La Cnil a mis en demeure des organismes utilisant des badgeuses photo afin qu'ils mettent leurs dispositifs de contrôle des horaires en conformité avec le RGPD.
En 2018, la Commission nationale de l'informatique et des libertés (Cnil) a reçu six plaintes émanant d’agents publics et de salariés d’entreprises dénonçant la mise en place par leur employeur de badgeuses photo sur leur lieu de travail. Ces dispositifs de contrôle d’accès par badge intègrent une prise de photographie systématique à chaque pointage.
Quatre contrôles, menés entre mars et septembre 2019, ont permis de confirmer l’usage de ces dispositifs au sein des organismes publics et privés.
La Cnil a considéré que l’utilisation de badgeuses photo par les organismes contrevenait au principe de minimisation prévu par l’article 5(1.c) du règlement général sur la protection des données (Règlement 2016/679 - RGPD). La collecte obligatoire et systématique, deux à quatre fois par jour, de la photographie de l’employé à chacun de ses pointages apparaît excessive.
En effet, les outils de gestion des horaires sans prise de photographie, tels que les pointeuses à badge classiques, apparaissent suffisants, sauf circonstances particulières et dûment étayées, pour remplir la finalité de contrôle des horaires de travail. Les pointeuses par badge enregistrent le jour et l’heure de pointage de la personne utilisant le badge et permettent d’assurer un contrôle satisfaisant des horaires de travail des agents.
Les contrôles de la Cnil ont notamment permis de constater qu’en pratique, l’accès aux photographies pour contrôler les horaires des salariés était quasi inexistant, et qu’il n’y avait pas de procédure contentieuse initiée sur la base des informations collectées par ces dispositifs.
Le 27 août 2020, la Cnil a annoncé qu'elle avait mis les organismes concernés en demeure de rendre leurs dispositifs de contrôle des horaires conformes au RGPD dans un délai de trois mois.
La Cnil rappelle que le renforcement du rôle du personnel encadrant (managers), notamment pour prévenir et empêcher la fraude devrait, par principe, être privilégié au recours à des dispositifs de contrôle reposant sur des technologies intrusives.
