Accès biométrique au travail

Un lecteur d'empreintes à la porte d'un bureau monégasque n'a rien d'exotique. Le dossier qui explique pourquoi il est là manque presque toujours. En mars 2026, l'APDP — l'Autorité de Protection des Données Personnelles — a publié une fiche sur le contrôle d'accès biométrique aux locaux professionnels, remarquablement précise sur ce qui est admis, ce qui est interdit et ce qui doit être écrit avant qu'un doigt ne se pose sur un capteur.

Si votre entreprise utilise l'empreinte, la reconnaissance faciale, le contour de la main ou la voix pour filtrer l'accès, c'est ce texte qui servira de référence. En résumé : la biométrie à la porte peut être licite, celle de la pointeuse jamais, et la plupart des installations n'ont pas la documentation requise.

Deux finalités admises, pas une de plus

En vertu de l'article 7 de la loi n° 1.565 du 3 décembre 2024, un employeur ne peut traiter des données biométriques que si cela est strictement nécessaire au contrôle de l'accès aux lieux de travail ainsi qu'aux appareils et applications professionnels. L'APDP resserre encore le cadre et n'admet ces dispositifs que pour deux impératifs de sécurité : contrôler l'accès à des locaux identifiés par le responsable de traitement comme à circulation restreinte et, le cas échéant, permettre la réunion de preuves en cas d'infraction.

Ces deux finalités sont qualifiées d'exhaustives. Tout autre usage — assiduité, horaires, contrôle disciplinaire — est strictement interdit. Cette phrase disqualifie une bonne part du matériel vendu comme solution « accès + gestion des temps ». L'appareil sait faire les deux. Vous n'en pouvez utiliser qu'un.

La gestion des horaires reste possible, mais sans le corps

Rien ne vous empêche de savoir qui arrive à quelle heure. La fiche de l'APDP sur la surveillance au travail traite le badge comme un moyen ordinaire de gérer entrées, sorties et heures de présence, les horodatages n'étant en principe pas conservés au-delà de trois mois sauf justification sectorielle documentée.

La correction consiste donc à découpler, non à renoncer : badge ou code pour les horaires, biométrie — si elle est justifiable — réservée aux deux ou trois portes qui exigent réellement une circulation restreinte. Et si votre processus de présence est assez pénible pour que la biométrie ait semblé la solution simple, la réponse relève de l'automatisation autour d'un badge, pas d'un capteur plus intrusif.

Le test de nécessité que la plupart des installations échouent

Avant toute considération technique, l'APDP pose une question brutale : la biométrie est-elle nécessaire et proportionnée ? Si un badge, un code ou une carte à puce suffit, ou si les locaux n'ont aucune sensibilité particulière, elle peut ne pas être justifiable. Une salle serveurs, une chambre forte, une pièce à dossiers clients : discutable. L'entrée d'un bureau de cinq personnes : difficile à défendre.

Le consentement est une échappatoire plus fragile qu'il n'y paraît : l'autorité l'apprécie sévèrement en matière d'emploi, le lien de subordination compromettant sa liberté, et il ne tient que si une alternative non biométrique est proposée sans conséquence pour celui qui refuse. La plupart des employeurs s'appuieront donc sur l'intérêt légitime, mise en balance documentée à l'appui.

Le lieu de stockage du gabarit décide de tout

Un gabarit biométrique est une représentation mathématique et non réversible d'une caractéristique, non l'image de l'empreinte. L'APDP autorise deux architectures et exprime une préférence nette :

• Type 1 — support individuel (à privilégier). Le gabarit ne réside que sur un badge ou une carte détenue par la personne ; rien n'est centralisé et le lecteur compare le doigt au gabarit du support.
• Type 2 — base centralisée chiffrée (exceptionnel). Les gabarits chiffrés résident sur un serveur de l'employeur, derrière une authentification à deux facteurs : code secret personnel et donnée biométrique, le lecteur ne conservant rien.

Sauf circonstances exceptionnelles et documentées — sensibilité extrême — le Type 1 doit être retenu, le Type 2 restant un dernier recours. C'est aussi une décision d'achat : beaucoup de produits du marché intermédiaire sont centralisés par défaut, et l'architecture appartient au cahier des charges, pas à l'audit.

La conservation suit la même logique : gabarits et données associées sont conservés pour la durée de l'habilitation, puis supprimés. Un départ doit déclencher une suppression, non une désactivation.

L'analyse d'impact n'est pas facultative

En application de l'arrêté ministériel n° 2025-361 du 14 juillet 2025, pris pour l'article 35 de la loi n° 1.565, tout dispositif biométrique est réputé présenter un risque élevé pour les droits et libertés — données sensibles, salariés structurellement vulnérables. Une analyse d'impact doit donc précéder tout déploiement, en explicitant le choix de la biométrie plutôt que d'une technologie moins intrusive.

Les systèmes déjà en service ne sont pas exonérés : l'article 109 ouvre une période transitoire de trois ans pour réaliser cette analyse dans le cadre d'une réévaluation du risque. Si vous avez hérité d'un lecteur sans savoir pourquoi il existe, c'est la lacune à combler.

Informer avant, et par écrit

L'article 10 exige que le dispositif soit porté à la connaissance des personnes concernées — salariés, visiteurs, prestataires — par écrit et avant l'enrôlement biométrique, non après. L'information couvre l'identité du responsable, les finalités et la base légale, les catégories de données, les durées de conservation, les destinataires, l'exercice des droits et la réclamation auprès de l'APDP.

Vérifiez ensuite votre prestataire de maintenance : l'APDP rappelle que le sous-traitant intervenant sur le système est soumis aux mêmes obligations de sécurité et de confidentialité que vous, ses accès étant limités au strict nécessaire. Sans convention écrite avec l'installateur capable de se connecter à distance à votre lecteur, l'exposition est réelle.

Un plan réaliste à 90 jours

Recensez chaque point de contact biométrique — portes, ordinateurs, applications — et écrivez la finalité de chacun. Supprimez tout usage disciplinaire ou d'assiduité. Déterminez si le stockage est de Type 1 ou de Type 2, puis justifiez ou migrez. Rédigez l'analyse d'impact, diffusez l'information écrite, resserrez le contrat de maintenance. Si la revue conduit à changer de matériel, le Fonds Bleu peut subventionner une part substantielle des projets numériques éligibles.

Une réserve : Monaco n'est pas un État membre de l'Union européenne, et le RGPD ne s'applique donc pas par défaut à une entreprise monégasque. La loi 1.565 suit des standards comparables mais reste son propre instrument, et ce qui précède reprend la fiche de l'APDP telle que publiée. Les amendes atteignant plusieurs millions d'euros, faites confirmer tout point sensible avant d'agir.

Pour cartographier vos flux de données personnelles, notre travail en conformité protection des données et en stratégie digitale part de cet inventaire. Contactez-nous.