Biométrie en entreprise : avez-vous le droit d’exiger l’empreinte digitale de vos employés au Québec ?

En tant que gestionnaire ou dirigeant d’entreprise au Québec, l’idée de moderniser vos systèmes d’accès et de gestion du temps avec la biométrie est séduisante. Fini les cartes perdues, les « buddy punching » et les oublis de pointage. La promesse d’une identification unique, rapide et infalsifiable semble être la solution parfaite pour optimiser la sécurité et l’efficacité. On imagine souvent qu’il suffit d’obtenir l’accord des employés pour déployer ces technologies de pointe. Pourtant, cette vision est une simplification dangereuse face à la rigueur de la Loi 25 et à l’interprétation stricte de la Commission d’accès à l’information (CAI).

La réalité juridique québécoise est bien plus complexe. La CAI a établi très clairement qu’en matière de données biométriques, le consentement n’est pas une carte blanche. Le véritable enjeu n’est pas technologique, mais éthique et légal. Il repose sur deux piliers indissociables : la nécessité et la proportionnalité. Un projet biométrique peut être refusé même si 100% de vos employés y consentent, simplement parce que l’atteinte à la vie privée qu’il représente est jugée disproportionnée par rapport à l’objectif visé. Le caractère immuable d’une empreinte digitale, d’un visage ou d’un iris — des données que l’on ne peut « réinitialiser » comme un mot de passe — justifie cette extrême prudence.

Cet article n’est pas un simple résumé de la loi. C’est un guide stratégique pour vous, décideurs, afin de vous apprendre à penser comme la CAI. Nous allons décortiquer, à travers des cas concrets et les critères officiels, comment évaluer si votre projet a la moindre chance d’être jugé légitime. L’objectif : transformer la conformité d’un obstacle redouté en un processus de décision éclairé qui protège à la fois votre entreprise des sanctions et vos employés de la surveillance excessive.

Pour naviguer cette complexité, nous aborderons les points essentiels qui déterminent la légalité et la rentabilité d’un projet biométrique au Québec. Ce guide structuré vous donnera les clés pour évaluer votre situation avec rigueur.

Pourquoi utiliser la biométrie pour la porte de la cafétéria est illégal ?

La question peut sembler triviale, mais elle est au cœur de la doctrine de la Commission d’accès à l’information (CAI) : le principe de proportionnalité. Utiliser une technologie aussi intrusive que la reconnaissance d’empreintes digitales pour gérer l’accès à un lieu à faible risque comme une cafétéria est presque systématiquement jugé illégal au Québec. La raison est simple : l’atteinte potentielle à la vie privée de l’employé est immense, alors que le bénéfice pour l’entreprise (un peu de commodité, un contrôle d’accès basique) est minime. L’enjeu – s’assurer qu’un employé a le droit de prendre un café – ne justifie en rien la collecte d’une donnée biologique unique et immuable.

Le cas de Transcontinental en est l’illustration parfaite. L’entreprise avait mis en place un système de reconnaissance faciale pour le pointage. La CAI a ordonné son démantèlement, car Transcontinental n’a pas pu prouver l’existence d’un problème réel et significatif (comme une fraude au temps de travail généralisée et documentée) qui justifierait une telle intrusion. Cette décision rappelle aux entreprises québécoises que la simple recherche de « modernité » ou de « commodité » n’est jamais une justification suffisante.

Avant même de considérer la biométrie, la Loi 25 vous oblige à évaluer des alternatives moins intrusives. Pour un accès à une cafétéria ou même à des bureaux, ces solutions sont nombreuses et efficaces.

Empreinte, visage ou iris : quelle biométrie est la plus hygiénique en période de virus ?

Dans un contexte post-pandémique, la question de l’hygiène est devenue centrale. Les technologies biométriques sans contact, comme la reconnaissance faciale ou de l’iris, présentent un avantage sanitaire évident sur les lecteurs d’empreintes digitales qui nécessitent un contact physique répété. Elles éliminent un vecteur potentiel de transmission de virus et peuvent sembler plus modernes et rassurantes pour les employés. Cependant, il s’agit d’un piège si l’on ne considère que cet aspect. En matière de conformité à la Loi 25, une technologie « plus hygiénique » n’est pas nécessairement « plus légale ». En réalité, la reconnaissance faciale est souvent perçue comme encore plus intrusive que l’empreinte digitale.

L’enjeu principal n’est pas l’hygiène physique, mais bien « l’hygiène de vos données ». Le sujet est si sensible que, selon le rapport annuel de la CAI, on a observé une augmentation de 59% des déclarations de collecte de données biométriques en 2023-2024, signe que les entreprises explorent ces solutions, mais aussi que la surveillance de la Commission s’intensifie.

L’intrusivité perçue est un facteur clé dans l’analyse de la proportionnalité. Un système qui capture l’image du visage d’un employé plusieurs fois par jour peut être considéré comme une forme de surveillance continue, bien au-delà du simple acte d’identification. C’est pourquoi l’argument du consentement de l’employé est si souvent invalidé par la CAI. Comme le rappelle l’institution dans ses directives, le consentement ne peut légitimer une collecte de données qui n’est pas fondamentalement nécessaire. La Commission d’accès à l’information l’a répété à maintes reprises, comme le souligne un guide sur le sujet :

La CAI a affirmé de façon répétée que l’exigence de nécessité ne peut être contournée, même lorsque la personne concernée a consenti à la collecte et à l’utilisation de ses données biométriques.

– Commission d’accès à l’information, Guide de la CAI sur la biométrie

Base de données centralisée ou stockage sur carte à puce : quelle option respecte la Loi 25 ?

Une fois le test de nécessité (hypothétiquement) passé, une question technique cruciale se pose : où stocker les gabarits biométriques ? L’approche traditionnelle consiste à créer une base de données centralisée sur les serveurs de l’entreprise. Cette méthode présente un risque colossal : en cas de cyberattaque, un pirate pourrait voler les données biométriques de centaines d’employés d’un seul coup. Rappelons-le, une empreinte digitale volée l’est à vie. C’est le scénario catastrophe que la Loi 25 cherche à tout prix à éviter.

Face à ce risque, une alternative bien plus respectueuse de la vie privée gagne du terrain : le stockage sur support individuel, aussi appelé « Match-on-Card ». Le principe est simple : le gabarit biométrique de l’employé n’est jamais stocké par l’entreprise. Il est enregistré et chiffré uniquement sur une carte à puce personnelle (ou même un téléphone) que l’employé conserve. Lors de l’identification, le lecteur compare l’empreinte présentée avec celle stockée sur la carte, sans jamais que la donnée ne transite sur un réseau ou ne soit conservée dans une base de données externe.

Cette approche décentralisée offre des avantages considérables du point de vue de la gouvernance des données et simplifie grandement la conformité :

• Réduction de la responsabilité : L’entreprise ne « détient » plus la donnée biométrique sensible, ce qui limite son exposition en cas de fuite.
• Minimisation de la collecte : Le principe est respecté nativement, car aucune base de données n’est constituée.
• Droit à l’effacement simplifié : Si un employé quitte l’entreprise, il lui suffit de détruire sa carte. Il n’y a aucune donnée à purger de serveurs.
• Portabilité des données : L’employé est littéralement en possession de sa propre donnée.
• Élimination du risque de fuite massive : Le vol d’une seule carte n’expose pas l’ensemble des employés.

L’erreur de ne pas prévoir d’alternative pour les employés aux empreintes illisibles

L’une des erreurs les plus courantes lors de la planification d’un système biométrique est de le concevoir comme une solution unique et obligatoire pour tous. C’est une double faute : une faute pratique et une faute légale. D’un point de vue pratique, environ 2 à 5% de la population a des empreintes digitales difficiles, voire impossibles à lire en raison de l’âge, de certaines professions manuelles (usure de la peau) ou de conditions médicales. Ne pas prévoir de solution pour ces personnes, c’est créer une exclusion et une frustration inacceptables.

D’un point de vue légal, c’est encore plus grave. La Charte des droits et libertés de la personne du Québec et la Loi 25 imposent à l’employeur une obligation d’accommodement raisonnable. Un employé doit pouvoir refuser la collecte de ses données biométriques pour des motifs valables (religieux, médicaux, ou simplement par conviction personnelle sur la protection de sa vie privée) sans subir de préjudice. L’employeur a donc l’obligation légale de proposer une alternative fonctionnelle et non discriminatoire.

La Commission d’accès à l’information est catégorique sur ce point, comme elle le précise dans ses directives officielles :

Puisque les personnes doivent être libres de refuser la collecte de leurs renseignements biométriques ou de retirer leur consentement, une autre solution (p. ex. cartes d’accès, jetons uniques, etc.) doit être prévue.

– Commission d’accès à l’information du Québec, Guide biométrie – Obligations légales

Cette alternative doit être pensée en amont et être réellement équivalente en termes de dignité et de fonctionnalité. Proposer une carte à puce est une excellente option. En revanche, imposer à l’employé qui refuse la biométrie un processus manuel long et stigmatisant (signer un registre, passer par le bureau du superviseur, etc.) pourrait être considéré comme une mesure punitive et donc discriminatoire. L’existence même de cette obligation d’alternative affaiblit d’ailleurs souvent l’argument de « nécessité » de la biométrie : si une alternative efficace existe pour certains, pourquoi ne pourrait-elle pas l’être pour tous ?

Quand passer des cartes magnétiques à la biométrie : le calcul de rentabilité

Le passage à la biométrie est souvent justifié par un calcul de retour sur investissement (ROI) basé sur la réduction de la fraude au temps de travail ou le coût de remplacement des cartes perdues. Cependant, ce calcul est dangereusement incomplet s’il n’intègre pas les coûts cachés et les risques financiers liés à la conformité avec la Loi 25. Le coût d’un système biométrique ne se limite pas à l’achat des lecteurs. Il explose lorsqu’on y ajoute les obligations de gouvernance.

Le plus grand risque financier est celui de la non-conformité. Les sanctions administratives pécuniaires prévues par la loi sont dissuasives. Pour une entreprise, l’amende peut atteindre jusqu’à 10 millions de dollars ou 2% du chiffre d’affaires mondial, le montant le plus élevé étant retenu. Face à un tel risque, le gain potentiel lié à l’élimination de quelques minutes de pointage frauduleux devient dérisoire.

Au-delà du risque d’amende, la mise en place d’un système biométrique engendre une série de coûts de gouvernance obligatoires qui doivent être intégrés à votre calcul de rentabilité :

• Réalisation d’une ÉIVP : L’Évaluation des Facteurs relatifs à la Vie Privée est obligatoire. C’est un exercice complexe qui peut coûter entre 20 000 et 40 000 $, voire plus, s’il est mené par des experts externes.
• Déclaration à la CAI : Vous devez déclarer votre projet à la Commission au moins 60 jours avant sa mise en service.
• Formation continue : Votre personnel (RH, TI) doit être formé à la gestion de ces données ultra-sensibles.
• Gestion des droits : Vous devez mettre en place des processus pour gérer les demandes d’accès et de rectification des employés.
• Plan d’intervention : Un plan de réponse aux incidents de confidentialité spécifique à la biométrie est requis.
• Audits de conformité : Des vérifications régulières sont nécessaires pour s’assurer que le système reste conforme dans le temps.

Case pré-cochée ou non : quelles sont les nouvelles règles pour vos formulaires web ?

Le principe de la « case non pré-cochée », bien connu pour les formulaires web de marketing, s’applique avec une rigueur décuplée au consentement biométrique. Sous la Loi 25, le consentement doit être manifeste, libre, éclairé, et donné à des fins spécifiques. Pour la biométrie, cela signifie qu’un simple paragraphe dans un contrat d’embauche ou une case unique à cocher est totalement insuffisant et illégal.

Le consentement doit être « granulaire ». Si vous envisagez (et parvenez à justifier) l’utilisation de la biométrie pour deux finalités distinctes, par exemple l’accès à un laboratoire de recherche (haute sécurité) et le pointage des heures (gestion administrative), vous devez obtenir un consentement distinct pour chacune de ces finalités. L’employé doit pouvoir accepter l’un et refuser l’autre. La CAI propose d’ailleurs sur son site un modèle de formulaire de consentement qui illustre cette granularité et qui doit être adapté à chaque situation.

Un formulaire de consentement biométrique valide doit obligatoirement inclure, de manière claire et simple, plusieurs éléments pour que le consentement soit considéré comme « éclairé » :

• Consentements distincts : Une option séparée pour chaque finalité d’utilisation.
• Description précise : Le type exact de données collectées (ex: « gabarit mathématique de votre empreinte digitale », pas juste « données biométriques »).
• Durée de conservation : La période exacte pendant laquelle le gabarit sera conservé et les conditions de sa destruction.
• Mesures de sécurité : Une description vulgarisée des mesures prises pour protéger ces données (ex: chiffrement, stockage sur carte).
• Droit de retrait : La mention claire que l’employé peut retirer son consentement à tout moment, sans pénalité.
• Alternative offerte : La description de l’alternative non-biométrique qui sera fournie en cas de refus ou de retrait du consentement.

En somme, le formulaire de consentement n’est pas une simple formalité administrative, mais un document juridique fondamental qui prouve votre transparence et le respect des droits de vos employés. L’absence d’un de ces éléments peut rendre le consentement invalide et toute la collecte de données illégale.

Pourquoi une serrure connectée sans grade ANSI 1 est un risque pour votre porte d’entrée ?

Ce titre, qui semble concerner la sécurité résidentielle, offre une analogie parfaite pour comprendre la sécurité des données biométriques en entreprise. Une serrure connectée peut avoir le meilleur système de chiffrement au monde (sécurité numérique), mais si son pêne est en plastique et qu’elle peut être forcée avec un tournevis (faiblesse physique), elle est inutile. La norme ANSI/BHMA Grade 1 certifie la robustesse physique d’une serrure. De la même manière, un système biométrique doit être évalué sur un écosystème de sécurité holistique, et non sur une seule de ses facettes.

Le risque le plus grand avec la biométrie ne vient pas d’une technologie défaillante, mais de la nature même de la donnée. Comme le martèle la CAI dans ses décisions, notamment celle contre Imprimeries Transcontinental, le danger est intrinsèque. La Commission y rappelle que « les renseignements biométriques ont un caractère immuable qui en font des informations particulièrement sensibles en cas d’incident de confidentialité ». On ne peut pas changer son empreinte digitale après un vol de données.

Les renseignements biométriques ont un caractère immuable qui en font des informations particulièrement sensibles en cas d’incident de confidentialité et l’utilisation malveillante de ces renseignements peut avoir de lourdes conséquences pour les personnes concernées.

– Commission d’accès à l’information, Décision contre Imprimeries Transcontinental

Pour protéger adéquatement votre entreprise et vos employés, vous devez donc évaluer la sécurité sur trois piliers indissociables : le physique, le cyber et le juridique. Une faille dans un seul de ces piliers rend l’ensemble du système vulnérable.

Loi 25 au Québec : pourquoi votre PME risque 10 millions $ d’amende sans ce document ?

Au terme de cette analyse, une conclusion s’impose : la biométrie en entreprise au Québec est un chemin semé d’embûches juridiques. Le document crucial qui vous sépare potentiellement d’une amende pouvant atteindre 10 millions de dollars n’est pas un contrat d’achat, mais votre Évaluation des Facteurs relatifs à la Vie Privée (ÉIVP) et le dossier de justification qui prouve la nécessité et la proportionnalité de votre projet. Sans cette démonstration rigoureuse, votre installation, aussi sophistiquée soit-elle, est illégale par défaut.

L’innovation technologique ne doit pas se faire au détriment des droits fondamentaux. La Loi 25 a placé le curseur très haut, faisant de la protection des renseignements personnels un avantage concurrentiel pour les entreprises qui la maîtrisent, et un risque existentiel pour celles qui l’ignorent. La question n’est plus « quelle est la meilleure technologie ? », mais « avons-nous un problème si grave que seule la biométrie peut le résoudre, et pouvons-nous le prouver ? ».

Plutôt que de voir la conformité comme une contrainte, il faut la considérer comme un garde-fou stratégique. Elle vous force à questionner le bien-fondé de vos investissements et à privilégier des solutions qui sont non seulement efficaces, mais aussi respectueuses et durables. Dans la grande majorité des cas, une solution alternative moderne, comme les cartes à puce NFC sécurisées, offrira un équilibre bien plus favorable entre sécurité, coût et respect de la vie privée.

Avant toute acquisition ou déploiement, la première étape consiste à formaliser par écrit votre analyse de nécessité et de proportionnalité. Cet exercice interne, mené avec rigueur, est votre meilleure assurance contre les sanctions et la meilleure preuve de votre engagement envers la protection des données de vos collaborateurs.