le deuxième temps est externe et gradué. D’abord, déposez une plainte auprès de la CNIL en ligne, en joignant vos écrits, les photographies du dispositif, la note de service et l’absence de réponse sur l’analyse d’impact et la consultation des élus. La CNIL peut contrôler sur place ou sur pièces, mettre en demeure de cesser le traitement et de supprimer les données, puis prononcer des mesures correctrices et, en cas de persistance, une sanction pécuniaire publique, comme les 10 000 euros de 2018 ou les 20 millions contre Clearview AI dans un contexte différent mais révélateur de l’échelle des sanctions. La procédure suivie devant la CNIL est décrite pas à pas dans notre guide déposer une plainte CNIL sans réponse, la relancer et la contester : délais, pièces à joindre, articulation avec l’action prud’homale. Une mise en demeure de la CNIL ordonnant de cesser le pointage biométrique et de supprimer les gabarits constitue ensuite une pièce majeure devant le juge du travail.

Ensuite, saisissez le conseil de prud’hommes pour faire constater l’illicéité, obtenir la cessation sous astreinte, l’interdiction d’utiliser les relevés biométriques et la réparation de vos préjudices. Les demandes typiques comprennent des dommages et intérêts pour violation de vos droits et libertés et pour manquement de l’employeur à son obligation de sécurité et de protection de vos données, le rappel des retenues ou sanctions fondées sur les relevés illicites, et, si un licenciement a été prononcé sur ce fondement, sa contestation. L’argument probatoire est central : des relevés issus d’un dispositif non déclaré, non proportionné et non autorisé sont des preuves déloyales dont le salarié peut demander l’écartement. La cour d’appel de Lyon a ainsi examiné le 26 février 2025, dans un litige opposant un chauffeur à son employeur, des griefs fondés sur des données de géolocalisation et de chronotachygraphe dont le salarié contestait la loyauté faute d’information des élus, de la CNIL et des salariés (CA Lyon, chambre sociale A, 26 février 2025, RG 21/04941) : même si l’espèce portait sur la géolocalisation et non sur la biométrie, elle illustre la méthode des juges, qui vérifient l’information préalable, la déclaration et la proportionnalité avant d’admettre une preuve issue d’une surveillance. Depuis l’arrêt du 25 novembre 2020 de l’Assemblée plénière sur la loyauté de la preuve civile, le juge prud’homal met en balance le droit à la preuve de l’employeur et l’atteinte aux droits du salarié : face à une pointeuse faciale des horaires, disproportionnée par nature selon la CNIL, la balance penche nettement en faveur de l’écartement.

Le fondement indemnitaire européen est solide. L’article 82 du règlement (UE) 2016/679 ouvre à toute personne victime d’une violation le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. En droit interne, l’article 1240 du Code civil dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». Vous pouvez donc demander réparation du préjudice moral lié à la captation permanente de votre visage ou de vos empreintes, de l’anxiété liée à la conservation incontrôlée de gabarits, et des préjudices matériels tels que retenues salariales, primes perdues ou licenciement. Le juge apprécie souverainement les montants au vu des pièces : conservez bulletins de paie, plannings, attestations de collègues soumis au même boîtier et tout message de pression. Par ailleurs, l’article 226-21 du Code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait, par toute personne détentrice de données à caractère personnel à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par la disposition législative, l’acte réglementaire ou la décision de la Commission nationale de l’informatique et des libertés autorisant le traitement automatisé, ou par les déclarations préalables à la mise en oeuvre de ce traitement » : utiliser pour le pointage des horaires des gabarits collectés pour l’ouverture des portes illustre typiquement ce détournement. Par ailleurs, l’article 226-16 du Code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi » : un dépôt de plainte peut être envisagé dans les cas les plus graves, notamment lorsque l’employeur persiste après une mise en demeure de la CNIL, sans que la voie pénale soit systématiquement nécessaire.

Pour calibrer vos demandes, distinguez trois couches de préjudices que les juges examinent séparément. La première est l’atteinte à vos droits et libertés — captation et conservation de données sensibles sans nécessité — qui ouvre droit à des dommages et intérêts même sans perte salariale, dès lors que la violation est établie. La deuxième regroupe les conséquences professionnelles directes : mises à pied, avertissements, retenues, refus de congés ou licenciement fondés sur les relevés biométriques, dont vous demanderez l’annulation et le remboursement avec intérêts. La troisième est le préjudice moral spécifique à la biométrie : contrairement à un mot de passe, un gabarit facial ou digital compromis ne se révoque pas, et cette irréversibilité justifie une indemnisation propre, que vous documenterez par la durée d’exposition, le nombre de personnes concernées et l’absence de garanties de stockage. Présentez ces trois postes séparément avec leurs pièces plutôt qu’en une somme globale : les juridictions motivent poste par poste et une ventilation claire augmente vos chances d’obtenir une réparation complète.

En conclusion, une pointeuse à reconnaissance faciale ou à empreintes qui enregistre vos horaires est en principe interdite et doit être refusée par écrit avec proposition d’alternative, puis contestée devant la CNIL et le conseil de prud’hommes si l’employeur persiste. Un contrôle d’accès biométrique à des locaux sensibles peut être admis, mais uniquement avec une justification documentée, une analyse d’impact, une information des personnes et des élus, et un stockage sous votre maîtrise. Dans les deux cas, l’écrit fait le dossier : demandez les documents, conservez les réponses et les silences, et faites écarter toute preuve issue d’un dispositif déloyal. C’est cette méthode, plus que l’indignation, qui fait cesser les dispositifs et réparer les préjudices.