Pointeuse biométrique entreprise à Nantes : règles CNIL et RGPD

Pour une entreprise à Nantes, la mise en place d’une pointeuse biométrique doit respecter le RGPD, la délibération CNIL n°2019‑001 et les règles récentes sur l’IA ; la biométrie pour le pointage horaire est fortement encadrée et souvent considérée comme excessive par la CNIL.

Pointeuse biométrique à Nantes : ce que dit la loi et la CNIL (décryptage rapide)

Le RGPD définit la donnée biométrique comme une donnée personnelle résultant d’un traitement technique spécifique permettant d’identifier une personne unique. À Nantes, comme ailleurs en France, une image devient donnée biométrique dès lors qu’elle est traitée pour identifier ou authentifier une personne, selon le considérant 51 et la définition de l’article 4 du RGPD.

L’article 9 du RGPD pose une interdiction de principe pour les traitements visant à identifier une personne de manière unique, sauf exceptions listées au même article. Ces exceptions comprennent, par exemple, le consentement explicite et certaines obligations prévues par la loi.

La CNIL, via sa délibération n°2019‑001, demande à l’employeur de justifier strictement le recours à la biométrie, de réaliser une analyse d’impact (AIPD) et de privilégier des gabarits conservés sous le contrôle exclusif de la personne. La CNIL considère que le pointage horaire par biométrie est en principe excessif. Ces références s’appliquent aux sites et entreprises nantaises qui envisagent un contrôle d’accès ou un dispositif de pointage.

Les textes européens récents sur l’IA complètent le cadre : l’AI Act classe l’identification biométrique à distance comme haut risque et interdit certaines pratiques (moissonnage non ciblé, inférence d’émotions, catégorisation par attributs sensibles). L’Omnibus IA apporte des ajustements et de nouvelles interdictions applicables à certaines dates énoncées dans les règlements. Pour une entreprise à Nantes, ces règles européennes pèsent sur la conception et l’utilisation des systèmes biométriques.

Sources principales citées : RGPD (Règlement (UE) 2016/679), délibération CNIL n°2019‑001, AI Act (Règlement (UE) 2024/1689) et Règlement (UE) 2026/1744 (Omnibus IA), consultés le 23/09/2026.

Peut‑on installer une pointeuse biométrique pour le pointage des horaires ? (réponse claire pour Nantes)

La position de la CNIL est claire : le pointage horaire par biométrie est jugé excessif dans la plupart des cas. À Nantes, un employeur qui souhaite une solution de pointage doit d’abord vérifier si la finalité invoquée relève du contrôle d’accès strict ou du simple enregistrement des heures de travail.

Si la finalité est le contrôle d’accès à une zone sensible ou à un site à risque, la CNIL autorise sous conditions strictes et après justification. Pour un site nantais à haute sécurité (site industriel à contraintes techniques, zone portuaire ou zone de stockage sensible), le recours à la biométrie peut être examiné, mais il n’est pas automatique : il faut démontrer l’absence d’alternative moins intrusive et mener les démarches prévues par la délibération CNIL.

Le consentement des salariés au travail est rarement considéré comme valable par la CNIL, car le lien de subordination remet en cause la liberté du consentement. À Nantes, les services RH et les responsables sécurité doivent donc documenter la finalité, proposer des alternatives (badge, code) et préparer l’AIPD exigée pour les cas où la biométrie serait retenue.

Pour les entreprises nantaises qui envisagent une pointeuse, le message pratique est simple : présumez que la biométrie pour le pointage sera difficile à justifier, sauf motif très précis et dûment documenté lié à la sécurité du site.

Obligations concrètes avant l’installation (checklist CNIL / RGPD)

Avant toute installation dans un site à Nantes, il faut conduire une AIPD documentée et datée. La délibération CNIL impose d’évaluer les risques, de détailler la finalité, de prouver la minimisation des données et de prévoir des mesures de sécurité adaptées.

Il est impératif de définir la durée de conservation et les modalités d’accès aux gabarits. La CNIL recommande de privilégier un gabarit conservé sur un support individuel et sous le contrôle exclusif de la personne concernée plutôt que des bases centrales lorsque cela est possible. Les entreprises nantaises doivent aussi prévoir le chiffrement des données et des procédures claires de suppression des gabarits en fin de contrat ou à la demande.

Une alternative équivalente doit être proposée aux salariés : badge, code ou autre solution non biométrique. Toute documentation (notice CNIL, registre des traitements, étude d’impact) doit être tenue disponible et jointe au dossier de l’employeur pour les inspections éventuelles.

La checklist pour un dossier nantais comprend : justification de la finalité, AIPD, minimisation, chiffrement, durée de conservation et alternative équivalente. Ces éléments découlent de la délibération CNIL et du RGPD consultés le 23/09/2026.

Comment se déroule une intervention technique sur site (Nantes) — ce qu’il faut prévoir

Une intervention technique à Nantes débute par une visite de site. Le prestataire ou le responsable technique relève l’emplacement des lecteurs, l’accès électrique, la présence ou non d’un réseau Ethernet/PoE, l’acoustique et les points d’accroche. Pour un site nantais, il faut aussi tenir compte de l’organisation des entrées et des horaires d’équipes, notamment si l’établissement fonctionne en amplitude ou en équipes.

Le relevé doit inclure le nombre d’accès à équiper, le type de portes (porte coulissante, tourniquet, portail industriel) et la compatibilité avec le SIRH existant. Les documents que l’entreprise à Nantes doit préparer pour le prestataire incluent la notice CNIL, le registre des traitements, une étude d’impact préliminaire et la preuve des alternatives proposées aux salariés.

Sur le plan opérationnel, l’intervention peut demander une coordination avec les services techniques locaux et une planification tenant compte des contraintes d’activité dans les zones industrielles de l’agglomération nantaise. Toute intervention doit respecter l’obligation de documentation prévue par la CNIL.

Ce qui fait varier le prix et les délais

Pour une entreprise à Nantes, plusieurs facteurs font varier le coût et la durée d’un projet sans qu’il soit possible d’afficher un tarif sans relevé : nombre d’accès à équiper, type d’ouverture, existence d’un réseau Ethernet/PoE, distance entre les points d’installation, intégration logicielle avec le SIRH ou la paie, et niveau de sécurité requis.

Cas particuliers à Nantes : site classé ERP, interventions en hauteur, interventions hors heures ouvrables. Ces éléments impliquent des adaptations techniques et administratives et influencent le calendrier et les ressources nécessaires.

Alternatives à la biométrie — options recommandées pour les entreprises nantaises

Des solutions non biométriques restent privilégiées pour le pointage et le contrôle d’accès. Parmi elles : badge RFID, badge NFC, codes, badge mobile ou solutions hybrides (badge + PIN). Pour le pointage horaire, la combinaison badge + SIRH ou une solution de pointage virtuelle reste conforme aux préoccupations de minimisation de la CNIL.

Si la biométrie est retenue pour l’accès, la CNIL recommande de privilégier le gabarit conservé par la personne. À Nantes, les responsables RH et DPO doivent envisager des solutions hybrides qui réduisent la collecte centrale de gabarits et limitent l’exposition des données sensibles.

Bonnes pratiques CNIL avant de confier un prestataire

Vérifiez que le prestataire fournit un contrat de sous‑traitance conforme, intègre des clauses de sécurité et détaille les mesures techniques (chiffrement, accès restreint) ainsi que les procédures de suppression des gabarits en fin de contrat. Exigez la documentation relative à l’AIPD et les preuves d’alternatives proposées aux salariés.

Pour une entreprise basée à Nantes, exiger des clauses contractuelles précises sur la durée de conservation, les finalités et les droits d’accès est une pratique prudente. En cas de doute sur la conformité, la possibilité de saisir la CNIL reste ouverte ; la CNIL publie guides et décisions utiles pour préparer un dossier de conformité.

Si votre personnel s’oppose : que faire à Nantes ? (procédure RH)

Lorsque des salariés à Nantes s’opposent à l’utilisation de la biométrie, il faut documenter les refus dans le registre des traitements et proposer immédiatement une alternative équivalente.

En cas d’urgence liée à la sécurité d’un site nantais, le recours à des mesures exceptionnelles doit être justifié par des éléments documentaires précis. Même en situation d’urgence, il faut éviter les mesures discriminatoires et garder un dossier justificatif complet montrant l’impossibilité d’utiliser une solution moins intrusive.

Questions fréquentes (FAQ localisée)

Peut‑on imposer la biométrie pour le pointage ? — La CNIL juge le pointage biométrique excessif ; le consentement est rarement valable au travail et une alternative doit être offerte.

Qui a accès aux données ? — L’accès doit être limité, documenté et chiffré ; le registre des traitements doit indiquer les personnes habilitées.

Combien de temps garder les gabarits ? — La durée de conservation doit être justifiée et documentée dans l’AIPD et le registre des traitements.

Cette page informe et ne remplace pas un avis juridique ou l’avis d’un DPO.