Votre employeur installe une pointeuse qui lit votre empreinte digitale, ou remplace les badges d’accès par un lecteur biométrique, et vous demande de poser le doigt. Pouvez-vous refuser ? Que risque l’entreprise si le dispositif est irrégulier ? Et comment faire écarter, devant le conseil de prud’hommes, un licenciement fondé sur des données ainsi collectées ? La réponse tient en une formule : vos empreintes sont des données biométriques, c’est-à-dire des données sensibles dont le traitement est en principe interdit, et le faisceau d’obligations qui pèse sur l’employeur est l’un des plus stricts du droit du travail et du règlement européen sur la protection des données. Cet article décrit d’abord ce que l’employeur peut et ne peut pas imposer, puis les recours concrets du salarié : contestation écrite, plainte devant la CNIL, action devant le juge et réparation.
I. Une empreinte imposée au travail : un traitement interdit sauf exception étroite
A. Des données sensibles que l’employeur ne peut collecter qu’à des conditions cumulatives
La CNIL définit la biométrie comme l’ensemble des techniques informatiques qui reconnaissent automatiquement un individu à partir de ses caractéristiques physiques, biologiques ou comportementales, par exemple l’empreinte digitale, l’iris, la voix, le visage ou la démarche. Concrètement, le contrôle par empreinte enregistre un gabarit de référence, construit à partir de l’image du doigt en ne retenant que les points distinctifs des sillons, puis compare ce gabarit au doigt posé sur le lecteur à chaque contrôle (CNIL, Le contrôle d’accès biométrique sur les lieux de travail). La même page souligne ce qui distingue ces données de toutes les autres : contrairement à un badge ou à un mot de passe, nul ne peut se défaire de sa caractéristique biométrique ni la modifier, de sorte qu’un mauvais usage ou un détournement de cette donnée expose la personne à des conséquences graves pour ses droits et libertés.
Cette nature particulière explique le verrou du règlement européen du 27 avril 2016 : le traitement des données biométriques destinées à identifier une personne de manière unique y est interdit par principe, et cette interdiction n’est levée que dans des hypothèses limitativement énumérées. Trois d’entre elles concernent le monde du travail : le consentement explicite de la personne pour des finalités spécifiques ; la nécessité du traitement pour exécuter des obligations ou exercer des droits en matière de droit du travail, mais seulement lorsque ce traitement est autorisé par le droit de l’Union, par le droit national ou par une convention collective prévoyant des garanties appropriées ; et la nécessité du traitement pour la constatation, l’exercice ou la défense d’un droit en justice (CNIL, Le contrôle d’accès biométrique sur les lieux de travail).
En pratique, le consentement du salarié ne constitue presque jamais une base valable. La CNIL explique que le consentement n’est valable que s’il est donné librement, de manière spécifique et éclairée, mais que le lien hiérarchique crée de fait un déséquilibre qui affecte le caractère libre du consentement, de sorte que le consentement ne peut que très rarement fonder un traitement de données sur le lieu de travail. Le règlement européen éclaire cette position : le consentement ne vaut pas fondement valable lorsqu’il existe un déséquilibre manifeste entre la personne et le responsable du traitement (CNIL, Question-réponses sur le règlement type biométrie). Signer un formulaire d’accord sous la pression d’une note de service ne vaut donc pas autorisation : l’employeur doit démontrer une autre base, et d’abord la nécessité réelle du dispositif.
C’est ici qu’intervient le règlement type consacré à la biométrie sur les lieux de travail, publié par la CNIL le 28 mars 2019, qui encadre les traitements de données biométriques servant au contrôle des accès aux locaux, aux applications et aux outils de travail, et qui s’impose aux organismes concernés. Son champ est précis : il vise toute utilisation de données biométriques imposée par un employeur de droit public ou de droit privé à son personnel entendu au sens large, pour contrôler ces accès, tandis qu’il ne couvre pas les traitements qui poursuivent une autre finalité que le contrôle des accès (CNIL, Question-réponses sur le règlement type biométrie). Une pointeuse horaire qui enregistre vos allées et venues poursuit une finalité de contrôle du temps de travail, distincte du contrôle d’accès : aucun règlement type ne sécurise cet usage, et l’employeur qui l’impose doit établir, sans filet, une exception à l’interdiction de principe et une nécessité stricte.
La CNIL impose ensuite une démarche en trois temps. Premièrement, vérifier que le traitement est nécessaire : si un simple système de badge suffit, la réponse est négative ; s’il ne répond qu’à un besoin de confort, la réponse est négative ; si les locaux, les applications ou les appareils protégés ne présentent pas une sensibilité particulière, la réponse est négative, et une solution moins intrusive doit alors être privilégiée. L’employeur doit justifier d’un contexte spécifique exigeant un niveau de protection élevé, par exemple la manipulation de machines ou de produits dangereux, l’accès à des fonds ou à des objets de valeur, ou à des matériels soumis à une réglementation particulière, et démontrer l’insuffisance des alternatives. Deuxièmement, garantir la maîtrise du gabarit par la personne : stockage sous maîtrise exclusive de la personne sur support individuel en priorité, à défaut stockage sous maîtrise partagée adossé à un secret confié à la personne, et seulement en dernier recours stockage sous maîtrise exclusive de l’employeur. Troisièmement, documenter : réaliser une analyse d’impact sur la protection des données avant le traitement dès lors que celui-ci est susceptible d’engendrer un risque élevé pour les droits et libertés, justifier les choix techniques et respecter l’ensemble des dispositions du règlement type (CNIL, Le contrôle d’accès biométrique sur les lieux de travail).
Le droit du travail ajoute sa propre limite, transversale à tous les dispositifs de contrôle : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché » (article L1121-1 du code du travail). Une pointeuse à empreinte généralisée à l’ensemble du personnel, y compris pour des postes sans enjeu de sécurité, échoue presque toujours à ce double test de justification et de proportionnalité, parce qu’un badge ou un code suffit à décompter le temps de présence.
B. Informer chaque salarié et consulter le CSE : des préalables dont l’oubli vicie la preuve
Avant toute mise en service, l’employeur doit informer individuellement chaque salarié : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance » (article L1222-4 du code du travail). Pour les dispositifs qui touchent à l’évaluation, le code exige que « Le salarié est expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d’évaluation professionnelles mises en oeuvre à son égard », que « Les résultats obtenus sont confidentiels » et que les méthodes « doivent être pertinentes au regard de la finalité poursuivie » (article L1222-3 du code du travail). Une note affichée dans le hall après l’installation des lecteurs, ou une information donnée le jour même de l’enrôlement des empreintes, ne satisfait pas l’exigence d’antériorité : l’information doit précéder la collecte.
En parallèle, les représentants du personnel doivent être associés. « Le comité social et économique est informé, préalablement à leur utilisation, sur les méthodes ou techniques d’aide au recrutement des candidats à un emploi ainsi que sur toute modification de celles-ci », « Il est aussi informé, préalablement à leur introduction dans l’entreprise, sur les traitements automatisés de gestion du personnel et sur toute modification de ceux-ci », et « Le comité est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés » (article L2312-38 du code du travail). La cour d’appel d’Orléans l’a rappelé le 16 septembre 2025 dans une affaire de surveillance des salariés : la surveillance opérée par l’employeur doit faire l’objet d’une information individuelle des salariés, complétée par une information et une consultation du comité social et économique, en visant les articles L1222-3, L1222-4, L2312-37 et L2312-38 du code du travail (cour d’appel d’Orléans, chambre sociale, 16 septembre 2025, RG n° 24/01440). La même décision reprend la solution rendue par la chambre sociale le 6 septembre 2023 (pourvoi n° 22-13.783) à propos d’un dispositif dit du client mystère : un procédé de contrôle n’ayant pas donné lieu à information individuelle du salarié produit un moyen de preuve illicite. Ces exigences s’ajoutent à celles du règlement européen et de la loi Informatique et Libertés : tenir un registre des traitements, désigner un délégué à la protection des données lorsque c’est requis, notifier les violations de données, et respecter l’ensemble des règles applicables, comme le rappelle la CNIL à propos des autres obligations de l’employeur (CNIL, Question-réponses sur le règlement type biométrie).
L’oubli de l’une de ces étapes ne se répare pas après coup. Depuis l’entrée en application du règlement européen le 25 mai 2018, la logique d’autorisation préalable a disparu au profit d’une logique de responsabilisation : l’employeur ne demande plus un tampon à la CNIL, il doit démontrer lui-même, pièces à l’appui, que chaque condition était remplie avant le premier doigt posé sur le lecteur (CNIL, Le contrôle d’accès biométrique sur les lieux de travail). En miroir, le salarié n’a plus à guetter un récépissé de déclaration : il peut exiger la démonstration complète — base juridique autre que son prétendu consentement, test de nécessité documenté, analyse d’impact, information individuelle préalable, avis du comité social et économique — et l’absence d’une seule pièce fragilise tout l’édifice, y compris devant le juge prud’homal. C’est ce raisonnement qu’illustre l’affaire Klesia, examinée ci-après : un système de badgeage pourtant déclaré pour contrôler les accès a vu les données qu’il produisait écartées des débats parce qu’elles avaient été détournées vers le contrôle des horaires sans information ni base propre.
II. Contester le dispositif, saisir la CNIL et faire juger le litige
A. La contestation pas à pas : écrits, droits d’accès et d’effacement, plainte et action en justice
Face à une pointeuse biométrique ou à un lecteur d’empreinte imposé sans explication, la première règle est d’écrire. Demandez par écrit à votre employeur la base juridique du traitement, le document qui établit sa nécessité au regard d’alternatives moins intrusives, l’analyse d’impact, la date de votre information individuelle et celle de la consultation du comité social et économique, ainsi que l’identité du délégué à la protection des données. Adressez une copie de cette demande au comité social et économique et, s’il existe, au délégué. Ces courriers serviront deux objectifs : contraindre l’employeur à produire ses justifications et constituer, si le litige s’envenime, la preuve datée de votre contestation. Conservez parallèlement tout ce qui décrit le dispositif : photographies des lecteurs et des affichages, notes de service, captures des plannings de pointage, échanges de courriels, noms des collègues enrôlés dans les mêmes conditions. Comme pour les autres dispositifs de surveillance au travail, tels que la géolocalisation des véhicules de service ou les logiciels de surveillance du télétravail, la chronologie écrite fait souvent la différence entre une affirmation et une preuve.
Exercez ensuite les droits que le règlement européen vous confère directement contre l’employeur. Toute personne peut obtenir confirmation que des données la concernant sont traitées et, dans ce cas, y accéder, avec leurs finalités, leurs catégories, leurs destinataires et, lorsque c’est possible, leur durée de conservation. Vous pouvez obtenir sans tarder l’effacement de vos données, notamment lorsqu’elles ne sont plus nécessaires au regard des finalités de collecte, lorsque vous retirez un consentement sans autre fondement, ou en cas de traitement illicite. Et vous pouvez vous opposer à tout moment, pour des raisons tenant à votre situation particulière, à un traitement fondé sur la mission d’intérêt public ou sur les intérêts légitimes du responsable, l’employeur ne pouvant passer outre qu’en démontrant des motifs légitimes et impérieux qui prévalent sur vos intérêts et libertés, ou pour la défense d’un droit en justice (CNIL, Respecter les droits des personnes). Formulez ces demandes par lettre recommandée ou par tout moyen conférant date certaine, en visant expressément les droits invoqués : en cas de silence ou de refus, ce courrier fondera la saisine de la CNIL et, le cas échéant, du juge.
La plainte devant la CNIL constitue la voie administrative naturelle. Toute personne qui estime qu’un traitement de données la concernant viole le règlement européen peut introduire une réclamation auprès de l’autorité de contrôle, en particulier dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation, sans préjudice de tout autre recours. La réclamation se dépose en ligne auprès de la CNIL, avec la chronologie des faits et les pièces conservées : courriers à l’employeur, réponses ou silences, description du dispositif, date d’enrôlement, suites disciplinaires éventuelles. L’autorité informe ensuite l’auteur de la réclamation de l’état d’avancement et de son issue (CNIL, besoin d’aide et questions-réponses). Cette voie n’exclut pas le juge : chaque personne dont les droits conférés par le règlement ont été violés par un traitement illicite dispose d’un recours juridictionnel effectif contre le responsable du traitement. Pour les salariés d’Île-de-France, ce double niveau se décline simplement : la plainte se fait en ligne quel que soit le département de travail, et le litige individuel — contestation d’une sanction, d’un licenciement ou d’une modification des conditions de travail liée au dispositif — relève du conseil de prud’hommes, sans préjudice des demandes indemnitaires fondées sur le règlement examinées au B ci-dessous. Les pièces à réunir sont les mêmes à Paris, Nanterre, Bobigny ou Créteil : contrat de travail, règlement intérieur, notes de service sur le pointage, échanges avec l’employeur et le comité social et économique, données de pointage communiquées ou refusées, et tout élément montrant qu’un badge ou un code suffisait à la tâche.
Un mot, enfin, sur l’attitude à tenir face à l’injonction de poser le doigt. Aucun texte applicable au présent article n’accorde au salarié un droit général de désobéissance sans risque disciplinaire, et un refus sec, non motivé et non écrit, expose à une sanction pour insubordination. La voie sûre consiste à subordonner votre coopération à des réserves écrites expresses — en indiquant que vous vous enrôlez sous réserve de vos droits, sans reconnaître la régularité du dispositif, et en demandant les justifications listées plus haut — puis à exercer sans attendre les droits d’accès, d’effacement et d’opposition et à saisir les représentants du personnel, le délégué à la protection des données et la CNIL. C’est cette contestation écrite, datée et motivée qui, si l’employeur persiste ou sanctionne, transformera un rapport de force en dossier juridique.
B. Preuve écartée aux prud’hommes, sanctions et réparation : ce que jugent les tribunaux
Le contentieux prud’homal des dispositifs de contrôle suit désormais une grammaire stable, illustrée de manière éclatante par l’affaire dite Klesia. L’employeur avait rapproché les données d’un système de badgeage, dont la seule finalité déclarée et présentée au comité d’entreprise était le contrôle des accès aux locaux et aux parkings, avec celles du logiciel de contrôle du temps de travail et les adresses IP des postes, pour établir une fraude aux horaires et licencier une salariée. La chambre sociale a cassé le 8 mars 2023, aux visas des règles alors applicables sur la loyauté et les finalités des traitements, de l’article L1222-4 du code du travail et de la Convention européenne des droits de l’homme : un traitement ne peut porter que sur des données collectées de manière loyale, pour des finalités déterminées et explicites ; et aucune information personnelle ne peut être collectée par un dispositif non porté préalablement à la connaissance du salarié. Surtout, la Cour a posé la méthode qui s’impose depuis au juge du fond : l’illicéité du moyen de preuve n’entraîne pas mécaniquement son rejet, mais le juge doit vérifier si la preuve était indispensable à l’exercice du droit à la preuve et si l’atteinte portée aux droits de la personne était strictement proportionnée au but poursuivi. Sur renvoi, la cour d’appel de Paris a appliqué ce test pas à pas : rapprochement de fichiers détourné de sa finalité, absence de déclaration et d’information préalable, preuve non indispensable car les anomalies ne pouvaient se révéler que par la combinaison contestée, et atteinte disproportionnée. Elle a confirmé que le licenciement était dépourvu de cause réelle et sérieuse (cour d’appel de Paris, pôle 6, chambre 8, 28 mars 2024, RG n° 23/03648).
Transposez ce raisonnement à la pointeuse biométrique. Des relevés d’empreintes collectés pour contrôler l’accès, puis réutilisés pour vérifier les horaires sans information ni base propre, cumulent le détournement de finalité et le défaut d’information préalable : comme le système de badgeage de l’affaire Klesia, ils fournissent un moyen de preuve illicite. Des gabarits enrôlés sans démonstration de nécessité, sans analyse d’impact et sans consultation du comité social et économique violent en outre les conditions propres aux données sensibles. L’employeur devra alors convaincre le juge que ces éléments étaient indispensables à son droit à la preuve et que l’atteinte était strictement proportionnée — démonstration redoutable lorsque des pointages par badge, des plannings et des témoignages permettaient d’établir les mêmes faits sans toucher à des données corporelles permanentes. À l’inverse, le salarié contestera utilement en exigeant la production, pièce par pièce, de la base juridique, du test de nécessité, de l’analyse d’impact, de l’information individuelle et de l’avis du comité.
La Cour de cassation confirme par ailleurs que tout dispositif de contrôle produit des données personnelles soumises au règlement européen, et que leur exploitation en justice se juge à l’aune de ses principes. Le 21 mai 2025, la chambre sociale a jugé que « l’utilisation de constats et attestations réalisés à partir de la captation et du visionnage des images issues du système de vidéoprotection de l’aéroport constitue un traitement de données à caractère personnel », avant d’approuver la cour d’appel qui avait déclaré ces moyens de preuve recevables au regard des principes de licéité et de minimisation du règlement (Cour de cassation, chambre sociale, 21 mai 2025, pourvoi n° 22-19.925). L’enseignement vaut pour la biométrie : le juge n’écarte ni n’admet automatiquement ; il contrôle la licéité au regard des principes de traitement loyal, de finalités déterminées et de données limitées au nécessaire, puis l’existence d’une base juridique. Un dispositif biométrique qui échoue dès le stade de l’interdiction de principe et du test de nécessité franchit rarement, en pratique, les étapes suivantes.
Restent les sanctions et la réparation. Sur le plan administratif, les violations des principes de base du traitement et des règles du consentement exposent à des amendes administratives effectives, proportionnées et dissuasives, dont le plafond atteint, pour les manquements les plus graves, vingt millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial (CNIL, le contrôle et les sanctions). Sur le plan pénal, « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-16 du code pénal). Sur le plan civil, toute personne qui subit un dommage matériel ou moral du fait d’une violation du règlement européen peut en obtenir réparation auprès du responsable du traitement, celui-ci ne s’exonérant qu’en prouvant que le fait dommageable ne lui est nullement imputable (CNIL, le contrôle et les sanctions). Devant le juge prud’homal, la sanction du vice se traduit comme dans l’affaire Klesia : sans preuve recevable établissant la faute, le licenciement est dépourvu de cause réelle et sérieuse, avec les conséquences indemnitaires attachées à cette qualification, outre la réparation propre du préjudice né de l’atteinte aux données. Pour un salarié francilien, l’ensemble de ces voies — courrier de contestation, exercice des droits, plainte en ligne devant la CNIL, saisine du conseil de prud’hommes du lieu de travail — se mène avec le même dossier : celui qui démontre, pièces à l’appui, qu’un badge suffisait, que personne n’a été informé avant l’enrôlement, et que le comité n’a jamais été consulté.
En conclusion, la pointeuse biométrique n’est pas un simple modernisme du pointage : c’est un traitement de données sensibles interdit par principe, que ni un formulaire de consentement arraché au salarié ni une note de service ne suffisent à autoriser. L’employeur qui veut y recourir, fût-ce pour le seul contrôle d’accès, doit justifier par écrit qu’aucune solution moins intrusive ne suffit, privilégier le support individuel du gabarit, réaliser une analyse d’impact, informer chaque salarié avant toute collecte et consulter le comité social et économique ; pour le contrôle des horaires, aucun règlement type ne lui offre de cadre, et la démonstration exigée est plus sévère encore. À défaut, le salarié dispose d’un arsenal gradué et cumulable : réserves écrites, droits d’accès, d’effacement et d’opposition, plainte devant la CNIL, action devant le juge, et contestation de toute sanction assise sur des données détournées de leur finalité. L’affaire Klesia montre où mène l’improvisation : à un licenciement jugé sans cause réelle et sérieuse, faute de preuve recevable.