Pointeuse et RGPD : ce que la CNIL exige vraiment des PME en 2026
La CNIL a recadré cet été un outil que presque toutes les PME utilisent sans y penser : la pointeuse.
Le message est simple. Mesurer le temps de présence de vos salariés ne vous autorise pas à collecter n’importe quoi. Une badgeuse traite des données personnelles. Elle tombe sous le RGPD comme n’importe quel fichier.
Deux règles priment. La proportionnalité et la minimisation. Autrement dit : une pointeuse n’enregistre que ce qui sert à décompter le temps de travail. Rien de plus.
Sur le terrain, beaucoup de dispositifs font l’inverse. Historique complet des passages, horodatage à la seconde, parfois une photo à chaque badge, parfois de la biométrie pour « sécuriser ». La CNIL est claire : l’empreinte ou le visage restent l’exception. Si un simple badge suffit, la biométrie est injustifiée.
Je répète souvent la même chose aux PME et collectivités d’Alsace que j’accompagne. Une pointeuse est votre meilleure preuve le jour d’un litige sur les heures. Mais une pointeuse qui sur-collecte devient elle-même un risque. Contrôle CNIL, données gardées trop longtemps, salariés mal informés.
Le bon réflexe tient en une question, à poser avant chaque déploiement. Ai-je besoin de cette donnée, sur cette personne, pendant cette durée ? Si la réponse n’est pas un oui documenté, vous collectez trop.
La rentrée est le bon moment pour auditer votre dispositif. Ce que collecte chaque badgeuse. Combien de temps c’est conservé. Ce que savent vos équipes.
Un outil qui protège ne doit pas, au passage, vous exposer.
La fiche de la CNIL détaille ce qui est permis : l’accès aux locaux et le contrôle des horaires sur le lieu de travail.
