Pourquoi la biométrie n'est pas un badge plus moderne
Un badge se perd, se prête, se remplace. Une empreinte digitale, non : elle est attachée à la personne pour la vie, et une base de gabarits compromise ne se révoque pas. C'est cette irréversibilité, et non un principe de précaution abstrait, qui fonde le régime juridique particulier des données biométriques.
L'article 9 du RGPD classe les données biométriques destinées à identifier une personne parmi les catégories particulières, dont le traitement est interdit par principe. En France, le législateur a ajouté une couche : l'article 9 de la loi Informatique et Libertés confie à la CNIL le pouvoir d'encadrer ces traitements par règlement type, et le règlement type relatif au contrôle d'accès biométrique sur les lieux de travail s'impose à tout employeur.
La conséquence pratique est nette : un employeur ne peut pas fonder un dispositif biométrique sur le consentement de ses salariés. Le lien de subordination rend ce consentement non libre, donc invalide. Il doit s'appuyer sur un autre fondement et, surtout, démontrer par écrit que le badge, le code, le badge mobile ou une combinaison de ces moyens ne permettent pas d'atteindre le niveau de sécurité requis. Cette démonstration est le cœur du dossier ; c'est aussi ce qui fait échouer la majorité des projets que l'on nous soumet.
Le principe du gabarit sur support individuel
Le règlement type distingue trois modes de conservation du gabarit, par ordre de préférence décroissante. Le premier est le seul qui n'exige pas de justification renforcée.
Support individuel détenu par la personne. Le gabarit est stocké dans la carte à puce que le salarié conserve. Aucune base centrale n'existe. Le lecteur compare l'empreinte présentée au gabarit lu sur la carte, et la comparaison se fait localement. Si le salarié part, il emporte son gabarit ; si la carte est détruite, la donnée disparaît. C'est le schéma que nous déployons par défaut, et celui qui rend le dossier de conformité tenable.
Base centralisée chiffrée avec secret partagé. Le gabarit est réparti entre une base et un élément détenu par la personne, si bien qu'aucun des deux ne suffit. Cette option se justifie quand le support individuel est impraticable, ce qui reste rare.
Base centralisée complète. Le plus commode techniquement, et de loin le plus difficile à défendre. Il faut établir qu'aucun autre mode n'est possible compte tenu du contexte, et documenter des mesures de sécurité renforcées. Nous ne le proposons pratiquement jamais.
Les technologies et leurs limites réelles
Les chiffres annoncés en laboratoire ne se retrouvent pas sur un site industriel à 6 h du matin, avec des mains froides et sales. Voici des ordres de grandeur observés en exploitation.
| Technologie | Faux rejet en exploitation | Contrainte principale | Statut juridique |
|---|---|---|---|
| Empreinte digitale optique | 3 à 8 % selon le métier | Mains abîmées, sèches, humides ou salies : le taux grimpe fortement en atelier | Cadre du règlement type, gabarit sur support |
| Empreinte capacitive | 2 à 5 % | Meilleure tolérance, sensible aux doigts très secs et au froid | Identique |
| Réseau veineux du doigt ou de la paume | moins de 1 % | Lecteur plus coûteux, encombrement supérieur, sans contact | Identique, souvent mieux accepté socialement |
| Contour de la main | 1 à 3 % | Lecteur volumineux, technologie vieillissante | Identique |
| Reconnaissance faciale | variable, très sensible à l'éclairage | Fonctionne à distance et sans geste volontaire, ce qui est précisément le problème | Hors du champ du règlement type dans l'immense majorité des cas |
↔ Faites défiler le tableau pour consulter toutes les colonnes.
Le faux rejet est le vrai sujet d'exploitation, pas la fausse acceptation. Un taux de fausse acceptation d'un sur un million rassure sur le plan de la sûreté. Mais avec 4 % de faux rejet et 200 passages quotidiens, ce sont huit personnes par jour qui doivent recommencer, et une file qui se forme devant le tourniquet à 8 h. C'est pour cette raison que nous prévoyons toujours un moyen d'accès de repli — badge ou code — et que nous mesurons le taux réel pendant les deux premières semaines.
Reconnaissance faciale : la ligne à ne pas franchir
C'est la demande qui revient le plus souvent, et la réponse est presque toujours négative en contexte professionnel courant. Deux raisons s'additionnent.
D'abord, la reconnaissance faciale fonctionne sans geste volontaire. Une personne qui pose son doigt sur un lecteur exprime une action ; une caméra qui analyse un visage capte tous ceux qui passent, y compris des tiers qui n'ont rien demandé. Le caractère non intrusif vanté par les fournisseurs est justement ce qui rend le dispositif juridiquement fragile.
Ensuite, le règlement type de la CNIL a été construit autour de dispositifs à contact ou à présentation volontaire, avec gabarit sur support individuel. Une installation de reconnaissance faciale d'accès en entreprise se place donc hors de ce cadre et devrait trouver un fondement juridique propre, ce qui n'existe pas pour un usage de confort. Le règlement européen sur l'intelligence artificielle est venu resserrer davantage les usages d'identification biométrique.
Nous ne déployons pas de reconnaissance faciale d'accès, et nous vous le dirons si un fournisseur vous la présente comme une simple option de catalogue. Le même raisonnement vaut côté image : notre pôle vidéo le détaille sur la page conformité RGPD et CNIL.
Ce qui reste possible
La vérification d'identité en mode un contre un sur un support détenu par la personne, dans un local fermé, sur une population restreinte et volontaire, avec gabarit non centralisé. Autrement dit, un usage très éloigné du portique d'entrée filmant tout le hall.
Ce qui ne l'est pas
L'identification en mode un contre N à partir d'une base de visages, la détection de présence à distance, le contrôle des horaires par reconnaissance du visage, et tout dispositif appliqué sans alternative à l'ensemble du personnel.
Les trois cas où nous disons oui
Ils ont un point commun : la conséquence d'une intrusion y est hors de proportion avec le coût du dispositif, et le nombre de personnes concernées est faible.
Salle serveurs et local de brassage sensible
Une poignée d'administrateurs, une porte unique, un enjeu de continuité d'activité et de confidentialité majeur. La biométrie y joue en second facteur, derrière le badge, et jamais seule. C'est l'usage que nous rencontrons le plus souvent sur les projets de salle serveurs.
Laboratoire, pharmacie centrale, stockage de produits réglementés
Stupéfiants, substances classées, échantillons de valeur, zones à obligation de traçabilité nominative. Un cadre réglementaire sectoriel vient souvent renforcer la démonstration de nécessité, ce qui rend le dossier CNIL nettement plus solide.
Chambre forte, réserve de valeurs, coffre
Bijouterie, salle des coffres, réserve de métaux précieux, dépôt de produits à forte valeur de revente. La biométrie y sert surtout à empêcher qu'un badge volé sous la contrainte suffise à ouvrir, ce qu'un code partagé ne garantit pas.
Dans les autres cas — et ils représentent l'essentiel des demandes — nous proposons une alternative qui atteint le même objectif sans traitement biométrique. Le badge chiffré associé à un code au clavier constitue déjà une authentification à deux facteurs. L'identifiant mobile exigeant le déverrouillage du téléphone avant présentation en constitue une autre, plus fluide. L'anti-passback empêche le prêt de badge sur un tourniquet. La vidéo associée à l'événement d'accès lève le doute sur l'identité du porteur sans constituer de gabarit.
Un dossier de biométrie complet suppose une analyse d'impact relative à la protection des données, une note de nécessité argumentée, l'information des personnes concernées, la consultation du comité social et économique, l'inscription au registre des traitements, une politique de conservation et une procédure de suppression des gabarits. Compter quatre à huit semaines de travail documentaire, à mettre en balance avec le gain réel attendu. Quand nous chiffrons les deux scénarios côte à côte, l'alternative l'emporte dans huit dossiers sur dix.
Questions fréquentes
La biométrie est-elle autorisée pour pointer les heures des salariés ?
Non. La CNIL s'est prononcée à de multiples reprises : utiliser une empreinte ou un réseau veineux pour contrôler les horaires est disproportionné, parce qu'un badge, un code ou une application atteignent le même résultat sans traiter de données biométriques. Le règlement type encadre le contrôle d'accès aux locaux, pas la gestion des temps. Des entreprises ont été sanctionnées sur ce fondement précis, y compris lorsque les salariés avaient signé un formulaire de consentement.
Faut-il une autorisation préalable de la CNIL pour installer un lecteur biométrique ?
Non, le régime d'autorisation préalable a disparu avec le RGPD. Mais cette suppression ne signifie pas liberté : vous devez être en mesure de démontrer à tout moment que votre dispositif respecte le règlement type, ce qui suppose une analyse d'impact réalisée avant la mise en service, une note de nécessité, et l'ensemble des mesures prévues. En cas de contrôle, l'absence de ces documents est en elle-même un manquement, indépendamment de la qualité technique de l'installation.
Le gabarit d'empreinte permet-il de reconstituer mon doigt ?
Un gabarit n'est pas une image : c'est un ensemble de points caractéristiques transformés par un algorithme propriétaire. La reconstitution d'une empreinte exploitable à partir d'un gabarit est difficile, mais des travaux académiques ont montré qu'elle n'est pas impossible selon les formats. C'est précisément pourquoi le règlement type privilégie le stockage sur support individuel : le meilleur moyen de protéger une base de gabarits reste de ne pas en constituer.
Que faire des salariés dont l'empreinte n'est pas lisible ?
Ils existent, et ils représentent 1 à 3 % d'un effectif : peau très sèche, cicatrices, certaines professions manuelles, effets de traitements médicaux. Le dispositif doit prévoir une alternative dès la conception, sans que la personne ait à justifier sa situation, ce qui reviendrait à révéler une donnée de santé. Nous ouvrons donc systématiquement un second moyen d'accès, badge ou code, accessible à tous et présenté comme un choix, pas comme une dérogation.