Pointeuse, badgeuse et données personnelles : quelles règles respecter ?
Une pointeuse peut enregistrer l’identité du salarié, la date et l’heure de ses arrivées, départs ou pauses, ainsi que les corrections nécessaires au calcul du temps de travail. Ces informations sont des données personnelles. L’employeur peut les utiliser pour suivre les horaires, mais il doit limiter la collecte, informer les salariés, sécuriser les accès et fixer une durée de conservation justifiée.
Quelles données une pointeuse ou une badgeuse enregistre-t-elle ?
Le contenu exact dépend du matériel et du paramétrage. Une solution de suivi du temps enregistre généralement les éléments nécessaires pour rattacher un événement à un salarié et calculer ses heures.
| Catégorie | Exemples | Utilité habituelle |
|---|---|---|
| Identification | Nom, prénom, matricule, identifiant du badge | Attribuer le pointage au bon salarié |
| Événement de pointage | Date, heure, arrivée, départ, début ou fin de pause | Reconstituer les périodes de présence |
| Contexte technique | Badgeuse ou site utilisé, état de transmission | Gérer plusieurs établissements et diagnostiquer une anomalie |
| Gestion des corrections | Valeur initiale, valeur corrigée, date, auteur et motif | Assurer la traçabilité des modifications |
| Données calculées | Durée travaillée, écarts au planning, pauses, heures supplémentaires | Préparer le contrôle des temps et les éléments de paie |
Le badge contient-il les horaires du salarié ?
Pas nécessairement. Dans une installation RFID classique, le badge transmet souvent un identifiant. La badgeuse associe cet identifiant à un événement horodaté, puis le logiciel le rattache au salarié. Même si le nom n’est pas inscrit dans le badge, l’identifiant devient une donnée personnelle dès qu’il peut être relié à une personne.
Pour comprendre le déroulement complet, du passage du badge au rapport d’heures, consultez le fonctionnement de la pointeuse badgeuse et du logiciel web MyTiming.
Dans quel objectif l’employeur peut-il collecter les données de pointage ?
La finalité est l’objectif précis annoncé avant la collecte. Pour une badgeuse de temps, il peut notamment s’agir de décompter les horaires, contrôler les temps de présence, gérer les pauses, détecter les oublis, calculer les heures supplémentaires ou préparer des éléments variables de paie.
Suivi du temps de travail
Enregistrer les débuts et fins d’activité, rapprocher les pointages des plannings et produire des relevés.
Gestion administrative
Traiter une anomalie, justifier une correction et transmettre les données validées nécessaires à la paie.
Respect des durées de travail
Repérer les dépassements, contrôler les pauses et documenter les horaires effectivement réalisés.
Contrôle d’accès distinct
Sécuriser l’entrée d’un bâtiment peut constituer une autre finalité, avec ses propres données et durées.
Le contrôle doit aussi rester justifié et proportionné. L’article L. 1121-1 du Code du travail interdit les restrictions aux droits et libertés qui ne seraient ni justifiées par la tâche à accomplir ni proportionnées au but recherché.
Quelles informations peuvent être collectées, et lesquelles faut-il éviter ?
Le RGPD impose un principe de minimisation : seules les données adéquates, pertinentes et nécessaires à l’objectif peuvent être collectées. Il n’existe donc pas une liste universelle valable pour toutes les entreprises. L’employeur doit pouvoir expliquer l’utilité de chaque champ et de chaque fonction activée.
| Donnée ou fonction | Appréciation pratique |
|---|---|
| Identité, matricule, horaires, type de pointage | Habituellement utiles au décompte individuel du temps. |
| Historique des corrections | Utile pour fiabiliser le relevé, à condition de limiter les commentaires libres aux informations nécessaires. |
| Photographie systématique à chaque pointage | La CNIL considère cette collecte excessive pour contrôler les horaires. |
| Empreinte digitale, visage ou autre donnée biométrique | Excessif pour le suivi des horaires selon la CNIL ; un badge suffit généralement. |
| Géolocalisation permanente ou suivi des déplacements internes | À exclure d’une badgeuse classique si le décompte des horaires peut être réalisé autrement. |
| Données d’accès aux locaux utilisées pour les horaires | Usage interdit s’il détourne la finalité de sécurité initialement annoncée. |
Une collecte plus intrusive n’est pas automatiquement légitime parce qu’elle est techniquement disponible. La bonne question est : peut-on atteindre le même objectif avec moins de données ?
Combien de temps conserver les données de pointage ?
Il faut distinguer plusieurs règles. Le Code du travail fixe des durées pendant lesquelles certains documents doivent rester à la disposition de l’inspection du travail. Le RGPD impose, lui, de ne pas conserver les données sous une forme directement accessible plus longtemps que nécessaire. La CNIL propose enfin des repères pour l’usage courant et l’archivage intermédiaire.
| Données ou documents | Durée | Portée |
|---|---|---|
| Documents comptabilisant les heures de travail de chaque salarié | 1 an | Mise à disposition de l’inspection du travail selon l’article D. 3171-16. |
| Document mensuel récapitulant les heures d’astreinte et leur compensation | 1 an | Mise à disposition de l’inspection du travail selon le même article. |
| Documents comptabilisant les jours de travail des salariés au forfait jours | 3 ans | Mise à disposition de l’inspection du travail. |
| Données d’identification et de journalisation utilisées pour le suivi du temps de travail | Jusqu’à 5 ans en archivage intermédiaire | Repère publié par la CNIL ; accès restreint et conservation justifiée. |
| Journaux d’accès à des locaux utilisés uniquement à des fins de sécurité | 3 mois recommandés | Repère CNIL distinct du suivi des horaires. |
| Données d’identification liées à une habilitation d’accès | Durée de l’habilitation en base active | À supprimer ou archiver selon le besoin justifié à la fin de l’habilitation. |
Ces durées ne signifient pas que toutes les données doivent rester cinq ans dans l’interface quotidienne. L’archivage intermédiaire consiste à isoler les informations qui ne servent plus à la gestion courante mais restent nécessaires pour une obligation ou un contentieux identifié. Les accès doivent alors être plus restreints.
L’action en paiement ou en répétition du salaire se prescrit par trois ans, selon l’article L. 3245-1 du Code du travail. Ce délai doit être pris en compte dans la politique de conservation, sans être confondu avec la durée d’un an prévue pour la présentation des décomptes à l’inspection du travail.
Pour le détail des repères RGPD, consultez la fiche de la CNIL sur l’accès aux locaux et le contrôle des horaires et son référentiel des durées de conservation RH.
Qui peut accéder aux données de pointage ?
L’accès ne doit pas être ouvert à tous les managers ou à l’ensemble de l’entreprise. La CNIL indique que les informations doivent être réservées aux personnes habilitées, dans la limite de ce dont elles ont besoin pour leur mission.
- Service RH ou administration du personnel : contrôle des relevés, gestion des anomalies et conservation des justificatifs.
- Service paie : accès aux données validées nécessaires au calcul de la rémunération.
- Managers autorisés : accès limité à leur équipe et aux informations utiles pour valider les temps.
- Administrateurs techniques : accès encadré, tracé et limité aux opérations nécessaires au maintien du système.
- Prestataire : accès uniquement dans le cadre du contrat de sous-traitance et des instructions de l’employeur.
- Inspection du travail : présentation des documents prévus par le Code du travail dans le cadre de ses pouvoirs de contrôle.
Les représentants du personnel n’ont pas pour autant un accès général et permanent à tous les pointages nominatifs. Leurs droits d’accès aux documents dépendent de leurs missions et des dispositions applicables. L’employeur doit vérifier le fondement précis avant toute transmission.
Une politique d’habilitation doit préciser qui peut consulter, corriger, exporter ou supprimer les données. Les connexions et opérations sensibles doivent être journalisées. La CNIL recommande également une authentification multifacteur pour l’accès au logiciel lorsque cela est adapté.
Quelles sont les obligations de l’employeur avant d’installer une badgeuse ?
Depuis l’entrée en application du RGPD, une badgeuse classique ne fait pas l’objet d’une déclaration préalable générale à la CNIL. L’absence de déclaration ne supprime toutefois aucune obligation de conformité.
- Définir les finalités et la base légale. Distinguez le suivi du temps, la préparation de la paie et, le cas échéant, le contrôle d’accès. Le consentement est rarement une base adaptée dans la relation de travail en raison du lien de subordination.
- Limiter les données et les fonctions. Désactivez la photo, la biométrie, la géolocalisation ou les champs libres s’ils ne sont pas nécessaires.
- Informer les salariés avant la collecte. L’information doit être claire et accessible. L’article L. 1222-4 du Code du travail interdit de collecter une information personnelle au moyen d’un dispositif qui n’a pas été préalablement porté à la connaissance du salarié.
- Informer et consulter le CSE lorsque les textes l’imposent. Dans les entreprises concernées par l’article L. 2312-38 du Code du travail, cette démarche intervient avant la décision de mise en œuvre d’un moyen permettant le contrôle de l’activité.
- Inscrire le traitement au registre RGPD. Décrivez les finalités, catégories de personnes et de données, destinataires, durées, mesures de sécurité et éventuels transferts.
- Encadrer le fournisseur. Si l’éditeur héberge ou traite les données pour l’entreprise, un contrat conforme à l’article 28 du RGPD doit définir ses obligations, la sécurité, l’assistance et le sort des données en fin de service.
- Sécuriser les informations. Comptes individuels, droits par rôle, mots de passe robustes, chiffrement des échanges, sauvegardes, mises à jour et traçabilité sont à adapter aux risques.
- Organiser la conservation et les droits. Automatisez les échéances, documentez l’archivage et prévoyez un canal pour traiter les demandes des salariés.
Que doit contenir la note d’information remise aux salariés ?
Elle doit présenter au minimum l’identité du responsable du traitement, les finalités, la base légale, les données concernées, les destinataires, les durées de conservation, les éventuels transferts hors de l’Union européenne, les droits applicables, la manière de les exercer, les coordonnées du délégué à la protection des données s’il existe et la possibilité de saisir la CNIL.
Quels sont les droits des salariés sur leurs données de pointage ?
Le salarié peut demander à savoir si des données le concernant sont traitées, accéder à ces données et en obtenir une copie. Il peut aussi demander la rectification d’une erreur, par exemple un pointage attribué au mauvais jour ou une correction inexacte.
Les droits à l’effacement, à l’opposition et à la limitation peuvent également s’appliquer, mais ils ne sont pas absolus. L’employeur peut devoir conserver certaines informations pour respecter une obligation légale ou défendre un droit en justice. Il doit alors expliquer le motif de son refus ou de la limitation apportée à la demande.
Si la réponse est absente ou insatisfaisante, le salarié peut adresser une plainte à la CNIL. Pour une question portant sur les conditions de travail ou la mise en place du contrôle, il peut aussi se rapprocher de l’inspection du travail.
Badgeuse classique ou pointeuse biométrique : quelle différence ?
| Critère | Badgeuse classique | Pointeuse biométrique |
|---|---|---|
| Identifiant | Badge RFID, code ou autre identifiant non biométrique | Empreinte, visage, réseau veineux ou autre caractéristique physique |
| Nature des données | Données personnelles ordinaires | Données biométriques relevant d’une catégorie particulièrement protégée lorsqu’elles servent à identifier une personne |
| Usage pour les horaires | Adapté si la collecte est proportionnée et correctement encadrée | Considéré comme excessif par la CNIL pour contrôler les horaires |
| Niveau de contraintes | Registre, information, sécurité, conservation et droits | Justification renforcée, cadre de l’article 9 du RGPD et, pour un accès biométrique à des locaux, AIPD et exigences spécifiques |
Pour le décompte du temps de travail, le risque qu’un salarié prête son badge ne suffit pas à rendre la biométrie proportionnée. La position actuelle de la CNIL est claire : la biométrie, comme la photographie systématique à chaque pointage, apparaît excessive au regard de l’objectif de contrôle des horaires.
Pour un contrôle d’accès biométrique justifié, la CNIL demande notamment une analyse d’impact relative à la protection des données (AIPD), une documentation détaillée des choix et des mesures de sécurité fortes. Le stockage du gabarit biométrique sur un support individuel doit en principe être privilégié.
Comment choisir une solution de pointage respectueuse des données personnelles ?
Une solution conforme ne dépend pas uniquement du lieu d’hébergement ou d’une mention « conforme RGPD ». Elle doit permettre à l’employeur d’appliquer concrètement ses propres règles de collecte, d’accès, de conservation et de sécurité.
- Privilégier un identifiant non biométrique pour le suivi des horaires : badge RFID, code individuel ou pointage web authentifié.
- Vérifier les données réellement générées par la badgeuse, le logiciel, les journaux techniques, les sauvegardes et les exports.
- Exiger des droits d’accès granulaires par rôle, service, équipe et établissement.
- Conserver l’historique des corrections sans autoriser l’effacement silencieux d’un pointage initial.
- Paramétrer les durées pour la base active, les archives, les sauvegardes et la fin de contrat.
- Contrôler la sécurité : chiffrement des échanges, comptes nominatifs, authentification renforcée, journalisation et mises à jour.
- Identifier l’hébergement et les sous-traitants, ainsi que les mécanismes utilisés en cas de transfert de données hors de l’Espace économique européen.
- Prévoir la restitution et la suppression des données dans un format exploitable si l’entreprise change de fournisseur.
- Tester la gestion des anomalies pour traiter un oubli de pointage sans perdre la trace de la correction.
Le logiciel doit aussi aider à produire des relevés compréhensibles. Un bon paramétrage rapproche les pointages des plannings, met en évidence les écarts et facilite le contrôle des heures supplémentaires, du temps de pause au travail et du temps de présence par rapport au travail effectif.
Questions fréquentes sur les badgeuses et le RGPD
Quelles données une pointeuse enregistre-t-elle ?
Une pointeuse enregistre généralement l’identité ou le matricule du salarié, la date et l’heure du pointage, le type d’événement comme une arrivée, un départ ou une pause, ainsi que les corrections et calculs nécessaires au suivi du temps. La collecte doit rester limitée aux informations utiles à la finalité annoncée.
Combien de temps conserver les données de pointage ?
Le Code du travail impose notamment de tenir les documents comptabilisant les heures à disposition de l’inspection du travail pendant un an, et ceux comptabilisant les jours des salariés au forfait jours pendant trois ans. La CNIL indique que les données utilisées pour le suivi du temps de travail peuvent être conservées en archivage intermédiaire jusqu’à cinq ans. La durée doit être définie selon la finalité et le fondement applicable.
L’employeur doit-il informer les salariés avant d’installer une badgeuse ?
Oui. Le salarié doit être informé avant la collecte, notamment des objectifs du dispositif, de sa base légale, des données collectées, des destinataires, des durées de conservation et de ses droits. Le comité social et économique doit aussi être informé et consulté lorsque les règles du Code du travail l’exigent.
Peut-on utiliser une pointeuse biométrique pour contrôler les horaires ?
La CNIL considère qu’un dispositif biométrique de contrôle des horaires est excessif au regard du principe de minimisation. Pour le suivi du temps de travail, une solution non biométrique, par exemple un badge, doit être privilégiée. La biométrie peut relever d’un autre cadre pour sécuriser l’accès à des locaux sensibles, si sa nécessité est démontrée et les garanties requises sont respectées.
Un salarié peut-il consulter ses données de pointage ?
Oui. Il peut demander l’accès aux données personnelles qui le concernent et, selon la situation, leur rectification. Les autres droits prévus par le RGPD, comme l’effacement, l’opposition ou la limitation, dépendent du fondement du traitement et ne sont pas absolus.
Une badgeuse doit-elle être déclarée à la CNIL ?
Une badgeuse non biométrique ne fait plus l’objet d’une déclaration préalable générale depuis l’application du RGPD. L’employeur doit toutefois documenter le traitement dans son registre, informer les salariés, organiser les durées, sécuriser les données et respecter les autres obligations applicables.
Une collecte simple, expliquée et maîtrisée
Une badgeuse respectueuse des données personnelles collecte peu d’informations, pour un objectif précis et connu des salariés. Les personnes habilitées accèdent uniquement à ce qui leur est utile, les corrections restent traçables et les données quittent l’interface courante lorsqu’elles ne sont plus nécessaires.
Pour une PME, le choix le plus proportionné reste généralement une badgeuse non biométrique associée à un logiciel qui permet de gérer les habilitations, les exports et les durées de conservation. MyTiming centralise les arrivées, départs et pauses dans une interface web afin de faciliter le contrôle des temps sans recourir à la biométrie.