La réglementation sur le contrôle d’accès

Les Systèmes de Contrôle d’Accès (par badge ou électroniques) assurent la sécurité de nos collaborateurs ainsi que de nos biens (cf Vol en entreprise, que faire). En filtrant les flux d’entrée et de sortie d’un bâtiment, ils protègent les locaux ou zones soumis aux risques d’intrusion. Il est important de prendre en compte les risques spécifiques et les besoins de l’entreprise, pour choisir un système de sécurité adapté (vidéosurveillance, alarme intrusion, contrôle d’accès…).

Quelles sont les règles d’utilisation relatives au Système de Contrôle d’Accès ?

1. Qui définit la réglementation ?

La CNIL (Commission Nationale de l’Informatique et des Libertés) encadre les principales règles quant à l’utilisation des dispositifs de contrôles d’accès. Depuis 2018, elle n’a officiellement plus de valeur juridique sur la question, en faveur du RGPD. Toutefois, elle reste considérée comme la « référence maîtresse » dans ce domaine, dans le cadre de son objectif premier ; protéger les données personnelles et préserver les libertés individuelles.

La Norme ISO 27001 détermine également quelques mesures, elle veille principalement à la sécurité des systèmes d’information au global.

Le Code du Travail et le Code Civil ont par ailleurs leur rôle dans la réglementation d’un système de contrôle d’accès et dans sa bonne utilisation. Les lois qui les composent veillent particulièrement au respect de la vie privée des individus et aux droits dont ils disposent.

2. Information des salariés

Avant d’engager toute démarche dans l’installation d’un système de contrôle d’accès, l’employeur a l’obligation de consulter les instances représentatives de l’entreprise et les salariés. Il doit aussi leur faire part des logiciels de contrôle reliés au système (contrôle d’horaire par exemple), pour alerter d’une potentielle collecte de données.

Selon l’article L.432-2-1 du Code du Travail : « Le comité d’entreprise est informé et consulté, préalablement à la décision de mise en œuvre dans l’entreprise, sur les moyens ou les techniques permettant un contrôle de l’activité des salariés. »

Et d’après l’article L1222-4 du Code du Travail : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. »

 L’employeur devra également être transparent avec chacun de ses collaborateurs vis-à-vis des :

• Finalités poursuivies,
• Bases légales du dispositif (code du travail, intérêt légitime de l’employeur),
• Destinataires des données issues du dispositif,
• Durées de conservation des données,
• Droits d’opposition, d’accès et de rectification à cette installation pour motif légitime.

C’est d’ailleurs ce que prévoit l’article L1222-3 du Code du Travail en disant que : « Le salarié est expressément informé, préalablement à leur mise en œuvre, des méthodes et techniques d’évaluation professionnelles mises en œuvre à son égard. Les résultats obtenus sont confidentiels. Les méthodes et techniques d’évaluation des salariés doivent être pertinentes au regard de la finalité poursuivie. »

3. Collecte des données

Puisqu’il y a une collecte et un traitement de données, la question sur la protection devient primordiale. C’est pourquoi la loi prévoit des règles strictes et formelles sur le mode d’utilisation de ces données.

La majeure partie des procédures relatives à la gestion des données se base sur les règles de la CNIL. Néanmoins, il est d’usage de formuler une demande d’avis à la CNIL sur le système choisi et le type de données récoltées. Pour que cette demande soit reçue, elle devra être conforme à la norme NS-42*, pour disposer d’un contrôle d’accès.

*Elle se destine aux entreprises qui font usage classique de leur dispositif d’accès sécurisé (non-biométrique).

PROTECTION DES DONNÉES

Comme nous l’avons évoqué, notre dispositif de sécurité s’utilise uniquement à des finalités poursuivies. Cela signifie donc qu’il s’installe pour motif légitime et doit faire preuve de fiabilité.

En général dans une entreprise, toute information reçue doit rester strictement confidentielle. Il est du devoir de l’employeur et des services gérant le personnel de veiller à la préservation des données personnelles. La CNIL et le Code du Travail disposent ainsi que les données récoltées doivent essentiellement indiquer :

• L’identité du salarié
• Le numéro ou identifiant de son badge
• Les dates et heures d’entrée et de sortie des locaux

A noter qu’un salarié peut très bien exprimer ne pas être en accord avec l’installation d’un tel système. Il sera tout à fait en droit d’engager une réclamation à la CNIL, en adéquation avec l’article L. 1121-1 du Code du Travail : « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché. »

Par ailleurs, l’article 9 du Code Civil dispose que : « Chacun a droit au respect de sa vie privée. »

UTILISATION DES DONNÉES

La conservation des informations relatives aux horaires de travail sert au calcul des congés payés, RTT ou encore heures supplémentaires.

Cependant ces données ne peuvent être utilisées à des fins de licenciement, ou de surveillance excessive de l’activité des salariés. L’employeur ne peut utiliser les fichiers de données pour justifier un non-respect des horaires de travail. Il ne peut également refuser de payer des heures supplémentaires et ceci même au regard des données fournies par le système de contrôle d’accès.

En cas de transgression de ces règles, l’employeur encourt un paiement d’amende.

DURÉE DE CONSERVATION

Les données relatives aux accès des locaux (entrées, sorties) ne se conservent que pendant 3 mois. Passé ce délai, elles devront impérativement être supprimées.

La durée de conservation des données indiquant le suivi d’activité des collaborateurs (horaires, absences) est de 5 ans.

4. En cas de non respect

Les sanctions varient en fonction de la gravité de l’infraction. Elles sont imposées par la CNIL, le RGPD, les tribunaux administratifs ou les tribunaux pénaux. Les entreprises sont soumises à des sanctions financières allant jusqu’à 300 000 euros et à des poursuites judiciaires (jusqu’à 5 ans d’emprisonnement).

En cas de collecte illégale de données personnelles, la CNIL ordonne généralement la confiscation des équipements utilisés pour commettre l’infraction, la suppression des données non conformes et annule leur transfert vers des pays tiers non autorisés, si nécessaire.

Il est donc important de se conformer à la réglementation sur le contrôle d’accès. Elle garantit aussi la sécurité de ses locaux, de ses ressources et des données personnelles. Maîtriser l’ensemble de ses règles vous permettra ainsi de protéger votre entreprise, vos collaborateurs et vos fichiers confidentiels.