Les dispositifs biométriques sur le lieu de travail

Les nouvelles technologies s’insinuent de plus en plus dans l’entreprise. Ainsi sur le lieu de travail certains dispositifs de reconnaissances biométriques font leur apparition.

Ces dispositifs permettent la reconnaissance d’un individu par ses caractéristiques physiques, biologiques et même comportementales. Les données à la base de la biométrie sont donc des données à caractère personnel qui doivent être protégées par la CNIL.

C’est pourquoi la mise en place de tels dispositifs est soumise à l’autorisation préalable de la CNIL.

Il existe cependant trois cas de figure où les formalités de déclaration sont allégées, une simple déclaration de conformité est suffisante :

• L’accès aux locaux professionnels par reconnaissance de l’empreinte digitale si elle est enregistrée sur un support détenu exclusivement par la personne concernée : autorisation unique n°AU-007.

• L’accès à la restauration professionnelle et la gestion des horaires de travail par reconnaissance du contour de la main : autorisation unique n°AU-008. 

• L’accès aux cantines scolaires par reconnaissance du contour de la main : autorisation unique n°AU-009.

De plus il est nécessaire d’informer les salariés concernés sur les conditions d’utilisation des dispositifs biométriques mis en place, de la possibilité d’exercer leurs droits d’accès, de rectification et d’opposition, mais aussi de les informer des destinataires des informations collectées.

Il faut également consulter les institutions représentatives du personnel : notamment article 2323-32 du Code du travail pour le comité d’entreprise.

Il faut ajouter que dans le cas de l’utilisation de la reconnaissance biométrique par empreinte digitale la mise en place du dispositif doit reposer sur un fort impératif de sécurité et remplir quatre conditions :

• La finalité du dispositif doit reposer sur des enjeux dépassant le strict intérêt de l’entreprise. Il faut un risque pour les personnes, les biens, les installations ou les informations. La zone de contrôle doit être limitée à une zone et à certaines personnes.

• La mise en place du dispositif doit être proportionnelle à la finalité de sécurité.

• Le dispositif doit garantir, l’absence de divulgation des données personnelles, l’authentification et l’identification fiable de la personne concernée.

• Les salariées concernés doivent être informés de leur droit conformément à la législation du Code du travail et à la loi informatique et libertés.

Ces différents éléments doivent être respectés sous peine d’interruption du dispositif ordonné par la CNIL, ce qu’elle n’a pas hésité à faire le 18 mars 2010 pour le dispositif de reconnaissance d’empreinte digitale d’une société de commerce en gros d’habillement militaire : voir la délibération  n°2010-072 du 18 mars 2010 ici.