Badges et historique des accès : ce que vous pouvez conserver, et pour quoi

La finalité d'abord, la technique ensuite

Un système d'accès se justifie par la sécurité des locaux, des biens et des personnes. Cette finalité doit être écrite, parce qu'elle détermine tout le reste : quelles portes sont contrôlées, quelles données sont enregistrées, combien de temps elles sont gardées et qui peut les consulter.

Le détournement le plus courant consiste à utiliser le journal d'accès comme un pointage. Contrôler la durée du travail est une autre finalité, avec ses propres règles ; s'en servir sans l'avoir prévu fragilise à la fois l'employeur et le système.

L'historique : court, restreint, justifié

Le journal des passages est une donnée personnelle. Il se conserve sur une durée courte — quelques mois — proportionnée à l'usage réel qu'on en fait, c'est-à-dire l'examen d'un incident, pas la constitution d'un historique permanent.

L'accès à ce journal se limite aux personnes habilitées, nommément désignées. Sur les installations que nous reprenons, il est fréquent que tout le monde dispose du compte administrateur du logiciel : c'est la première chose que nous corrigeons.

Informer les personnes concernées

Les salariés doivent être informés de l'existence du dispositif, de sa finalité, des données enregistrées, de leur durée de conservation et de la manière d'exercer leurs droits. Les représentants du personnel sont consultés lorsqu'il en existe.

Pour les visiteurs et les prestataires, la même logique s'applique à leur échelle : un badge visiteur nominatif enregistré dans un registre est un traitement, même quand il tient sur un cahier.

La biométrie n'est pas une option de confort

Reconnaître une empreinte ou un réseau veineux, c'est traiter une donnée qu'on ne peut pas changer en cas de fuite. Ce type de dispositif est strictement encadré et suppose de démontrer qu'aucune autre solution ne permettait d'atteindre le niveau de sécurité requis.

Pour une porte de bureau, un local de stockage ou une salle de réunion, cette démonstration ne tient pas. Nous proposons donc un badge à authentification chiffrée, qui répond au besoin réel dans la quasi-totalité des cas.

Des badges qui prouvent quelque chose

Un point technique a des conséquences juridiques directes : les technologies de badge les plus anciennes se copient pour quelques euros, sans compétence particulière. Un journal d'accès alimenté par des badges clonables ne prouve donc rien du tout.

Nous posons des supports à authentification mutuelle chiffrée, avec des clés propres au site — et non les clés d'usine du fabricant, qui annulent l'intérêt du chiffrement.

La règle qui passe avant tout : sortir

Un accès contrôlé se sort toujours librement. Bouton de demande de sortie, déclencheur manuel de secours aux issues, déverrouillage automatique sur alarme incendie et sur coupure d'alimentation.

Nous refusons les montages qui subordonnent une sortie de secours à un badge ou à une autorisation, quel que soit l'argument avancé — vol interne, confidentialité, consigne de direction. Ce n'est pas négociable, et aucune économie ne justifie une issue bloquée.

Le reste de cette page décrit notre pratique d'installateur ; pour un dispositif étendu ou une situation sociale sensible, la documentation de la CNIL et votre conseil habituel restent les références.