Empreintes digitales pour l'enregistrement des présences : est-ce autorisé par le RGPD ?

Données biométriques : la catégorie la plus stricte

Les empreintes digitales sont des données biométriques. Sous le RGPD, elles relèvent des “catégories particulières de données à caractère personnel”, aux côtés des données de santé, des convictions religieuses et de l’origine ethnique. Le traitement de ces données est interdit, sauf si une exception spécifique s’applique.

Le seuil pour utiliser des empreintes digitales pour quelque chose d’aussi courant que l’enregistrement des présences est donc extrêmement élevé.

Pourquoi le consentement ne fonctionne généralement pas

L’exception la plus évidente est le “consentement explicite”. Mais dans une relation de travail, le consentement est problématique. Le RGPD exige que le consentement soit donné librement, ce qui signifie que la personne doit pouvoir refuser sans conséquences négatives.

Dans une relation employeur-employé, cette liberté existe rarement. Un employé qui refuse de fournir ses empreintes digitales peut craindre des conséquences pour sa position. Les autorités de contrôle de plusieurs pays de l’UE ont jugé que le consentement en contexte professionnel n’est pas une base valable pour le traitement biométrique.

Jurisprudence

Aux Pays-Bas, le tribunal d’Amsterdam a jugé en 2019 qu’un employeur ne pouvait pas imposer un système d’empreintes digitales pour le suivi du temps. Le tribunal a estimé que des alternatives moins intrusives existaient (badges, codes PIN) et que le traitement biométrique n’était pas proportionnel.

Ce jugement pose un principe clair : si une alternative atteint le même objectif sans données biométriques, le scan d’empreintes n’est pas autorisé.

Quand cela peut être autorisé

Il existe des situations où le contrôle d’accès biométrique peut être justifié :

• Environnements de haute sécurité - centres de données, laboratoires, installations militaires
• Exigences légales - lorsque la législation impose l’identification biométrique
• Sécurité essentielle - lorsqu’aucune alternative n’offre un niveau de sécurité comparable

Même dans ces cas, une analyse d’impact relative à la protection des données (AIPD) est obligatoire, et vous devez démontrer que le traitement est nécessaire et proportionnel.

Alternatives efficaces

Pour la grande majorité des entreprises, des alternatives suffisantes existent :

• Badges ou cartes d’accès - simples, abordables et respectueux de la vie privée
• Codes PIN - aucune donnée biométrique impliquée
• Systèmes de pointage numériques - connexion via une application ou un ordinateur
• Combinaisons - badge plus code PIN pour plus de sécurité

Ces alternatives atteignent le même objectif sans les risques juridiques du traitement biométrique.

Et si vous utilisez déjà un système d’empreintes ?

Si vous utilisez déjà un système biométrique pour le suivi du temps, évaluez si vous disposez d’une base juridique valable. Si ce n’est pas le cas, passez à une alternative. Supprimez les données biométriques stockées et documentez le changement.