Contrôle d’accès en entreprise : badge, code, biométrie, que choisir ?

Un salarié quitte l’entreprise un vendredi. Le lundi, son badge fonctionne toujours. Personne n’a pensé à le désactiver — et personne ne le saura avant le prochain audit. Ce n’est pas un scénario rare. C’est le quotidien de beaucoup de sites.

Le contrôle d’accès en entreprise est l’un de ces sujets qu’on traite une fois, à l’installation, puis qu’on oublie pendant dix ans. Pourtant, c’est lui qui décide chaque jour de qui franchit vos portes : collaborateurs, intérimaires, livreurs, prestataires de ménage, visiteurs. Entre le digicode d’entrée, le badge sans contact et le lecteur biométrique, les technologies ne manquent pas. Encore faut-il choisir celle qui correspond à votre site — et pas celle qui impressionne le plus en démonstration. En Alsace, nous accompagnons des sites industriels de la vallée de la Bruche comme des bureaux du centre de Strasbourg, et la bonne réponse n’est jamais la même.

À quoi sert vraiment un contrôle d’accès

Beaucoup d’entreprises pensent leur contrôle d’accès comme une serrure améliorée. C’est réducteur. Un système d’accès remplit en réalité trois fonctions distinctes, et il est utile de les séparer avant de comparer des devis.

• Empêcher : bloquer l’accès aux zones que rien ne justifie d’ouvrir à tout le monde — local serveur, réserve, atelier, laboratoire, archives.
• Tracer : savoir qui a franchi quelle porte, et quand. Une information précieuse en cas d’incident, de disparition de matériel ou de litige.
• Fluidifier : éviter le trousseau de vingt clés, les portes bloquées avec une cale, et l’appel au responsable technique à 6 h du matin parce qu’une équipe attend dehors.

Ces trois objectifs ne pèsent pas le même poids selon votre activité. Un entrepôt logistique cherche d’abord la fluidité aux heures de rotation ; un cabinet qui traite des données confidentielles, la traçabilité. Le choix de la technologie découle de cet arbitrage, pas l’inverse.

Le code : simple, économique, mais fragile

Le digicode reste la solution la plus légère à déployer. Pas de support à distribuer, pas de gestion d’inventaire, un coût d’installation contenu. Pour une porte de service, un local technique ou un petit site avec un effectif stable, il fait souvent le travail.

Son point faible est connu : un code se transmet. Il se note sur un post-it, il se dit à voix haute devant un visiteur, il circule dans une messagerie interne. Et surtout, il ne se retire pas — quand un collaborateur part, il faut le changer pour tout le monde, donc prévenir tout le monde. Combien d’entreprises le font réellement ? Peu. Le code de la porte arrière est parfois le même depuis huit ans.

Deuxième limite : aucune traçabilité individuelle. Le système sait qu’un code correct a été saisi à 22 h 14. Il ne sait pas par qui.

Le badge : le bon équilibre pour la majorité des sites

C’est la solution la plus répandue dans les entreprises, et ce n’est pas un hasard. Le badge — carte, porte-clés ou support intégré au smartphone — permet d’attribuer un droit nominatif, révocable en quelques secondes depuis un logiciel. Un salarié part ? Vous désactivez son support, sans toucher aux autres. Un prestataire intervient trois jours ? Vous lui ouvrez une plage horaire précise, sur les seules zones concernées.

Le badge apporte aussi la granularité qui manque au code : chaque personne, chaque porte, chaque créneau. Le service maintenance accède à l’atelier à 5 h, la société de nettoyage aux bureaux entre 18 h et 20 h, les commerciaux uniquement au bâtiment principal. Tout cela s’écrit une fois et se gère ensuite au fil de l’eau.

Ses limites existent, elles aussi. Un badge s’oublie, se perd, se prête. Il faut donc une procédure claire pour les pertes, un stock de supports vierges, et une personne identifiée qui tient les droits à jour. C’est moins une question de technologie que d’organisation. Un système de badges bien administré vaut mieux qu’un système sophistiqué que plus personne ne met à jour.

Un droit d’accès qui n’est jamais retiré finit toujours par servir à quelqu’un d’autre.

La biométrie : possible, mais strictement encadrée

L’empreinte digitale ou la reconnaissance du visage séduisent pour une raison évidente : on n’oublie pas son doigt à la maison, et on ne le prête pas à un collègue. Sauf que la réglementation française est ici très claire, et beaucoup d’entreprises la découvrent après avoir signé un devis.

Depuis le RGPD, les données biométriques sont des données sensibles : leur traitement est en principe interdit, sauf exception. La CNIL a publié en mars 2019 un règlement type sur le contrôle d’accès biométrique sur les lieux de travail, et ce texte a un caractère contraignant. Sa logique tient en une phrase : la biométrie n’est envisageable que si aucun autre dispositif ne suffit.

Concrètement, la CNIL indique que si un système de badge est suffisant, la réponse est non. Si le besoin relève du confort, la réponse est non. Si les locaux, applications ou appareils protégés ne sont pas particulièrement sensibles, la réponse est non. Ce n’est qu’après avoir écarté ces trois cas que la question se pose sérieusement.

Et si elle se pose, l’employeur doit respecter plusieurs obligations : réaliser une analyse d’impact relative à la protection des données avant la mise en œuvre, justifier et documenter le choix des caractéristiques du dispositif ainsi que la nécessité de recourir à la biométrie, respecter l’ensemble des dispositions du règlement type, et le cas échéant informer ou consulter les instances représentatives du personnel. La CNIL demande par ailleurs de privilégier un stockage du gabarit sous la maîtrise exclusive de la personne concernée — sur un support individuel qu’elle conserve — plutôt qu’une base centralisée détenue par l’employeur.

La raison de fond éclaire tout le reste : contrairement à un badge ou un mot de passe, on ne peut pas changer son empreinte digitale. Un détournement de cette donnée n’a pas de solution de repli.

Un système, pas un boîtier posé sur un mur

L’erreur la plus fréquente consiste à traiter le contrôle d’accès isolément, comme un équipement autonome. Sur le terrain, sa valeur vient largement de ce à quoi il est relié.

Relié à la vidéosurveillance, il rapproche un événement d’une image : une porte forcée à 3 h du matin devient une séquence exploitable plutôt qu’une ligne dans un journal. Relié à l’alarme intrusion, il évite les déclenchements inutiles quand une équipe arrive tôt. Relié à l’interphonie et à l’accueil, il fluidifie la gestion des visiteurs et des livraisons.

Une contrainte s’impose à tout cela, et elle n’est pas négociable : la sécurité incendie. Les issues de secours doivent rester manœuvrables de l’intérieur, et les dispositifs d’accès doivent se libérer sur alarme, selon les règles applicables à votre établissement. Un contrôle d’accès qui bloquerait une évacuation ne serait pas une mesure de sécurité. Ce point se vérifie à la conception, pas après.

C’est aussi pour cette raison que nous privilégions une approche globale. Nos solutions de sécurité électronique sont étudiées avec le reste du dispositif — alarme, vidéo, incendie, présence humaine — plutôt que porte par porte. Entreprise familiale installée à Reichstett depuis près de vingt ans, Securis Group intervient avec un interlocuteur unique, de l’étude au dépannage.

Comment choisir son contrôle d’accès entreprise : cinq questions

Avant de comparer des références de lecteurs, prenez trente minutes pour répondre à ces cinq questions. Elles éliminent l’essentiel des mauvais choix.

1. Quelles zones méritent réellement d’être protégées ? Toutes les portes ne se valent pas. Distinguez les accès périmétriques, les zones communes et les points sensibles. Le niveau de protection suit cette hiérarchie.
2. Combien de personnes, et avec quelle rotation ? Un effectif stable de quinze personnes ne se gère pas comme un site accueillant intérimaires, saisonniers et prestataires chaque semaine. Plus la rotation est forte, plus la révocation rapide devient déterminante.
3. Avez-vous besoin de savoir qui est entré ? Si oui, le code est hors course. La traçabilité nominative suppose un support individuel.
4. Qui administrera le système au quotidien ? Nommez cette personne avant l’installation. Un contrôle d’accès sans administrateur identifié perd sa fiabilité en quelques mois.
5. Quelles contraintes réglementaires s’appliquent ? Évacuation et issues de secours, protection des données pour la biométrie, information des salariés. Ces sujets se traitent en amont, jamais après la mise en service.

Ce que nous observons le plus souvent sur le terrain

Les droits jamais nettoyés arrivent en tête. Des badges actifs pour des personnes parties depuis des années, des prestataires dont l’accès n’a jamais été refermé après la fin du chantier. Le remède est simple : une revue des droits deux fois par an, quinze minutes par site, avec une liste imprimée et un stylo.

Vient ensuite la porte maintenue ouverte. Une cale, un extincteur posé au sol, un carton : la raison est toujours pratique — livraisons, chaleur, va-et-vient. Le résultat est le même, votre système ne sert plus à rien pendant ce temps. Plutôt que de sermonner les équipes, cherchez la cause. Si une porte est calée tous les matins, c’est que l’organisation ne correspond pas au réglage.

Enfin, l’absence de maintenance. Piles de lecteurs, ventouses, ferme-portes, sauvegardes, mises à jour logicielles : tout cela vieillit. Le jour de la panne, l’entreprise se retrouve soit portes ouvertes, soit portes bloquées. Ni l’un ni l’autre n’est confortable un lundi matin.

Questions fréquentes

La biométrie est-elle autorisée pour le contrôle d’accès en entreprise ?

Elle est possible, mais strictement encadrée. Le règlement type publié par la CNIL le 28 mars 2019 sur la biométrie au travail est contraignant. Il impose de vérifier d’abord qu’aucune solution moins intrusive ne suffit — si un badge fait l’affaire, ou si le besoin relève du confort, la biométrie n’est pas justifiée. Lorsqu’elle l’est, l’employeur doit réaliser une analyse d’impact relative à la protection des données, documenter la nécessité du dispositif, respecter le règlement type et, le cas échéant, informer ou consulter les instances représentatives du personnel.

Faut-il informer les salariés de la mise en place d’un contrôle d’accès ?

Oui. Un système qui enregistre les passages traite des données personnelles : les personnes concernées doivent être informées de la finalité, des données collectées, de leur durée de conservation et de leurs droits. Selon le dispositif et l’effectif, une consultation des instances représentatives du personnel peut également s’imposer. Ces formalités se préparent avant la mise en service, elles ne se rattrapent pas ensuite.

Peut-on faire évoluer une installation existante sans tout remplacer ?

Dans beaucoup de cas, oui. Un site équipé de digicodes peut passer au badge sur les seuls accès qui le justifient, en conservant le reste. Une installation ancienne peut parfois être reprise sur la partie mécanique — ferme-portes, ventouses, câblage — en ne changeant que les lecteurs et la centrale. Un audit sur site permet de le déterminer : c’est le premier travail que nous menons avant tout chiffrage.

À lire aussi : Alarme, télésurveillance, contrôle d’accès : quelle solution pour vos locaux ? · Vidéosurveillance en entreprise : réglementation et obligations à respecter