Biométrie au travail : encadrement légal

La biométrie reçoit un usage de plus en plus étendu en milieu de travail. Alors qu’auparavant, elle relevait de la science-fiction, elle est aujourd’hui couramment utilisée, que ce soit à l’aide du téléphone cellulaire des membres des équipes en vue d’accéder à distance au réseau informatique de l’employeur, ou à titre de fonctionnalité de l’horodateur permettant d’enregistrer les entrées et les sorties de l’établissement en vue de la rémunération des ressources. Mais voilà, l’utilisation de la biométrie en milieu de travail répond à des exigences précises de nécessité, dont l’administration est encadrée par la Commission d’accès à l’information. 

Dans une décision récente, la Commission d’accès à l’information rappelle que l’organisation qui désire faire appel à la reconnaissance faciale ne peut se contenter d’obtenir le consentement des ressources visées : encore faut-il que l’employeur soit en mesure de démontrer que le recours à cette technologie est nécessaire et proportionnel. Dans le cadre de cette décision, l’entreprise avait implanté une mesure de reconnaissance faciale afin de donner accès à ses locaux, dans le contexte de la pandémie. Bien que la Commission d’accès à l’information reconnaisse que l’objectif poursuivi par l’entreprise pouvait être légitime, l’employeur aurait dû détailler, dans ses observations, le caractère réel de l’objectif qu’elle poursuivait. L’employeur devait fournir plus d’information afin que la Commission puisse évaluer si l’objectif était soutenu par des évènements particuliers ou problématiques qui justifient la nécessité de la collecte de renseignements personnels et non simplement par des faits de nature hypothétique. La Commission souligne que le contrôle des accès aux locaux d’une entreprise relève davantage d’un objectif usuel et courant d’une organisation : l’employeur devait donc démontrer que ses activités ou une situation particulière justifiaient le niveau supérieur de sécurité que peuvent apporter les données biométriques. Il est donc primordial de compléter avec soin la demande d’observations transmise par la Commission à la suite de l’enregistrement de la banque biométrique.   

Ainsi, le fait que les membres du personnel y consentent ne pallie pas l’absence de nécessité. Puisque la reconnaissance faciale requiert la collecte de renseignements biométriques des personnes concernées, renseignements qui sont jugés sensibles, l’employeur doit, dans un premier temps, réaliser une évaluation des facteurs relatifs à la vie privée avant d’implanter cette nouvelle technologie, en matière de nécessité et de proportionnalité. 

Lorsque la nouvelle technologie déployée implique un procédé permettant de saisir des caractéristiques ou des mesures biométriques à des fins d’identification ou d’authentification, il faut déclarer à la Commission d’accès à l’information, au moins 60 jours au préalable, la création d’une telle banque. Enfin, il faut requérir le consentement exprès des personnes visées, s’assurer de protéger la confidentialité et la sécurité de la banque et respecter les fins pour lesquelles cette information a été recueillie.