Contrôle d’accès biométrique : quel système choisir selon vos locaux

Un local tertiaire, un dépôt logistique et un cabinet médical n’ont pas la même menace à leur porte. Pourtant, beaucoup d’entreprises choisissent leur contrôle d’accès biométrique sur une fiche produit, avant même de se demander ce que leurs locaux exigent vraiment. L’erreur se paie plus tard, quand il faut faire tester son système avant l’installation et qu’on découvre des trous qu’un bon cahier des charges aurait évités dès le départ.

Badgeuse, empreinte ou reconnaissance faciale : des usages différents

La badgeuse classique reste la solution la plus simple à déployer. Elle convient à un open space ou à un parking d’entreprise, là où le risque principal est le badge perdu ou prêté entre collègues. Elle ne résout rien du tout si le vrai problème est l’usurpation d’identité à l’entrée d’un site sensible.

L’empreinte digitale monte d’un cran : elle lie l’accès à une personne précise, pas à un objet qu’on peut transmettre. Elle convient bien à un entrepôt où les équipes tournent en 3×8, parce qu’elle évite la ressaisie de codes oubliés en pleine nuit.

La reconnaissance faciale va plus loin encore, et c’est là que je deviens exigeante : elle doit prouver qu’elle refuse correctement une tentative avant qu’on lui confie une porte sensible. Une démonstration qui ne montre que les succès ne vaut rien. Je veux voir le refus, pas seulement l’autorisation.

Ce que la CNIL attend avant même de choisir un système

La CNIL distingue clairement les dispositifs biométriques qui laissent la donnée sous le contrôle de l’utilisateur (un gabarit stocké sur une carte à puce, par exemple) de ceux qui centralisent les données sur un serveur de l’entreprise. Le second cas exige une analyse d’impact (AIPD) et une justification de proportionnalité beaucoup plus solide.

Un local qui accueille du public — une salle de sport, un espace coworking — n’a pas la même marge qu’un data center fermé aux visiteurs. Avant de signer un devis, il faut savoir dans quelle catégorie son local tombe, parce que ça détermine tout le reste : le type de capteur, l’emplacement du stockage, la durée de conservation.

Les portées d’accès à définir dès le cahier des charges

C’est le point que je regarde toujours en premier, et qu’on oublie presque systématiquement : qu’est-ce que le système PEUT faire avec les droits qu’on lui donne, pas ce qu’il promet de faire. Un logiciel de contrôle d’accès qui a, par défaut, les droits pour modifier les horaires de toutes les portes du site n’a rien à faire dans les mains d’un simple gestionnaire d’accueil.

Avant d’installer quoi que ce soit, il faut lister : qui peut créer un badge ou un profil biométrique, qui peut le révoquer, qui peut consulter les journaux de passage, et surtout qui peut modifier ces journaux. Une entreprise qui ne sépare pas ces rôles donne à une seule personne la capacité d’effacer ses propres traces. C’est le premier trou que je cherche, systématiquement, avant même de parler de la technologie biométrique elle-même.

Pourquoi faire tester son système avant l’installation

Un système qui agit — qui ouvre ou qui ferme une porte — doit démontrer ses limites avant qu’on lui confie les clés d’un bâtiment, pas après un incident. C’est tout l’enjeu d’un test mené en conditions réelles, sur le matériel exact qui sera posé, pas sur une fiche technique générique du fabricant.

Un capteur d’empreinte mal calibré accepte parfois un doigt qui n’est pas le bon, ou refuse systématiquement une main abîmée par le travail. Ce genre de défaut ne se voit jamais sur une brochure commerciale. Il se voit sur le terrain, porte par porte, avec les vraies personnes qui vont utiliser le système tous les jours.

Associer contrôle d’accès et autres dispositifs (QR code, vidéosurveillance)

La biométrie n’a pas toujours vocation à couvrir tout un site. Pour un accueil d’événement ponctuel ou une association qui gère des présences, un système plus léger comme le contrôle d’accès par QR code peut suffire, sans justifier une collecte de données biométriques disproportionnée.

La vidéosurveillance, elle, vient en complément, jamais en substitut. Elle documente un passage, elle ne l’autorise pas. Confondre les deux fonctions, c’est le genre d’erreur qui coûte cher le jour d’un contrôle de la CNIL.

Ce qu’il faut vérifier auprès de l’intégrateur

Avant de signer avec un intégrateur, demandez-lui précisément où sont stockées les données biométriques, qui y a accès chez lui et combien de temps elles sont conservées après le départ d’un salarié. Une réponse floue sur ce dernier point est, à elle seule, un motif suffisant pour revoir le devis.

Demandez aussi ce qui se passe en cas de panne du lecteur : y a-t-il une procédure de secours documentée, ou simplement une porte qui reste bloquée ? Un budget de maintenance non plafonné dans le contrat n’est jamais un détail. C’est le premier endroit où je regarde, avant de parler de la technologie elle-même.

Un système d’authentification biométrique bien choisi, conforme et testé avant sa mise en service protège réellement votre entreprise. Un système choisi sur une brochure, sans ces vérifications, protège surtout le fournisseur qui vous l’a vendu.