Contrôle d’accès en entreprise : ce que dit vraiment le RGPD

Un badge qui s’affole sur un lecteur, une porte qui refuse de s’ouvrir, et le responsable sécurité qui doit expliquer pourquoi personne ne sait d’où vient le blocage. C’est souvent à ce moment-là qu’on découvre qu’un système de contrôle d’accès a été installé sans que le cadre RGPD ait vraiment été posé en amont. On a vu le contrôle d’accès par QR code pour les clubs fonctionner très simplement, sans biométrie ni empreinte stockée. C’est un bon point de comparaison pour comprendre ce que le RGPD exige réellement d’une entreprise, selon la technologie choisie.

Contrôle d’accès : badge, biométrie ou QR code, trois logiques différentes

Un badge RFID ne contient qu’un identifiant technique. La donnée personnelle, c’est le lien entre ce numéro et une personne, stocké côté serveur. Un QR code fonctionne pareil : rien de biométrique, juste un jeton qu’on peut révoquer en deux clics.

La biométrie change tout. Une empreinte digitale ou un gabarit facial est une donnée sensible au sens de l’article 9 du RGPD. Elle exige une base légale renforcée, pas un simple intérêt légitime.

Je le dis clairement : si un badge ou un QR code suffit à sécuriser l’accès, installer de la biométrie est une erreur. On ajoute un risque juridique pour un gain de sécurité souvent marginal.

Ce que le RGPD exige avant d’installer un système de contrôle d’accès

Avant toute installation biométrique, la CNIL impose une analyse d’impact (AIPD) dès que le traitement présente un risque élevé pour les droits des personnes. Le contrôle d’accès biométrique en entreprise entre quasi systématiquement dans ce cas.

La base légale ne peut pas être le simple confort de gestion. Il faut démontrer une nécessité : zone à très haute sensibilité (laboratoire, salle serveurs, coffre), et l’absence d’alternative moins intrusive. Si un badge classique peut faire le travail, la biométrie ne passe pas le test de proportionnalité.

La CNIL a publié un référentiel spécifique sur les dispositifs biométriques au travail, régulièrement mis à jour. On ne l’invente pas, on va le lire avant de signer un devis avec un prestataire.

Portées d’accès : qui peut voir quoi, et avec quelles données

C’est le point que je regarde toujours en premier : qu’est-ce que l’outil PEUT faire avec les données qu’on lui confie, pas ce que le prestataire promet dans sa plaquette commerciale.

Un gabarit biométrique mal conçu stocké en clair sur un serveur accessible à toute l’équipe IT, c’est une faille de sécurité en attente. Le RGPD impose un chiffrement et une limitation stricte des accès : seules les personnes habilitées pour la gestion des droits d’accès doivent pouvoir consulter ces données, pas l’ensemble du service RH.

Pour aller plus loin sur les contraintes techniques propres à ces systèmes, notre dossier sur l’authentification biométrique détaille les méthodes et leurs limites respectives.

Le piège du registre et de la durée de conservation

Beaucoup d’entreprises installent le système, forment les équipes, et oublient le registre de traitement. C’est pourtant une obligation, pas une option : finalité, durée de conservation, destinataires, mesures de sécurité.

Sur la durée de conservation, la CNIL recommande de ne garder les logs de passage que le temps nécessaire à la finalité de sécurité, généralement entre un et trois mois selon le contexte, sauf enquête en cours. Un historique de badgeage conservé cinq ans « par précaution » n’a aucune justification légale.

Un budget de rétention non plafonné, ou une durée de conservation jamais révisée depuis l’installation du système, c’est le premier trou que je cherche dans un audit. C’est souvent là que le dossier s’effondre en cas de contrôle.

Pointeuse biométrique vs contrôle d’accès classique : ne pas confondre

Une pointeuse qui mesure le temps de travail n’a pas la même finalité qu’un contrôle d’accès qui sécurise une zone. Mélanger les deux traitements dans un seul système, avec une seule base légale, est une erreur fréquente que la CNIL sanctionne régulièrement.

Pour les bases de la reconnaissance biométrique et ses usages variés, en entreprise comme ailleurs, notre page sur la biométrie pose les repères utiles avant d’aller plus loin.

Mon dernier conseil : avant de signer avec un prestataire, demandez-lui où sont stockées les données, qui y a accès, et sur quelle durée. Si les réponses sont vagues, ce n’est pas un oubli de sa part, c’est un signal à prendre au sérieux.