Reconnaissance faciale en entreprise : que dit la CNPD ?
Réponse courte
La CNPD adopte une position très restrictive sur la reconnaissance faciale. Considérée comme un traitement de données biométriques sensibles au sens de l'article 9 du RGPD, elle ne peut être déployée que dans des cas exceptionnels, justifiés par une nécessité impérieuse de sécurité que d'autres moyens ne peuvent satisfaire.
Pour les usages courants (contrôle d'accès, pointage, suivi du temps de travail), la CNPD considère le dispositif disproportionné. L'employeur doit conduire une analyse d'impact (AIPD), consulter la délégation du personnel et démontrer l'absence d'alternative moins intrusive. Le simple consentement des salariés ne suffit pas, du fait du déséquilibre dans la relation de travail.
Définition
La reconnaissance faciale est un traitement biométrique permettant d'identifier ou d'authentifier une personne à partir des caractéristiques de son visage. Elle relève de l'article 9 du RGPD qui interdit en principe le traitement des données biométriques destinées à identifier une personne de manière unique.
Au Luxembourg, ce type de traitement fait l'objet d'une vigilance particulière de la CNPD, qui l'évalue à l'aune des principes de nécessité, proportionnalité et minimisation.
Conditions d’exercice
Seules une finalité impérieuse (centres de données, coffres), une nécessité démontrée et une AIPD obligatoire (art. 35 RGPD) justifient le dispositif, avec consultation de la délégation et notice individuelle aux personnes concernées.
| Condition | Détail |
|---|---|
| Finalité impérieuse | Sécurité de zones critiques (centres de données, coffres) |
| Nécessité absolue | Démonstration qu'aucune autre solution ne convient |
| Proportionnalité | Limitation au strict minimum de personnes et de zones |
| AIPD obligatoire | Analyse d'impact préalable détaillée |
| Consultation | Avis de la délégation du personnel |
| Information | Notice individuelle aux personnes concernées |
Modalités pratiques
Tout projet de reconnaissance faciale exige une étude documentée des alternatives, une AIPD écrite, une consultation de la délégation et, en cas de risque résiduel élevé, une consultation préalable de la CNPD (art. 36).
| Étape | Détail |
|---|---|
| Étude des alternatives | Documentation des solutions écartées et justification |
| AIPD | Analyse écrite des risques et mesures de mitigation |
| Consultation préalable CNPD | Recommandée si risque élevé résiduel (art. 36 RGPD) |
| Délégation | Avis écrit de la délégation du personnel |
| Information | Notice détaillée et signalétique sur site |
| Sécurité | Chiffrement, hébergement sécurisé, accès journalisé |
Pratiques et recommandations
Écarter la reconnaissance faciale pour le pointage horaire et les contrôles d'accès courants : la CNPD la juge disproportionnée.
Privilégier systématiquement le badge ou la carte à puce qui répondent aux mêmes besoins sans données sensibles.
Conduire une AIPD complète et la conserver pour la présenter en cas de contrôle de l'autorité.
Saisir la CNPD pour consultation préalable lorsque l'AIPD révèle un risque élevé résiduel, conformément à l'article 36 du RGPD.
Consulter la délégation du personnel et formaliser son avis dans un procès-verbal, conformément à l'article L.261-1 du Code du travail.
Cadre juridique
Le cadre repose sur les textes européens et luxembourgeois suivants.
| Référence | Objet |
|---|---|
| Art. 9 RGPD | Interdiction de principe des traitements de données biométriques |
| Art. 35 RGPD | Analyse d'impact relative à la protection des données |
| Art. 36 RGPD | Consultation préalable de l'autorité de contrôle |
| Art. L.261-1 Code du travail | Surveillance des salariés et protection des données |
| Art. L.414-9 Code du travail | Consultation de la délégation du personnel |
| Loi du 1er août 2018 | Régime général au Luxembourg |
Note
Le consentement du salarié ne constitue pas une base légale valable pour la reconnaissance faciale en entreprise, car le lien de subordination prive le consentement de son caractère libre. La CNPD rappelle régulièrement ce principe.