Badgeuse et contrôle d’accès en entreprise : que trace vraiment l’appl

Un salarié scanne un QR code à l’entrée de l’open space. Un autre badge devant la salle de sport mise à disposition par son employeur. Dans les deux cas, un horodatage part dans une base de données. Et cette base-là, personne ne la regarde d’aussi près qu’on le croit.

C’est d’ailleurs la question que posait récemment l’appli de sport en entreprise : qui, exactement, consulte ces horaires de passage ? La réponse vaut tout autant pour une badgeuse classique que pour un contrôle d’accès par QR code, et je trouve qu’elle est trop souvent balayée d’un revers de main par les services RH.

Pourquoi « le sport en entreprise » génère aussi des données de présence

70 recherches par mois sur Haloscan pour l’expression « le sport en entreprise » : ce n’est pas énorme, mais ça grimpe, et ça dit quelque chose d’un mouvement de fond. Les entreprises équipent leurs locaux d’outils numériques de suivi — badgeuse connectée, QR code à l’accueil, parfois une appli de bien-être qui demande de pointer une séance de sport. À chaque fois, un horaire, un nom et un lieu se retrouvent dans un journal.

Le problème n’est pas l’outil en lui-même. C’est qu’on installe rarement ces systèmes en se demandant qui aura accès au journal, et pour combien de temps il sera conservé.

Contrôle d’accès par QR code : ce que l’employeur peut voir

Un QR code scanné à l’entrée d’un bâtiment produit, au minimum, trois informations : l’identité de la personne, l’heure précise, et la porte ou la zone franchie. Sur un système bien paramétré, ça s’arrête là.

Le souci, c’est que la plupart des solutions du marché proposent, par défaut, un export complet et horodaté de tous les passages, consultable par n’importe quel administrateur du compte. Pas seulement les RH. Parfois un prestataire externe qui gère la maintenance du boîtier.

J’y vois un vrai problème de périmètre. Un outil qui PEUT tout exporter, même s’il n’est pas censé le faire, finit tôt ou tard par le faire — un jour de contrôle, un jour de litige, un jour où quelqu’un cherche à savoir qui est arrivé en retard trois fois dans le mois.

Qui regarde vraiment le journal des passages

Dans les faits, trois profils ont accès : l’administrateur technique du logiciel, le responsable RH qui gère les plannings, et parfois un prestataire de sécurité si le contrôle d’accès est sous-traité. Sans registre clair de ces trois accès, impossible de savoir qui a réellement consulté quoi.

Badgeuse, vidéosurveillance, appli bien-être : qui a accès au journal

Chaque outil a sa propre logique de journalisation, et c’est là que ça se complique. Une badgeuse classique conserve l’historique des entrées-sorties. Une caméra de vidéosurveillance filme un flux continu. Une appli de bien-être, elle, collecte des données que le salarié saisit volontairement — mais ces données finissent parfois croisées avec les horaires de présence, sans que personne n’ait vraiment prévu ce croisement au départ.

C’est exactement le type de situation qu’on retrouve sur un contrôle d’accès par QR code dans un club ou une association : l’outil sert d’abord à ouvrir une porte, puis quelqu’un se rend compte qu’il permet aussi de savoir qui vient le plus souvent, et à quelle heure.

Mon avis est net sur ce point : un outil qui additionne plusieurs finalités sans que personne ne l’ait décidé consciemment finit toujours par servir à surveiller, même sans mauvaise intention au départ. Ce n’est pas un complot, c’est de la paresse de paramétrage.

Ce que le RGPD impose avant d’installer un outil de suivi au travail

Le RGPD pose une règle simple, que beaucoup d’entreprises découvrent après coup : toute collecte de données de présence doit avoir une finalité déclarée, limitée, et proportionnée. Un contrôle d’accès pour la sécurité du bâtiment ne justifie pas, en soi, un suivi des horaires individuels à des fins de management.

Avant d’installer quoi que ce soit, trois questions méritent une réponse écrite : qui aura accès au journal, pendant combien de temps les données seront conservées, et à quelle finalité précise cette conservation répond. Sans ces trois réponses, l’outil tourne dans le flou — et c’est précisément ce flou que la CNIL sanctionne le plus souvent, pas la technologie elle-même.

Pour des usages plus poussés, comme un lecteur biométrique à l’entrée d’un site sensible, le cadre se durcit encore. Le sujet est traité en détail dans notre page consacrée à la biométrie et à ce qu’elle autorise réellement en entreprise.

Le point de vigilance que les salariés oublient de demander

Peu de salariés pensent à demander la durée de conservation de leurs données de passage. C’est pourtant la première question à poser avant d’accepter de badger ou de scanner quoi que ce soit sur son lieu de travail.

Un journal de présence conservé trois ans n’a pas le même usage possible qu’un journal purgé après trois mois. Et un outil qui ne prévoit aucune purge automatique n’est pas un détail technique oublié : c’est un choix, qu’il vaut mieux connaître avant d’y laisser passer son badge tous les matins.

Le réflexe que je recommande : demander, par écrit, qui consulte le journal des passages et combien de temps il est gardé. Si la réponse tarde ou reste vague, c’est déjà une réponse en soi.