Les systèmes de pointage biométrique sont-ils recevables comme preuve en droit du travail ?
Réponse courte
La question de la recevabilité arrive bien après celle de la licéité, et c'est cette dernière qui pose difficulté.
Les données biométriques traitées aux fins d'identifier une personne de manière unique relèvent de l'article 9 du RGPD : leur traitement est interdit par principe, sauf à relever de l'une des exceptions limitativement énumérées. Le simple confort de gestion des temps n'en est pas une, et le consentement du salarié est fragile dans une relation de subordination.
S'y ajoutent les exigences nationales. L'article L.261-1 impose une base de licéité et l'information préalable de la délégation ou de l'ITM ; le contrôle de production servant à déterminer le salaire relève même de la codécision dans les entreprises de cent cinquante salariés au moins. Une analyse d'impact est en outre requise, le traitement présentant un risque élevé.
Un dispositif qui ne satisfait pas ces conditions produit des données contestables dès l'origine.
Définition
Les données biométriques résultent d'un traitement technique des caractéristiques physiques ou physiologiques — empreinte, iris, réseau veineux — permettant l'identification unique d'une personne.
L'analyse d'impact évalue les risques d'un traitement et les mesures prises pour les réduire. L'article 35 du RGPD la rend obligatoire lorsque le traitement est susceptible d'engendrer un risque élevé.
Questions fréquentes
Conditions d’exercice
L'interdiction de principe est le point de départ, non la proportionnalité.
| Élément | Régime |
|---|---|
| Principe | Traitement interdit, sauf exception de l'article 9, paragraphe 2, du RGPD |
| Consentement | Fragile dans une relation de subordination : difficilement « libre » |
| Confort de gestion | N'est pas une exception admise |
| Information préalable | Délégation ou ITM, avec finalité, modalités et durée (L.261-1, §2) |
| Codécision | Contrôle de production déterminant le salaire, à partir de 150 salariés (L.414-9) |
| Analyse d'impact | Obligatoire pour un traitement à risque élevé (RGPD, art. 35) |
| Alternative moins intrusive | Son existence rend le dispositif disproportionné |
Modalités pratiques
Un dispositif biométrique se justifie avant d'être installé, jamais après un contentieux.
| Étape | Détail |
|---|---|
| Recherche d'alternative | Badge, code, application : leur suffisance rend la biométrie difficile à justifier |
| Base légale | Identifier l'exception de l'article 9 invoquée et la documenter |
| Analyse d'impact | La mener et la conserver : elle sera demandée en premier |
| Information préalable | Adresser le document complet à la délégation, ou à l'ITM à défaut |
| Codécision | La rechercher lorsque le seuil de cent cinquante salariés est atteint |
| Gabarit plutôt qu'image | Stocker un gabarit chiffré, non l'empreinte elle-même |
| Durée | Annoncer une durée courte et l'appliquer |
Pratiques et recommandations
L'existence d'une alternative suffit à disqualifier le dispositif. Si un badge ou un code permet d'atteindre le même objectif, la biométrie devient disproportionnée — et c'est la question que posera l'autorité comme le juge. Documenter pourquoi ces solutions ont été écartées est la première pièce du dossier.
Le consentement ne sauve pas le traitement. Recueillir l'accord des salariés paraît prudent, mais le consentement doit être libre au sens du RGPD, ce qui se discute dans une relation de subordination : un salarié qui refuse en subissant une conséquence, même indirecte, n'a pas consenti librement. Fonder le traitement sur ce seul consentement est fragile.
Un dispositif irrégulier contamine les preuves qu'il produit. Les relevés issus d'un pointage biométrique installé sans analyse d'impact ni information préalable seront contestés dès l'origine, ce qui prive l'employeur du moyen d'établir les heures effectuées — le résultat inverse de celui recherché.
Cadre juridique
| Référence | Objet |
|---|---|
| Règlement (UE) 2016/679, art. 9 | Interdiction de principe du traitement des données biométriques aux fins d'identification unique |
| Règlement (UE) 2016/679, art. 35 | Analyse d'impact obligatoire pour les traitements à risque élevé |
| Art. L.261-1, paragraphes (1) et (2) | Licéité du traitement de surveillance et information préalable |
| Art. L.261-1, paragraphe (3) | Codécision pour le contrôle de production déterminant le salaire |
| Art. L.261-2 | Sanction pénale : huit jours à un an d'emprisonnement et 251 à 125 000 euros d'amende |
| Art. L.211-29 | Registre des heures journalières, que le dispositif doit permettre de restituer |
Note
Le traitement des données biométriques est interdit par principe au titre de l'article 9 du RGPD : tout repose sur l'exception invocable, non sur la proportionnalité. L'existence d'une alternative — badge ou code — suffit généralement à disqualifier le dispositif.