Pointeuse biométrique : ce que la CNIL autorise en 2026

Sur le papier, la pointeuse biométrique a tout pour séduire : plus de badge oublié, plus de collègue qui pointe pour un autre, un décompte des heures réputé infalsifiable. Les fabricants la vendent comme un simple équipement RH. En France, son usage le plus courant est pourtant tout simplement illicite : la CNIL considère depuis des années que l'empreinte digitale ou le visage d'un salarié ne peuvent pas servir à enregistrer ses heures de travail.

En bref : en France, la pointeuse biométrique (empreinte digitale, reconnaissance faciale) est interdite pour le pointage et le suivi du temps de travail. La CNIL ne l'admet que pour contrôler l'accès à des zones ou équipements sensibles, sous conditions strictes. Pour pointer les heures, l'employeur doit utiliser un badge, un code ou une application mobile.

Ce guide détaille le cadre applicable en 2026 : ce que prévoit exactement le règlement type biométrie de la CNIL, pourquoi le consentement du salarié ne change rien, les sanctions déjà prononcées, et les alternatives conformes — y compris pour les équipes mobiles qui pointent depuis un smartphone.

La pointeuse biométrique est-elle légale en France ?

Tout se joue sur la finalité du dispositif. La CNIL distingue deux usages radicalement différents de la biométrie au travail : le contrôle d'accès à un lieu ou à un outil sensible, qui peut être admis dans des cas étroitement encadrés, et le contrôle des horaires, qui ne l'est pas. Sur son site (cnil.fr), la Commission l'écrit sans détour : pour suivre le temps de travail, un badge ou un code suffit, et un dispositif biométrique est alors disproportionné. Autrement dit, la pointeuse à empreinte ou à reconnaissance faciale utilisée comme badgeuse est non conforme, quelle que soit la taille de l'entreprise.

Ce principe découle directement de l'article 9 du RGPD : les données biométriques traitées « aux fins d'identifier une personne physique de manière unique » appartiennent aux catégories particulières de données, dont le traitement est interdit par principe, sauf exceptions limitativement énumérées. La raison est simple : contrairement à un badge perdu, une empreinte digitale compromise ne se remplace pas. Cette irréversibilité justifie un niveau de protection maximal.

Que dit exactement le règlement type de la CNIL ?

Le texte de référence est la délibération n° 2019-001 du 10 janvier 2019, publiée au Journal officiel le 28 mars 2019 et consultable sur Légifrance : le règlement type relatif aux dispositifs de contrôle d'accès par authentification biométrique aux locaux, aux appareils et aux applications informatiques sur les lieux de travail. Ce texte est contraignant, et son périmètre se limite au contrôle d'accès. Le pointage et le suivi du temps de travail n'y figurent pas : ils sont donc exclus d'office du seul cadre qui autorise la biométrie au travail.

Pour les usages couverts, le règlement type impose d'abord une justification documentée : l'employeur doit démontrer, par écrit et avant tout déploiement, pourquoi un dispositif non biométrique — badge, mot de passe, serrure codée — ne suffit pas dans son contexte précis. Protéger l'entrée de bureaux ordinaires ne passe pas ce test ; sécuriser une salle des serveurs, un laboratoire ou un stock de produits dangereux peut le passer, à condition de le démontrer.

Le texte hiérarchise ensuite les modalités de stockage des gabarits biométriques en trois types, selon le degré de maîtrise laissé au salarié. Le type 1 — le gabarit est enregistré sur un support individuel détenu par le salarié lui-même, par exemple un badge à puce, sans aucune copie chez l'employeur — est la règle. Les types 2 et 3, où l'employeur conserve tout ou partie des gabarits en base centralisée, doivent rester exceptionnels et faire l'objet d'une justification spécifique supplémentaire.

• Justification écrite et préalable du recours à la biométrie plutôt qu'à un badge ou un code
• Analyse d'impact relative à la protection des données (AIPD) réalisée avant la mise en service
• Information individuelle des salariés et consultation du CSE avant tout déploiement
• Stockage des gabarits en priorité sur un support individuel détenu par le salarié (type 1)
• Sécurité renforcée (chiffrement des gabarits) et durées de conservation limitées et documentées

Sur l'AIPD, aucune ambiguïté : la liste des traitements pour lesquels la CNIL exige une analyse d'impact inclut expressément les dispositifs biométriques concernant les salariés. Elle doit être menée avant la mise en service, pas régularisée après coup.

Le consentement du salarié suffit-il ?

Non, et c'est le malentendu le plus répandu. Dans la relation de travail, la CNIL et le Comité européen de la protection des données considèrent que le consentement du salarié n'est en général pas « libre » : face à son employeur, un salarié peut difficilement refuser sans craindre de conséquences. Une clause dans le contrat, une annexe signée, voire un accord unanime de l'équipe ne créent donc aucune base légale valable pour un pointage biométrique.

Et quand bien même une base légale existerait, le principe de proportionnalité fermerait la porte : dès lors qu'un badge atteint exactement la même finalité — enregistrer une heure d'arrivée et une heure de départ —, le recours à la biométrie est excessif. C'est précisément le raisonnement suivi par la CNIL dans ses décisions de sanction.

Le Code du travail ajoute ses propres exigences, quel que soit le dispositif de pointage retenu. L'article L1222-4 (consultable sur code.travail.gouv.fr) interdit de collecter des informations sur un salarié via un dispositif qui n'a pas été porté préalablement à sa connaissance, et l'article L2312-38 impose d'informer et de consulter le CSE avant la mise en œuvre de tout moyen permettant un contrôle de l'activité des salariés. Un dispositif déployé sans ces étapes est illicite en droit du travail : les relevés d'heures qu'il produit sont écartés comme preuve aux prud'hommes, et le salarié peut obtenir des dommages-intérêts.

Quelles sanctions en cas de pointage biométrique illégal ?

La CNIL est déjà passée à l'acte. Dans sa délibération SAN-2018-009 du 6 septembre 2018, elle a sanctionné une société de télésurveillance qui contrôlait les horaires de ses salariés par relevé d'empreintes digitales : 10 000 euros d'amende et injonction de cesser le traitement. L'entreprise avait été mise en demeure dès juillet 2017 et n'avait pas réagi, malgré plusieurs relances. Le montant peut sembler modeste ; il était proportionné à la taille de la structure — et la décision a été rendue publique, avec le préjudice de réputation qui l'accompagne.

La surveillance des salariés est depuis devenue un axe répressif majeur. Le 27 décembre 2023, la formation restreinte de la CNIL a infligé 32 millions d'euros à Amazon France Logistique pour un suivi jugé excessivement intrusif de l'activité des employés d'entrepôt : chaque scan de colis alimentait des indicateurs individuels de productivité et d'inactivité. La justice administrative a ramené l'amende à 15 millions d'euros fin 2025, ce qui en fait toujours l'une des plus lourdes sanctions françaises en matière de surveillance au travail. Le dossier ne portait pas sur la biométrie, mais le message vaut pour toute technologie de contrôle disproportionnée.

Le plafond théorique, lui, est fixé par l'article 83 du RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour une PME, le scénario le plus probable reste une mise en demeure — publique ou non — assortie de l'obligation de cesser le traitement, de supprimer les gabarits collectés et d'en justifier, le tout en absorbant le coût d'un matériel devenu inutilisable.

Quelles alternatives conformes pour pointer les heures ?

Aucun texte n'impose une technologie de pointage particulière : l'employeur doit simplement disposer d'un décompte fiable du temps de travail, la preuve des heures étant partagée entre les parties en cas de litige. Badge RFID, code PIN sur terminal, feuille d'émargement, application mobile : tous ces dispositifs sont admis, à trois conditions transversales — information individuelle préalable des salariés (article L1222-4), consultation du CSE (article L2312-38) et durées de conservation limitées.

Côté conservation, la CNIL fixe des repères chiffrés : les données servant au suivi du temps de travail peuvent être conservées 5 ans, parce qu'elles alimentent la paie ; les journaux des contrôles d'accès aux locaux doivent en revanche être purgés au bout de 3 mois. Un logiciel de pointage sérieux applique ces durées automatiquement, sans intervention manuelle.

Reste le cas des équipes qui ne passent jamais devant une badgeuse murale : agents de sécurité, intervenants à domicile, techniciens multisites, équipes événementielles. C'est pour elles que le pointage mobile s'est imposé — avec une question : comment vérifier qu'un salarié pointe bien depuis son lieu de mission, sans tomber dans la surveillance permanente ?

La géolocalisation des équipes mobiles est-elle permise ?

Oui, mais dans un cadre strict que la CNIL a précisé de longue date pour les véhicules professionnels et qui se transpose au pointage sur smartphone. Les finalités admises sont limitées : sûreté des personnes et des marchandises, meilleure allocation des moyens sur des sites dispersés, facturation de prestations, respect d'une obligation légale. Le suivi du temps de travail par géolocalisation n'est possible qu'à titre accessoire, lorsqu'il ne peut pas être réalisé par un autre moyen. Deux interdits structurent le tout : pas de collecte en dehors du temps de travail — le salarié doit pouvoir désactiver la localisation hors service — et pas de traçage permanent des déplacements, jugé disproportionné.

Appliqué au pointage mobile, le principe de minimisation conduit à une règle simple : relever la position uniquement à l'instant du pointage — à la prise de poste et à la fin de service — et jamais entre les deux. L'employeur obtient l'information légitime qu'il recherche (le salarié était bien sur site au moment de pointer) sans constituer d'historique de déplacements. La différence avec un traceur continu n'est pas cosmétique : c'est elle qui fait basculer le dispositif du côté conforme.

C'est le modèle retenu par la génération actuelle d'applications de planning, imRoster par exemple : le salarié consulte son planning sur son téléphone, pointe à la prise de poste, et l'application vérifie la localisation à ce seul instant — aucune donnée biométrique, aucun suivi continu, information claire dès l'arrivée dans l'équipe. L'entreprise obtient exactement ce qu'elle espérait d'une pointeuse à empreinte, la conformité en plus.

Un mot pour les employeurs francophones hors de France : en Belgique, le RGPD s'applique à l'identique sous le contrôle de l'Autorité de protection des données. En Suisse, la loi révisée sur la protection des données, en vigueur depuis septembre 2023, classe les données biométriques parmi les données sensibles ; mieux vaut vérifier les positions du Préposé fédéral avant tout déploiement.

Une pointeuse biométrique est déjà installée : que faire ?

Si votre entreprise utilise aujourd'hui une pointeuse à empreinte ou à reconnaissance faciale pour les horaires, chaque jour de maintien aggrave la situation : chaque pointage est un traitement illicite supplémentaire. La démarche de mise en conformité est bien balisée :

• Cesser immédiatement le pointage biométrique et basculer sur un badge, un code ou une application mobile, même à titre transitoire
• Supprimer tous les gabarits biométriques enregistrés (terminal, logiciel, sauvegardes) et documenter cette suppression — la CNIL demande d'en justifier en cas de contrôle
• Informer individuellement les salariés et le CSE du retrait du dispositif et du nouveau mode de pointage
• Si un vrai besoin de contrôle d'accès à une zone sensible existe, reprendre le projet dans le cadre du règlement type : justification écrite, AIPD, stockage de type 1
• Mettre à jour le registre des traitements et les durées de conservation : 5 ans pour le temps de travail, 3 mois pour les journaux d'accès

Une mise en demeure de la CNIL n'est pas une fatalité : elle se clôt sans amende lorsque l'entreprise se met en conformité dans le délai imparti. Mais le plus simple reste de ne jamais y entrer. En 2026, entre le badge classique et le pointage mobile à vérification ponctuelle de localisation, l'employeur dispose d'outils fiables, moins chers qu'un terminal biométrique — et qui ne transforment pas la main ou le visage de ses salariés en donnée à risque.

FAQ