La Commission Nationale de l'Informatique et des Libertés (CNIL) a détaillé les règles applicables aux dispositifs de contrôle d'accès aux locaux et de suivi des horaires de travail.

L'employeur peut mettre en place des outils de contrôle individuel pour sécuriser l'accès aux bâtiments et aux zones restreintes, ainsi que pour gérer les temps de présence. Toutefois, ces dispositifs doivent être proportionnés à l'objectif visé. L'utilisation de la biométrie ou la prise systématique de photographies pour le simple contrôle des horaires est jugée excessive et contraire au principe de minimisation des données. De plus, les informations collectées pour la sécurité, comme les relevés d'une badgeuse, ne peuvent être utilisées pour contrôler les horaires des employés, en vertu du principe de limitation des finalités énoncé à l'article 5, paragraphe 1, point b du RGPD. Ces systèmes ne doivent pas non plus servir à surveiller les déplacements internes ni à entraver la liberté des représentants du personnel.

L'accès aux données doit être strictement limité aux services habilités, tels que les ressources humaines ou la sécurité. Les durées de conservation sont fixées à 3 mois pour les journaux d'accès et peuvent aller jusqu'à 5 ans en archivage intermédiaire pour les données de suivi du temps de travail. Les employés et les instances représentatives du personnel doivent être informés de la mise en place de ces dispositifs. Tout traitement doit être inscrit au registre des activités de traitement et, en cas de risque élevé, notamment avec la biométrie, une analyse d'impact relative à la protection des données est obligatoire. Le recours à la biométrie doit rester subsidiaire, justifié par des impératifs de sécurité que des moyens non biométriques ne sauraient satisfaire.