Contrôle d’accès en entreprise : QR code ou biométrie, que choisir

Un badge par QR code et un capteur d’empreinte ne protègent pas la même porte de la même façon. Le premier prouve qu’on a un téléphone ou un e-mail valide. Le second prouve qu’on est bien la personne physique. Avant de choisir, il faut savoir lequel de ces deux problèmes vous essayez de résoudre — et avant d’installer un système biométrique, il y a une série de tests qui devraient être faits en amont, pas après le premier incident.

Contrôle d’accès QR code ou biométrique : deux logiques différentes

Le QR code fonctionne par possession : vous avez le code, vous entrez. C’est le principe d’un billet de train. Il se partage, se photographie, se transfère en deux secondes sur un autre téléphone. Pour un accès ponctuel, une présence à un événement ou une salle de réunion, cette faiblesse n’en est pas vraiment une.

La biométrie fonctionne par identité. Une empreinte, un visage, une veine de la main : ce ne sont plus des informations qu’on prête, ce sont des caractéristiques qu’on porte. On ne peut pas les donner à un collègue pour qu’il pointe à notre place un vendredi après-midi.

La question n’est pas si l’outil sait bien faire, c’est ce qu’il peut faire si on se trompe. Un QR code mal révoqué reste valide des semaines. Un capteur biométrique mal calibré peut, lui, refuser l’accès à la bonne personne ou l’accorder à la mauvaise — et c’est ce deuxième cas qu’on teste trop rarement avant la mise en service.

Ce que la CNIL attend d’un contrôle d’accès en entreprise

La CNIL distingue nettement les deux technologies dans ses recommandations sur la biométrie au travail. Un contrôle d’accès par badge ou QR code relève d’un traitement de données classique, encadré par le RGPD sans régime particulier. Un contrôle biométrique, en revanche, suppose une base légale précise et une analyse d’impact (AIPD) dès lors que le dispositif touche un nombre significatif de salariés.

Concrètement, cela veut dire qu’une entreprise ne peut pas basculer un service entier sur la reconnaissance faciale un lundi matin parce que « c’est plus pratique ». Il faut documenter pourquoi le QR code ou le badge ne suffisent pas, et pourquoi la biométrie est proportionnée au risque réel.

Quand le QR code suffit, quand la biométrie devient nécessaire

Pour un comptage de présences, l’accès à des locaux associatifs ou une salle polyvalente, le QR code fait très bien le travail. On trouve d’ailleurs un bon exemple de cette sobriété dans un usage de contrôle d’accès par QR code pour un club ou une association : pas d’enjeu de sécurité critique, juste un besoin de suivi simple.

La biométrie devient pertinente quand l’accès protège quelque chose de sensible : un laboratoire, une salle serveurs, un coffre, une zone où la présence doit être strictement individuelle et non transférable. Dans ces cas-là, l’authentification biométrique apporte une garantie que le badge ne peut pas offrir : on vérifie la personne, pas l’objet qu’elle transporte.

Ce que je refuserais, en revanche, c’est la biométrie « par défaut », posée sur toutes les portes sans distinction de niveau de risque. Un budget de sécurité non plafonné sur ce genre de projet n’est jamais un oubli mineur : c’est souvent le signe qu’on a sauté l’étape du cadrage.

Journalisation et traçabilité : le point commun indispensable

Qu’on choisisse l’un ou l’autre, un point ne se négocie pas : le journal des passages. Qui est entré, à quelle heure, par quelle porte, et surtout qui a été refusé. C’est ce journal qui protège réellement l’entreprise en cas d’incident — à distinguer de la simple mention « accès sécurisé » affichée sur une brochure commerciale, qui ne protège que le fournisseur.

Un système, QR code ou biométrique, qui n’enregistre pas les refus d’accès est incomplet. On veut voir le garde-fou fonctionner, pas seulement être documenté dans une fiche technique qu’on ne consultera jamais.

Portées d’accès : ce qu’un badge ou un capteur peut vraiment déclencher

Beaucoup de projets de contrôle d’accès s’arrêtent à la porte d’entrée dans leur réflexion, alors que le capteur ou le lecteur est souvent relié à un système plus large : badgeuse RH, alarme, ventilation, éclairage. Ce que l’appareil peut déclencher compte plus que la promesse générale de sécurité qui l’accompagne.

Avant toute installation, il faut lister précisément les actions possibles : ouvrir une porte, oui, mais aussi couper une alarme, générer un rapport RH, ou déclencher une notification à un tiers. Chaque action supplémentaire est une portée d’accès de plus, et donc un risque de plus à documenter.

Avant d’installer quoi que ce soit, ce qu’il faut tester

Qu’il s’agisse d’un QR code ou d’un capteur biométrique, trois vérifications s’imposent avant la mise en service : que se passe-t-il en cas de refus légitime (faux rejet), que se passe-t-il en cas d’acceptation à tort (faux positif), et qui peut consulter ou modifier les journaux de passage une fois le système en place.

Un dispositif qui affiche « conforme RGPD » sans détailler ces trois points n’a encore rien prouvé. C’est précisément ce travail de vérification, poste par poste, qui distingue une installation réfléchie d’un achat sur catalogue.