Photo au badgeage : ce que dit la CNIL et ce que vous devez faire

Photo horodatée n’est pas biométrie

La confusion est fréquente et lourde de conséquences. Un dispositif biométrique transforme une caractéristique physique — empreinte digitale, réseau veineux, gabarit du visage — en un modèle numérique qui sert à identifier automatiquement la personne. Ces données sont qualifiées de données sensibles par l’article 9 du RGPD : leur traitement est interdit par principe et n’est possible que dans des cas strictement encadrés, avec des exigences de sécurité et de proportionnalité très élevées.

Une photo prise au moment du badgeage, conservée telle quelle et simplement consultée par un responsable en cas de doute, ne constitue pas un traitement biométrique : aucun gabarit n’est calculé, aucune reconnaissance automatique n’a lieu. On reste dans le régime général des données personnelles, avec les obligations habituelles — information, minimisation, durée de conservation, sécurité.

La ligne de partage est donc technique et non esthétique : ce qui compte n’est pas qu’un visage apparaisse, mais qu’un traitement automatisé de reconnaissance soit mis en œuvre ou non. Certaines bornes du marché — dont les nôtres — savent techniquement faire les deux. Veritemps est livré par défaut du côté simple : photo consultable, aucun gabarit calculé. Activer un mode biométrique reste possible, mais suppose alors de respecter le règlement type de la CNIL sur la biométrie au travail, avec analyse d’impact et nécessité démontrée.

À retenir : un système qui « reconnaît » automatiquement le visage relève de la biométrie et de contraintes bien plus lourdes. Une photo horodatée simplement enregistrée, non.

Pourquoi une photo, et pourquoi c’est proportionné

Le principe de minimisation impose de ne collecter que ce qui est nécessaire à la finalité poursuivie. La finalité, ici, est le décompte fiable du temps de travail — une obligation légale de l’employeur. Or le point faible historique des dispositifs de pointage est le badgeage pour autrui : un badge prêté, un code partagé, et le relevé perd toute valeur.

La photo répond à cette faiblesse avec le moyen le plus léger disponible : elle permet de vérifier, en cas de doute, qui s’est réellement présenté devant l’appareil. C’est précisément l’argument de proportionnalité qu’il faut être capable d’exposer aux salariés et, le cas échéant, à un agent de contrôle : le dispositif est adapté à la finalité, et il n’existe pas d’alternative aussi efficace et moins intrusive.

Les six obligations concrètes de l’employeur

Ces obligations ne sont pas des formalités : en cas de contrôle de la CNIL ou de contentieux, c’est leur respect qui distingue un dispositif défendable d’un dispositif contestable. Elles sont aussi la meilleure réponse aux inquiétudes des équipes : un dispositif expliqué est un dispositif accepté.

• Informer chaque salarié avant la mise en service : finalité, données collectées, durée de conservation, destinataires et droits
• Informer et consulter le comité social et économique lorsqu’il existe, avant le déploiement
• Inscrire le traitement au registre des activités de traitement de l’entreprise
• Définir une durée de conservation proportionnée et l’appliquer réellement
• Restreindre l’accès aux photos aux seules personnes habilitées (responsable, paie)
• Permettre à chaque salarié d’accéder à ses propres données et d’exercer ses droits

Un salarié peut-il refuser d’être photographié ?

La question mérite d’être anticipée, car elle se posera. Le pointage lui-même s’impose au salarié dès lors que l’employeur a mis en place un dispositif de décompte régulier et proportionné : il ne s’agit pas d’une faveur mais d’une modalité d’exécution du contrat de travail. La photo, en revanche, est perçue comme plus intrusive et mérite une réponse construite plutôt qu’un rapport de force.

En pratique, trois éléments désamorcent la quasi-totalité des objections : expliquer que la photo n’est pas une reconnaissance faciale, préciser qu’elle n’est consultée qu’en cas de doute sur un pointage, et rappeler qu’elle protège aussi le salarié — c’est elle qui empêche qu’on lui conteste des heures réellement effectuées. Si une situation particulière persiste, faites arbitrer le cas par votre conseil : les circonstances individuelles comptent.

Combien de temps conserver les photos ?

Le RGPD n’impose pas de durée chiffrée : il impose une durée justifiée par la finalité. Une photo de badgeage sert à lever un doute sur un pointage ; passé le délai pendant lequel ce doute peut survenir — en pratique, une fois la paie du mois validée et la période de contestation écoulée — sa conservation devient difficile à justifier.

Les documents de décompte des heures, eux, obéissent à une logique différente et doivent pouvoir être présentés à l’inspection du travail. Distinguez donc clairement deux durées : une durée courte pour les photos, une durée plus longue pour le relevé horaire lui-même. Faites valider ces deux durées par votre conseil, puis inscrivez-les dans votre registre et appliquez-les automatiquement.

Comment présenter le dispositif à vos équipes

L’expérience des déploiements montre qu’une note d’information claire, remise avant la mise en service, vaut mieux qu’une longue réunion. Elle doit tenir en une page et répondre à cinq questions : pourquoi ce dispositif, quelles données sont enregistrées, qui peut les consulter, combien de temps elles sont conservées, et comment exercer ses droits.

Ajoutez-y un élément souvent oublié et pourtant décisif : dites aux salariés qu’ils peuvent consulter leur propre relevé d’heures. Un dispositif qui rend les heures visibles des deux côtés change de nature aux yeux des équipes — il cesse d’être un outil de surveillance pour devenir un outil de preuve partagé.