Accueil › Blog › Reconnaissance faciale au travail

Reconnaissance faciale au travail : ce que la loi autorise et interdit

Publié le 31 octobre 2026 · par Amine, certifié DPO et CIPP/E · 7 min de lecture

Un lecteur de visages à l'entrée du bâtiment, une pointeuse qui scanne ta tête, un logiciel qui note ton ton dans les réunions. Ces dispositifs existent, ils se vendent, et on te les présente souvent comme un simple progrès technique. La réalité juridique est beaucoup plus raide : en France et en Europe, la biométrie au travail n'est pas un sujet ordinaire. C'est une ligne rouge.

La biométrie, ce n'est pas un badge un peu plus moderne

La confusion commence au niveau du vocabulaire. Un badge, un mot de passe, un code : ce sont des choses qu'on te donne et que tu peux perdre, casser, changer. La biométrie, elle, repose sur ton corps.

La CNIL la définit comme l'ensemble des techniques qui permettent de reconnaître automatiquement un individu à partir de ses caractéristiques physiques, biologiques ou comportementales : empreinte digitale, iris, voix, visage, démarche. Le point décisif, que la CNIL formule sans détour, c'est que ces données reposent sur une réalité biologique permanente dont on ne peut pas s'affranchir. On ne change pas de visage comme on change de badge. Si un gabarit biométrique fuit ou est détourné, il n'y a pas de « réinitialisation de mot de passe » possible.

Il faut aussi distinguer deux choses que le marketing mélange volontiers. La détection de visage constate qu'un visage est présent dans une image, sans dire à qui il appartient. La reconnaissance faciale, elle, associe ce visage à une personne identifiée. C'est cette seconde opération qui fait basculer le traitement dans le régime le plus strict du droit des données.

Pourquoi la biométrie est-elle un cas à part dans le droit ?

La réponse tient à un article précis du Règlement général sur la protection des données, l'article 9. Il dresse la liste des catégories particulières de données — ce qu'on appelle couramment les données sensibles : l'origine ethnique, les opinions politiques, les convictions religieuses, la santé, la vie sexuelle… et les données biométriques aux fins d'identifier une personne physique de manière unique.

Le principe posé par cet article est une interdiction de traitement. Ce n'est pas « fais-le mais sois prudent », c'est « interdit, sauf exception ». Ces exceptions sont limitativement énumérées : le consentement explicite, l'exécution des obligations en matière de droit du travail ou de sécurité sociale, la protection des intérêts vitaux, entre autres. Le fait que le droit du travail figure dans la liste ne veut pas dire que tout est permis dès qu'on est en entreprise — c'est là que la CNIL intervient pour dire précisément à quelles conditions.

Que dit la CNIL ? Le test de nécessité et les trois types de stockage

Le 28 mars 2019, la CNIL a adopté un règlement type « biométrie sur les lieux de travail », un texte qui précise les obligations des employeurs qui veulent recourir à un dispositif biométrique pour contrôler l'accès aux locaux, aux applications ou aux outils de travail. Ce règlement a un caractère contraignant : un organisme qui met en œuvre ce genre de traitement est tenu de le respecter.

La première étape, et la plus déterminante, est un test de nécessité. Avant d'installer quoi que ce soit, l'employeur doit vérifier que le traitement biométrique est réellement nécessaire. La CNIL donne les réponses types : si un système de badge est suffisant, la réponse est non ; si le dispositif ne répond qu'à un besoin de confort, la réponse est non ; si les locaux, applications ou appareils protégés ne sont pas particulièrement sensibles, la réponse est non. Autrement dit, la biométrie n'est admissible qu'en dernier recours, pour protéger ce qui est véritablement critique.

Si le test est passé, la deuxième étape porte sur la maîtrise du gabarit biométrique. La CNIL hiérarchise trois types de stockage : le gabarit reste sous maîtrise exclusive de la personne (sur un support individuel), c'est le type 1, à privilégier ; à défaut, un stockage sous maîtrise partagée, où un secret détenu par la personne rend le gabarit illisible (type 2) ; et seulement en dernier recours, un stockage sous maîtrise exclusive de l'employeur (type 3). Quel que soit le type retenu, l'employeur doit mener une analyse d'impact relative à la protection des données (AIPD), justifier ses choix, et, le cas échéant, informer ou consulter les instances représentatives du personnel.

Traduit simplement : la reconnaissance faciale à l'entrée d'un open space, sans AIPD, sans consultation du CSE, sans démonstration qu'un badge ne suffisait pas, ne respecte à peu près aucun de ces critères.

La reconnaissance des émotions : le point interdit par l'AI Act

Il y a une ligne que même le meilleur dossier de justification ne peut pas franchir. Depuis le 2 février 2025, l'article 5 du règlement européen sur l'intelligence artificielle — le fameux AI Act, règlement (UE) 2024/1689 — interdit la mise sur le marché et l'utilisation de systèmes d'IA de reconnaissance des émotions sur le lieu de travail et dans les établissements d'enseignement.

Cela vise les outils qui prétendent déduire ton état émotionnel de ta voix, de tes expressions faciales ou de ta posture : un logiciel qui « note » ton enthousiasme en entretien, qui alerte sur le « stress » d'une équipe pendant une réunion, ou qui mesure ton implication à partir de la caméra de ton poste. Ces pratiques ne sont plus simplement risquées juridiquement, elles sont prohibées. Seules des raisons médicales ou de sécurité peuvent y échapper.

L'AI Act interdit par ailleurs, dans son ensemble, la catégorisation biométrique qui classe les personnes selon des critères sensibles, et il encadre très strictement l'identification biométrique à distance. Le message d'ensemble est cohérent : ce qui touche au corps comme moyen d'identification ou d'évaluation relève d'un niveau de protection maximal.

Ton employeur installe un lecteur biométrique : que faire ?

La bonne nouvelle, c'est que tu n'es pas sans prise. La logique du RGPD et de la CNIL place la charge de la preuve du côté de celui qui installe le dispositif, pas du côté de celui qui le subit.

Commence par poser les questions simples, par écrit si possible : pourquoi la biométrie plutôt qu'un badge ? Où sont stockés les gabarits, et qui y a accès ? Une analyse d'impact a-t-elle été réalisée ? Le CSE a-t-il été informé ou consulté ? Si l'employeur ne peut pas répondre à ces questions, c'est déjà un signal fort que le dispositif n'est pas en règle.

Tu peux ensuite agir : saisir ton délégué du personnel ou le CSE, qui est justement l'instance que l'employeur aurait dû consulter ; adresser une plainte à la CNIL, qui est l'autorité de contrôle compétente et qui sanctionne ; ou, si tu veux un point sur l'ensemble de ta situation face à l'IA au travail, commencer par évaluer où tu en es. La biométrie n'est en réalité qu'un cas particulier d'un sujet plus large : jusqu'où ton employeur peut-il aller dans la collecte d'informations sur toi.

Questions fréquentes

Écrit par Amine Lounnas

AI business analyst depuis cinq ans dans des grands groupes du CAC 40 — banque, assurance, énergie. Certifié DPO et CIPP/E. Mon métier consiste à identifier quelles tâches une entreprise peut automatiser ; ce site retourne cette méthode vers les salariés, et explique ce que la loi protège — ou pas.

Qui écrit ici, et comment →