Reconnaissance faciale en entreprise : la loi en 2026
La reconnaissance faciale en entreprise reste interdite par défaut. Découvrez le cadre légal 2026, les dérogations OIV et les alternatives conformes.
Portiques biométriques, badges intelligents, caméras "intelligentes"... la tentation d'équiper ses locaux de reconnaissance faciale est grande pour les entreprises en quête de sécurité. Mais en France, cette technologie reste l'une des plus encadrées du droit numérique. Entre RGPD, position constante de la CNIL et nouvel AI Act européen, la marge de manœuvre des entreprises privées est extrêmement réduite en 2026, sauf exceptions très précises réservées aux sites les plus sensibles. GDV, fait le point sur ce que dit la loi, ce qui est strictement interdit, et les solutions réellement disponibles pour sécuriser vos accès sans risquer une sanction.
Reconnaissance faciale et biométrie : de quoi parle-t-on exactement ?
La reconnaissance faciale est une technique d'identification biométrique qui analyse les caractéristiques du visage (gabarit facial) pour reconnaître automatiquement une personne. Elle se distingue de deux autres usages, souvent confondus :
- L'identification (1:N) : le système compare un visage à l'ensemble d'une base de données pour répondre à « qui est cette personne ? ». C'est ce type d'usage qui pose le plus de difficultés juridiques.
- L'authentification (1:1) : le système vérifie qu'une personne est bien celle qu'elle prétend être, en comparant son visage à un seul gabarit de référence (ex : déverrouillage d'un smartphone).
Dès lors qu'un visage sert à identifier une personne de manière unique, on entre dans le régime le plus strict du RGPD : celui des données biométriques, considérées comme des données sensibles au même titre que les données de santé.
Le principe : une interdiction par défaut, pas une zone grise
L'article 9 du RGPD pose une interdiction de principe du traitement des données biométriques. Pour qu'une entreprise puisse légalement traiter des visages à des fins d'identification, elle doit cumuler deux conditions, et non une seule :
- Une exception prévue par l'article 9(2) du RGPD (consentement explicite, intérêt public majeur, obligation légale, etc.) ;
- Une base légale valable au titre de l'article 6 du RGPD.
Sur le lieu de travail, ce double verrou se referme encore davantage. La CNIL considère en effet que, du fait du lien de subordination entre employeur et salarié, le consentement du salarié n'est pas juridiquement « libre ». Il ne peut donc pas, à lui seul, justifier la mise en place d'un dispositif de reconnaissance faciale en entreprise.
À ce cadre RGPD s'ajoute depuis 2024 l'AI Act européen (Règlement UE 2024/1689), qui classe la plupart des systèmes de reconnaissance faciale parmi les intelligences artificielles à haut risque, voire parmi les pratiques interdites lorsqu'il s'agit d'identification biométrique en temps réel dans un espace accessible au public.
Ce qui est strictement interdit en entreprise : le fichage biométrique
En pratique, voici ce que la CNIL et le droit français interdisent formellement à une entreprise privée, quel que soit son secteur d'activité :
- Le fichage biométrique généralisé des salariés ou visiteurs, c'est-à-dire la constitution d'une base centralisée de gabarits faciaux permettant d'identifier automatiquement chaque personne qui franchit un accès.
- La reconnaissance faciale en temps réel pour surveiller les allées et venues, détecter des comportements ou reconnaître des personnes indésirables dans un espace ouvert au public (accueil, magasin, hall d'entrée).
- L'utilisation de la biométrie pour le seul confort ou le contrôle des horaires (pointeuse faciale) : la CNIL considère systématiquement cet usage comme disproportionné, un badge ou un digicode suffisant à cette finalité administrative.
- Le scoring ou la catégorisation biométrique des personnes (analyse d'émotions, profilage comportemental à partir du visage), expressément visés par l'AI Act parmi les pratiques interdites.
- Le recours au seul consentement du salarié comme base légale unique d'un dispositif biométrique.
La sanction de référence en la matière reste celle infligée à Clearview AI : 20 millions d'euros d'amende par la CNIL pour constitution d'une base de reconnaissance faciale sans base légale. Plus récemment, la CNIL a également adressé un avertissement à un club sportif qui envisageait d'identifier automatiquement des spectateurs par reconnaissance faciale, faute de disposition légale ou réglementaire l'autorisant. Le message envoyé aux entreprises est constant depuis plusieurs années : sans texte spécifique l'autorisant, ce type de traitement est illicite.
Les dérogations possibles : les zones de très haute sécurité et le statut OIV
Le cadre légal prévoit néanmoins des exceptions très encadrées, réservées à des contextes où la certitude absolue de l'identité est jugée indispensable à la sécurité nationale ou à la protection de sites critiques.
Les Opérateurs d'Importance Vitale (OIV), définis par le Code de la défense (article L.1332-1 et suivants), sont des organisations publiques ou privées dont l'indisponibilité mettrait en péril la sécurité ou la survie de la nation (énergie, transports, santé, communications, finance...). Pour leurs Points d'Importance Vitale (PIV), ces opérateurs peuvent être autorisés, par décret pris après avis motivé de la CNIL, à déployer un contrôle d'accès biométrique renforcé, dans un cadre strictement défini :
- Le traitement doit avoir pour finalité unique le contrôle d'accès à la zone protégée, à l'exclusion de tout contrôle des horaires du personnel.
- Seules sont enregistrées les données des personnes affectées et autorisées à pénétrer dans la zone.
- Le gabarit biométrique peut être stocké sur un support individuel détenu par l'agent (badge) plutôt que dans une base centralisée, ce que la CNIL recommande comme garantie supplémentaire.
- Une AIPD (Analyse d'Impact relative à la Protection des Données) est obligatoire avant toute mise en œuvre.
Ce régime dérogatoire concerne également certains sites classés Seveso ou des installations à très haut niveau de sûreté. Il reste toutefois l'exception, et non la règle : la quasi-totalité des sites tertiaires, industriels ou commerciaux ne relèvent pas de ce cadre et doivent s'appuyer sur des solutions de contrôle d'accès classiques.
Tableau comparatif : ce qui est autorisé, ce qui ne l'est pas
| Usage envisagé | Statut légal | Base légale possible | Exemple de contexte |
|---|---|---|---|
| Reconnaissance faciale pour ficher salariés/visiteurs | Interdit | Aucune en pratique | Accueil d'entreprise, hall tertiaire |
| Reconnaissance faciale temps réel en espace public | Interdit (AI Act) | Aucune (sauf forces de l'ordre encadrées) | Zones commerciales, stades |
| Biométrie pour le pointage horaire | Disproportionné / interdit | Aucune | Badgeuse RH |
| Biométrie Type 1 (gabarit sous maîtrise de l'utilisateur, sans base centralisée) | Envisageable sous conditions | Intérêt légitime + AIPD | Salle serveurs, coffre-fort |
| Contrôle d'accès biométrique en zone PIV (OIV) | Dérogation possible | Décret + avis CNIL + AIPD | Sites Seveso, énergie, opérateurs stratégiques |
| Badge, digicode, clé connectée | Autorisé sans restriction particulière | — | Bureaux, sites tertiaires, résidentiel |
Quelles solutions pour sécuriser vos accès sans risquer une sanction ?
Pour l'immense majorité des entreprises, la reconnaissance faciale n'est ni nécessaire ni légale. La bonne nouvelle : il existe des solutions tout aussi efficaces et parfaitement conformes pour sécuriser un site professionnel.
Le contrôle d'accès classique reste la référence. Les systèmes de contrôle d'accès pour professionnels (badge, clavier codé, serrure connectée) couvrent la quasi-totalité des besoins de sécurisation, avec une gestion fine des droits d'accès, un historique traçable et une installation rapide. Pour les immeubles collectifs et copropriétés, les systèmes VIGIK restent la norme incontournable.
Pour les bâtiments tertiaires, GDV propose une large gamme de solutions d'identification pour contrôle d'accès IP, associant badges Mifare/Desfire, claviers et lecteurs connectés, sans traitement de données biométriques. Retrouvez notre comparatif détaillé pour choisir entre un système filaire ou radio selon la configuration de vos sites.
Pour les zones à très haute exigence de sécurité (salle serveurs, coffre, laboratoire), une biométrie de Type 1, où le gabarit reste sous la seule maîtrise de l'utilisateur (support individuel, sans base centralisée), peut être envisagée dans un cadre légal maîtrisé. C'est notamment l'approche mise en avant par Vauban Systems, dont les solutions de contrôle d'accès intègrent le respect du cadre CNIL. Les gammes CDVI complètent utilement ces installations avec des équipements de verrouillage et de gestion d'accès robustes.
En complément, une interphonie et un contrôle d'accès tertiaire bien dimensionnés, associés à de la vidéoprotection classique (sans reconnaissance faciale active), permettent de sécuriser efficacement l'ensemble d'un site sans jamais franchir la ligne rouge réglementaire. Pensez également à vérifier la conformité de vos issues de secours : un contrôle d'accès renforcé ne doit jamais compromettre l'évacuation rapide des occupants.
FAQ : Reconnaissance faciale et entreprise
Elle est interdite par défaut. Le RGPD pose une interdiction de principe pour tout traitement de données biométriques à des fins d'identification, et le consentement des salariés n'est pas reconnu comme une base légale valable en contexte professionnel du fait du lien de subordination. Seuls des cas très précis, encadrés par décret (comme certains OIV), bénéficient d'une dérogation.
Il s'agit de la constitution d'une base de données centralisée de gabarits faciaux permettant d'identifier automatiquement des personnes (salariés, visiteurs, clients) sans base légale spécifique. C'est ce type de traitement qui a valu à Clearview AI une amende de 20 millions d'euros en France.
Seuls les Opérateurs d'Importance Vitale désignés par arrêté ministériel (énergie, transports, santé, finance, communications...) peuvent, pour leurs Points d'Importance Vitale, mettre en place un contrôle d'accès biométrique dérogatoire, après décret pris avec avis motivé de la CNIL et réalisation d'une AIPD. Ce statut ne se demande pas : il est attribué par l'État.
La biométrie de Type 1 laisse le gabarit sous la seule maîtrise de l'utilisateur (support individuel, sans base centralisée), ce que la CNIL considère plus favorablement. Les Types 2 et 3 reposent sur un stockage centralisé des gabarits (base serveur), qui exige des garanties de sécurité renforcées et un cadre juridique beaucoup plus strict.
Les manquements en matière de données biométriques et de vidéosurveillance figurent parmi les priorités de contrôle de la CNIL. Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel, auxquelles s'ajoutent mises en demeure, injonctions sous astreinte et publication de la décision (« name and shame »).
Partager ce contenu