Interdiction du suivi des horaires par empreintes et reconnaissance faciale : décision de principe KVKK 2026/921
Les lecteurs d’empreintes et terminaux de reconnaissance faciale, courants dans les entreprises depuis des années, représentent désormais un risque de non-conformité. La décision de principe du…
⏱️ Temps de lecture: 9 min · 📁 Catégorie: KVKK, Conformité numérique et sécurité des données
Interdiction du suivi des horaires par empreintes et reconnaissance faciale : décision de principe KVKK 2026/921
Les lecteurs d’empreintes et terminaux de reconnaissance faciale, courants dans les entreprises depuis des années,
représentent désormais un risque de non-conformité. La
décision de principe du Conseil de protection des données personnelles du 29 avril 2026, n° 2026/921, sur le traitement de données biométriques pour le suivi des horaires,
est entrée en vigueur par sa publication au Journal officiel n° 33268 du 2 juin 2026.
L’effet de la décision tient en une phrase : même si le salarié a donné son consentement explicite,
le traitement de données biométriques pour le suivi des horaires (PDKS) est illicite.
Cela signifie que la défense que « j'ai reçu l'approbation de mon personnel » n'est plus valide.
Toutes les entreprises et institutions publiques utilisant empreintes, reconnaissance faciale, scans de l’iris ou de la rétine pour le suivi des horaires sont concernées.
Le consentement explicite seul ne suffit pas comme base juridique. Le suivi des horaires doit utiliser des cartes chiffrées, codes PIN, cartes RFID/NFC, feuilles d’émargement ou systèmes mobiles/QR comme
méthodes moins intrusives.
Le non-respect de la décision peut entraîner une procédure d’ amende administrative au titre de l’article 18 de la KVKK.
Qu'est-ce que la base juridique de la décision principale?
Les données d’empreintes, de reconnaissance faciale, d’iris et de rétine sont considérées comme des
catégories particulières de données personnelles au titre de la loi n° 6698 sur la protection des données personnelles. Ces données identifient une personne de manière unique et
ne sont pas réversibles une fois compromises ; elles exigent donc le niveau de protection le plus élevé.
Bien que la législation prévoie l’enregistrement des horaires de travail, le Conseil a constaté
que l’utilisation de données biométriques à cette fin ne disposait d’aucune base légale explicite.
La décision s’appuie sur l’arrêt de la Cour constitutionnelle constatant une violation pour défaut de légalité du suivi des horaires par empreintes, ainsi que
sur la jurisprudence du Conseil d’État jugeant les lecteurs veineux palmaires contraires à la proportionnalité.
La décision de principe a rendu cette jurisprudence contraignante également sur le plan administratif.
De nombreuses entreprises fondaient leur PDKS biométrique sur le consentement explicite des salariés. Le Conseil a rejeté cette méthode pour deux raisons.
Invalidité- Déséquilibre de pouvoir : Le salarié craignant de perdre son emploi dispose d’une liberté limitée de refuser, ce qui rend douteux le caractère libre du consentement.
- Possibilité de retrait : Le retrait du consentement par un salarié perturbe la continuité du système, ce qui en fait une base fragile dès le départ.
- Proportionnalité : Choisir la méthode la plus sensible malgré des solutions moins intrusives viole le principe de lien avec la finalité, de limitation et de proportionnalité de l’article 4.
La décision précise quelles méthodes de suivi des horaires présentent un risque et par quelles solutions les remplacer.
Comparaison des méthodes de suivi des horaires| Catégorie | Méthode | Statut pour le suivi des horaires |
|---|---|---|
| Biométrique | empreinte digitale, reconnaissance faciale, iris, rétine | ❌ Illégaux (même avec le consentement explicite) |
| Carte / Code | Carte cryptée, systèmes basés sur le code PIN | ✅ Convient |
| Carte sans contact | Cartes d'identité RFID/NFC | ✅ Convient |
| Manuel | Tableau des signatures, entrée manuelle sous la supervision du vérificateur | ✅ Convient |
| Mobile | PDKS mobile par code QR ou géolocalisation | ✅ Adapté, à condition de ne pas collecter de données biométriques |
La décision lie directement le secteur privé et les institutions et organismes publics.
Tous les responsables utilisant un suivi biométrique des présences sont concernés, des usines et immeubles de bureaux aux municipalités et hôpitaux.
Penser « Nous sommes un organisme public ou une petite entreprise, cela ne nous concerne pas » est une erreur.
La décision vise toute personne traitant des données biométriques pour le suivi des horaires, quelle que soit sa taille ou son secteur.
Oui, mais elles sont limitées. L’interdiction porte sur le suivi courant des horaires (PDKS).
Dans les secteurs qui nécessitent une sécurité élevée, comme un coffre-fort bancaire, un laboratoire de R-D, un centre de données ou une salle de serveur critique,
l’utilisation de données biométriques peut être envisagée uniquement pour réserver l’accès au personnel habilité, après examen distinct de la finalité et de la nécessité.
Dans ce cas, même le cadre juridique et une analyse rigoureuse de la nécessité sont essentiels.
Le Conseil considère le non-respect de la décision comme une violation de l’obligation de mesures techniques et administratives prévue à l’article 12 et
a annoncé des sanctions administratives au titre de l’article 18.
Les amendes administratives KVKK augmentent chaque année selon le taux de réévaluation ; pour cette catégorie, le plafond de 2026 peut atteindre
plusieurs millions de livres turques, environ 17 millions TRY.
Plus préoccupant, ce risque est souvent déclenché par une seule plainte de salarié entraînant un contrôle d’office.
- Entrées et sorties : terminal de reconnaissance faciale
- Base : consentement explicite des employés
- Résultat : le consentement explicite ne suffit pas ; il existe un risque de non-conformité et il faut changer de système.
- Suivi de la présence du personnel : empreinte digitale
- Type d'établissement : public
- Résultat : la pratique doit être révisée immédiatement, car la décision lie aussi les organismes publics.
- Objectif : uniquement l'entrée autorisée dans le laboratoire critique
- Portée : contrôle d’accès, pas de suivi courant des horaires
- Résultat : une exception peut être envisagée, sous réserve d’une analyse de nécessité et d’un cadre légal.
Si vous utilisez déjà des PDKS biométriques, la gestion de la transition dans l'ordre suivant est l'approche la plus sûre :
- Détection : Identifiez quelles données biométriques sont conservées et pour quels salariés.
- Mise à jour de l’inventaire : Consignez le traitement actuel et son fondement.
- Passage à un autre système : Passez à une solution carte/PIN, RFID/NFC, QR ou PDKS mobile.
- Destruction des données biométriques : Supprimez ou anonymisez irréversiblement les données dépourvues de base juridique.
- Procès-verbal de destruction : Documentez la destruction : c’est la preuve essentielle pour vous protéger lors d’un contrôle.
- Renouvellement de l’information et du consentement : Préparez une notice d’information et une information des salariés adaptées au nouveau système.
- Mise à jour VERBİS : Reportez la modification du traitement dans le système dans le délai requis.
Changer l’appareil seul ne suffit pas. Tant que les données biométriques antérieures ne sont pas détruites correctement
et que la procédure n’est pas consignée, même après le changement de système, le risque lié aux violations passées subsiste.
La décision de principe KVKK 2026/921 marque clairement la fin du suivi biométrique des horaires.
« Tout le monde l’utilise » ou « J’ai obtenu le consentement des salariés » ne protège plus juridiquement.
Les entreprises doivent gérer cela comme un projet de conformité réunissant inventaire, destruction, information, consentement et VERBİS
, plutôt que comme un simple changement d’appareil. Sinon, une seule plainte de salarié
peut déclencher directement une procédure d’amende administrative.
B10 Digital Agency cartographie les risques de votre système d’empreintes ou de reconnaissance faciale,
planifie la transition vers une solution conforme et prépare une documentation prête pour le contrôle.
Grâce à notre modèle hybride associant juristes et équipes techniques, nous gérons la destruction des données biométriques,
l’inventaire, les notices d’information et la mise à jour VERBİS dans un seul processus.
L'infrastructure PDKS et les données biométriques collectées sont analysés. 🗑️ Élimination documentée
Les données sans base juridique sont détruites avec un procès-verbal prêt pour le contrôle. ⚖️ Plan d’action de conformité
Le système alternatif, l’information et les étapes VERBİS sont intégrés dans une feuille de route.
Si vous suivez les horaires par empreintes ou reconnaissance faciale, une analyse de conformité doit précéder toute plainte de salarié.
Demandez une analyse de conformité du PDKS biométrique
Oui. Le Conseil estime le consentement explicite insuffisant pour le suivi des horaires en raison du déséquilibre employeur-salarié et du principe de proportionnalité.
Quelles autres méthodes sont légales?Cartes chiffrées, systèmes PIN, cartes RFID/NFC, feuilles papier et d’émargement, PDKS QR ou mobile et saisie manuelle supervisée.
Puis-je utiliser les empreintes digitales dans les zones à haute sécurité?L’interdiction vise le suivi courant des horaires. Pour l’accès aux laboratoires R-D, salles serveurs ou coffres, un usage dans le cadre légal peut être possible après examen distinct de la finalité et de la nécessité.
Que dois-je faire avec les données biométriques anciennes?Supprimez ou anonymisez les données dépourvues de base juridique conformément à la politique de destruction et consignez la procédure dans un procès-verbal.
La décision vise-t-elle aussi les organismes publics ?Oui. Le secteur privé et les institutions et organismes publics sont concernés.
Sources et documents associés
Ces documents servent de références pour les méthodes et règles abordées dans cet article.