La CNPD autorise-t-elle les pointeuses biométriques au Luxembourg ?
Réponse courte
La CNPD considère que le recours à la biométrie pour la gestion du temps de travail constitue une atteinte disproportionnée à la vie privée et n'est en principe pas autorisé. La simple gestion du temps de travail ne constitue pas un motif suffisant pour justifier l'usage de dispositifs biométriques. La CNPD n'admet ce recours que dans des cas exceptionnels où l'employeur démontre un risque élevé pour la sécurité des personnes ou des biens et l'impossibilité de recourir à des moyens moins intrusifs.
Les données biométriques sont des données sensibles au sens de l'article 9 du RGPD, dont le traitement est soumis à une interdiction de principe. Une analyse d'impact (AIPD) est systématiquement obligatoire avant toute mise en place. L'employeur doit démontrer la nécessité absolue du dispositif et la proportionnalité stricte au regard de l'objectif poursuivi.
Définition
La pointeuse biométrique est un dispositif de contrôle de présence utilisant des caractéristiques physiques ou comportementales uniques d'un individu (empreinte digitale, reconnaissance faciale, iris) pour identifier ou authentifier une personne lors de l'enregistrement du temps de travail.
La CNPD (Commission nationale pour la protection des données) est l'autorité administrative indépendante chargée de veiller au respect de la législation sur la protection des données à caractère personnel au Luxembourg. Elle évalue la licéité des traitements biométriques au cas par cas et vérifie le respect des obligations d'information.
Conditions d’exercice
L'utilisation d'une pointeuse biométrique n'est admise par la CNPD que sous des conditions cumulatives strictes.
| Condition | Exigence |
|---|---|
| Risque élevé de sécurité | L'employeur doit démontrer que la sécurité des personnes ou des biens l'exige impérieusement |
| Absence d'alternative | Aucun moyen moins intrusif (badge, code) ne doit permettre d'atteindre le même objectif |
| AIPD obligatoire | Analyse d'impact systématique avant toute mise en place (article 35 du RGPD, lignes directrices CNPD) |
| Information et consultation | Information préalable des salariés (article L.261-1) et consultation de la délégation du personnel (article L.414-9) |
| Stockage sécurisé | Privilégier le stockage local sur support individuel plutôt que le stockage centralisé |
| Interdiction du consentement | Le consentement du salarié ne peut servir de base légale au traitement |
Modalités pratiques
La procédure de mise en place d'une pointeuse biométrique obéit à un encadrement strict.
| Étape | Détail |
|---|---|
| AIPD | Réaliser une analyse d'impact identifiant les risques et les mesures de sécurité, documenter l'absence d'alternative |
| Consultation préalable CNPD | Si l'AIPD révèle un risque élevé non atténué, consulter la CNPD avant la mise en oeuvre (article 36 du RGPD) |
| Consultation délégation | Soumettre le projet à la délégation du personnel avec le dossier complet |
| Information individuelle | Informer chaque salarié de la finalité, de la durée de conservation, des droits d'accès et de rectification |
| Mesures de sécurité | Chiffrement, limitation des accès, traçabilité, procédure de suppression des gabarits |
| Registre | Inscrire le traitement au registre des activités de traitement |
Pratiques et recommandations
Privilégier les systèmes de pointage non biométriques, comme un système de pointage classique (badges ou codes personnels), qui permettent de contrôler le temps de travail sans recourir à des données sensibles. La CNPD recommande expressément cette approche dans ses lignes directrices.
En cas de nécessité avérée liée à la sécurité, limiter le traitement biométrique à cette seule finalité et éviter toute conservation centralisée des gabarits biométriques.
Documenter l'ensemble des démarches entreprises et conserver les preuves du respect des obligations légales pour pouvoir les présenter en cas de contrôle.
Prévoir une procédure de désactivation du traitement biométrique si la CNPD conclut à son caractère disproportionné lors d'un contrôle.
Cadre juridique
Les principales dispositions applicables sont les suivantes.
| Référence | Objet |
|---|---|
| Article 9 du RGPD | Interdiction de principe du traitement des données biométriques |
| Article 35 du RGPD | Obligation d'analyse d'impact pour les traitements à risque élevé |
| Article 36 du RGPD | Consultation préalable de l'autorité de contrôle en cas de risque résiduel élevé |
| Article L.261-1 du Code du travail | Information préalable sur les dispositifs de surveillance |
| Article L.414-9 du Code du travail | Codécision avec la délégation du personnel (entreprises de 150 salariés et plus) |
| Loi du 1er août 2018 | Protection des données à caractère personnel |
| Lignes directrices CNPD | Position restrictive sur la biométrie pour le contrôle du temps de travail |
Note
L'utilisation de pointeuses biométriques à des fins de gestion du temps de travail est en principe prohibée par la CNPD au Luxembourg. Toute infraction expose l'employeur à des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Il est impératif de privilégier des solutions alternatives moins intrusives.