Données biométriques

Ce que ça change pour une organisation

Lorsqu’elles servent à identifier une personne de manière unique, les données biométriques entrent dans les catégories particulières de l’article 9 du RGPD : leur traitement est interdit, sauf exception, par exemple le consentement explicite ou certaines obligations du droit du travail. La CNIL les range parmi les données sensibles : c’est à l’organisation de démontrer qu’elle entre dans une exception.

La CNIL souligne une particularité : à la différence d’un badge ou d’un mot de passe, une caractéristique biométrique ne peut être ni abandonnée ni modifiée, ce qui rend un détournement durablement préjudiciable. Son règlement type, publié le 28 mars 2019 et contraignant, impose à l’employeur qui souhaite contrôler l’accès à des locaux, des applications ou des outils de travail de justifier d’abord la nécessité du dispositif (un système de badge suffisant retire cette justification), de privilégier un gabarit conservé sous la maîtrise de la personne, de réaliser une analyse d’impact et, le cas échéant, d’informer ou de consulter les représentants du personnel.

Une photographie ne devient une donnée biométrique que lorsqu’un dispositif en extrait un gabarit permettant une identification unique.

Exemple

À partir du 12 octobre 2025, 29 pays européens ont déployé progressivement le système d’entrée/sortie (EES) aux frontières extérieures. Les ressortissants de pays tiers en court séjour y fournissent, lors de leur première entrée ou sortie, les informations de leur passeport, une image faciale et leurs empreintes digitales, la pleine application étant fixée au 10 avril 2026. Un employeur, lui, doit justifier chaque recours à la biométrie.

À ne pas confondre avec

• Une donnée personnelle ordinaire, comme une adresse ou un numéro de téléphone, dont le traitement n’est pas soumis à une interdiction de principe.
• Les données sensibles au sens large (santé, opinions politiques, origine, appartenance syndicale), catégorie dans laquelle les données biométriques ne figurent que lorsqu’elles servent à identifier une personne de manière unique.
• La reconnaissance faciale, technique d’identification qui exploite des données biométriques du visage ; la notion de donnée biométrique est plus large (empreintes, iris, voix, démarche).