Pointage biométrique : est-ce légal au Luxembourg ?
Réponse courte
Le pointage biométrique est strictement encadré au Luxembourg. Les données biométriques sont qualifiées de données sensibles par l'article 9 du RGPD et leur traitement est en principe interdit, sauf exceptions limitatives. La CNPD considère que le simple confort de gestion ne justifie pas le recours à la biométrie.
L'employeur doit démontrer une nécessité réelle (sécurité d'accès à des zones critiques, par exemple) et qu'aucune alternative moins intrusive n'est possible (badge, code, carte). Une analyse d'impact (AIPD) est obligatoire et la délégation du personnel doit être consultée. Sans ces garanties, le dispositif est illégal.
Définition
Une donnée biométrique est, selon l'article 4 du RGPD, une donnée à caractère personnel résultant d'un traitement technique spécifique relatif aux caractéristiques physiques, physiologiques ou comportementales d'une personne physique permettant son identification unique (empreintes digitales, reconnaissance faciale, iris, voix).
Au Luxembourg, le traitement de telles données par un employeur est soumis au régime renforcé de l'article 9 RGPD, complété par la loi du 1er août 2018 et la doctrine constante de la CNPD.
Conditions d’exercice
Le pointage biométrique n'est licite qu'à condition de relever d'une exception de l'article 9.2 RGPD, de répondre à un besoin concret de sécurité, de faire l'objet d'une AIPD préalable et d'une consultation de la délégation du personnel.
| Condition | Détail |
|---|---|
| Base légale renforcée | Exception prévue à l'article 9.2 RGPD |
| Nécessité | Démontrée par un besoin concret de sécurité |
| Proportionnalité | Aucune alternative moins intrusive disponible |
| AIPD | Analyse d'impact préalable (art. 35 RGPD) obligatoire |
| Information | Notice détaillée remise aux salariés |
| Consultation | Délégation du personnel informée et consultée |
Modalités pratiques
Le déploiement exige l'étude documentée des alternatives, une AIPD écrite (art. 35), la consultation de la délégation et un stockage du gabarit idéalement sur support individuel.
| Étape | Détail |
|---|---|
| Étude préalable | Analyse des alternatives (badge, code, carte) |
| AIPD | Documentation des risques et mesures de mitigation |
| Consultation | Information de la délégation du personnel (art. L.414-9) |
| Information individuelle | Notice claire remise à chaque salarié |
| Stockage | Données stockées sous forme de gabarit, idéalement sur support individuel |
| Sécurité | Chiffrement, accès restreint, journalisation |
Pratiques et recommandations
Privilégier systématiquement les alternatives non biométriques (badge, code PIN, carte) qui répondent aux mêmes besoins de pointage sans collecter de données sensibles.
Réaliser une AIPD documentée avant tout déploiement et la conserver pour la présenter en cas de contrôle de la CNPD.
Limiter le périmètre aux seuls accès véritablement sensibles (locaux à risque, salles techniques) et non à l'ensemble des salariés.
Stocker le gabarit biométrique sur un support détenu par le salarié plutôt que dans une base centralisée, pour limiter les risques.
Consulter la délégation du personnel et obtenir un avis écrit avant tout déploiement, conformément à l'article L.261-1 du Code du travail.
Cadre juridique
Le cadre juridique combine plusieurs textes européens et luxembourgeois.
| Référence | Objet |
|---|---|
| Art. 9 RGPD | Interdiction de principe du traitement de données sensibles |
| Art. 4 RGPD | Définition des données biométriques |
| Art. 35 RGPD | Analyse d'impact sur la protection des données |
| Art. L.261-1 Code du travail | Surveillance des salariés et protection des données |
| Art. L.414-9 Code du travail | Consultation de la délégation du personnel |
| Loi du 1er août 2018 | Régime général au Luxembourg |
Note
La CNPD a sanctionné à plusieurs reprises des entreprises ayant déployé un pointage biométrique sans justification suffisante. L'amende peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Le badge classique reste la solution recommandée par défaut.