Une restauratrice de la banlieue de Chicago a acheté une pointeuse à empreintes digitales à 200 $ en 2019 pour empêcher ses employés de pointer les uns pour les autres. Huit ans, un recours collectif et un règlement à six chiffres plus tard, cette même pointeuse est la raison pour laquelle son avocat examine désormais chaque nouvel équipement qu'elle achète. La pointeuse a fonctionné exactement comme annoncé. Elle a simplement aussi violé une loi dont elle n'avait jamais entendu parler.
Cette loi est le Biometric Information Privacy Act (BIPA) de l'Illinois, et c'est la raison pour laquelle « installer un scanner d'empreintes digitales » est passé d'un achat Amazon de cinq minutes à une décision qui mérite sa place sur la même liste de contrôle que l'immatriculation à la taxe sur les salaires. Si votre entreprise emploie des salariés horaires et que vous utilisez — ou envisagez d'utiliser — une pointeuse à empreintes digitales, à veines palmaires ou à reconnaissance faciale, voici la couche de conformité que la plupart des fournisseurs de points de vente et de gestion du temps de travail ne mentionnent jamais dans leur argumentaire commercial.
Pourquoi l'achat d'une pointeuse est devenu une question juridique
Les identifiants biométriques sont différents de toute autre donnée d'employé qu'une petite entreprise collecte. Un mot de passe volé peut être réinitialisé. Un numéro de sécurité sociale volé, c'est grave, mais il est au moins théoriquement remplaçable grâce à des années de surveillance du crédit. Une empreinte digitale ne peut pas être changée. Une fois compromise, elle l'est pour le reste de la vie de la personne — c'est exactement l'argument qu'ont avancé les législateurs de l'Illinois lorsqu'ils ont adopté la BIPA en 2008, des années avant que les pointeuses biométriques ne deviennent un outil courant pour les petites entreprises.
La BIPA impose quatre obligations à toute entreprise — y compris les petits employeurs — qui collecte des empreintes digitales, des scans de la paume, des scans rétiniens ou des empreintes vocales :
- Une politique écrite. Vous devez disposer d'une politique de conservation et de destruction des données biométriques, écrite et accessible au public, établie avant même de collecter la première empreinte digitale.
- Un avis écrit. Les employés doivent être informés par écrit que leurs données biométriques sont collectées, et pourquoi.
- Un consentement écrit. Il vous faut une autorisation écrite et signée — pas un simple « c'est bon pour vous ? » verbal à l'embauche — avant le premier scan.
- Ni vente, ni conservation inutile. Les données biométriques ne peuvent pas être vendues, et elles doivent être détruites une fois que le motif de leur collecte a disparu (généralement au départ de l'employé) ou dans un délai de trois ans, selon la première échéance atteinte.
Manquez à l'une de ces quatre étapes, et tout employé dont vous avez scanné l'empreinte digitale sans consentement en bonne et due forme dispose d'un droit d'action privé — c'est-à-dire qu'il peut vous poursuivre directement, sans attendre l'intervention d'un régulateur de l'État. Ce dernier détail est ce qui rend la loi de l'Illinois catégoriquement plus dangereuse pour les petites entreprises que presque toute autre loi sur la confidentialité en vigueur.
Ce que coûte réellement une infraction à la BIPA
La loi fixe les dommages-intérêts à 1 000 par infraction imprudente ou intentionnelle. Pendant des années, les avocats des plaignants ont soutenu que chaque scan constituait une infraction distincte — de sorte qu'un employé ayant pointé avec son empreinte digitale deux fois par jour pendant trois ans avait généré plus de 2 000 infractions individuelles. Faites ce calcul sur un effectif de 40 personnes, et une petite entreprise se retrouve soudain exposée à des millions de dollars, pour une pointeuse à 200 $ achetée avec de bonnes intentions et sans examen juridique.
C'est cette théorie du « par scan » qui explique pourquoi les règlements liés à la BIPA ont atteint des montants aussi élevés. En 2026, un recours collectif portant sur des pointeuses à empreintes digitales contre le fournisseur de gestion des effectifs EasyWorkforce s'est soldé par un règlement de 1,69 million de dollars — et ce n'est qu'une seule affaire parmi des dizaines intentées contre des fabricants, des détaillants et des groupes de restauration au cours de la dernière décennie.
Un véritable allègement se profile à l'horizon, mais il reste partiel. En août 2024, l'Illinois a modifié la BIPA de sorte que des scans répétés du même identifiant biométrique par la même méthode ne comptent que pour une seule infraction, et non pour des milliers — une correction visant précisément à plafonner la théorie incontrôlée des dommages « par scan ». La Cour d'appel du septième circuit a confirmé en avril 2026 (Clay v. Union Pacific) que cet amendement s'applique rétroactivement, y compris aux affaires déjà en cours. Cela plafonne le montant maximal de toute poursuite individuelle, mais n'élimine pas la responsabilité. Une entreprise qui n'a jamais recueilli de consentement écrit reste responsable envers chaque employé concerné — mais une seule fois par employé, et non une fois par scan. Pour une entreprise comptant 30 employés non indemnisés, « seulement » 1 000 chacun reste un problème à cinq ou six chiffres.
Ce n'est plus seulement l'Illinois
L'Illinois demeure le seul État où les poursuites privées de type BIPA sont courantes, mais ce n'est plus le seul État à réglementer les données biométriques, et la tendance va clairement vers un élargissement de la couverture, et non l'inverse :
- Texas (CUBI — Capture or Use of Biometric Identifier Act). Exige un consentement éclairé avant de capturer un identifiant biométrique à des fins commerciales et limite sa conservation, mais l'application de la loi est réservée au procureur général du Texas — il n'existe pas de droit d'action privé, donc les employés ne peuvent pas poursuivre directement. Les sanctions civiles peuvent atteindre jusqu'à 25 000 $ par infraction.
- État de Washington. Une loi de 2017 exige un avis et un consentement avant d'enregistrer un identifiant biométrique dans une base de données à des fins commerciales, appliquée par le procureur général de l'État. Le My Health My Data Act de Washington, entré en vigueur en 2023, va plus loin pour les données biométriques liées à des informations de santé, et — fait notable — cette loi inclut bien un droit d'action privé.
- Une vingtaine d'autres États intègrent désormais les identifiants biométriques dans des lois plus larges sur la confidentialité des consommateurs (sur le modèle du CCPA californien ou du CPA du Colorado), en tant que catégorie de « données sensibles » exigeant un consentement renforcé, même en l'absence de loi biométrique dédiée.
- New York City dispose de sa propre ordonnance locale couvrant les données biométriques collectées auprès des clients (et non des employés) dans les commerces de détail et l'hôtellerie-restauration.
Ce qu'il faut retenir en pratique : même une entreprise sans aucun établissement dans l'Illinois ne peut pas présumer que les pointeuses biométriques échappent à toute réglementation. Si vous opérez dans plusieurs États, ou prévoyez de le faire, la barre de conformité tend vers « traiter chaque site comme si une loi exigeant un consentement écrit s'appliquait », car de plus en plus d'États s'orientent dans cette direction à chaque session législative.
Une liste de contrôle de conformité avant d'acheter — ou de conserver — une pointeuse biométrique
- Rédigez d'abord la politique. Avant que l'empreinte digitale d'un employé ne touche un scanner, établissez une politique écrite et accessible au public précisant quelles données biométriques vous collectez, pourquoi, combien de temps vous les conservez, et comment elles sont détruites.
- Obtenez un consentement signé, pas un consentement implicite. Une ligne perdue dans le règlement intérieur ne satisfait pas la plupart des lois biométriques. Utilisez un formulaire d'autorisation autonome, signé et daté, conservé dans le dossier du personnel.
- Fixez un déclencheur de destruction. Liez la suppression à un événement concret — la date de fin de contrat plus 30 jours, par exemple — et exécutez-la réellement. « On avait l'intention de la supprimer un jour » n'est pas une défense recevable.
- Examinez la gestion des données de votre fournisseur, pas seulement l'appareil. Demandez si le fournisseur stocke les modèles biométriques bruts, s'ils sont chiffrés, si le fournisseur lui-même pourrait vendre ou partager ces données, et s'il vous indemnisera si c'est son système qui subit une violation.
- Proposez une alternative non biométrique lorsque c'est requis ou prudent. Certains employés peuvent s'y opposer pour des motifs religieux ou médicaux ; disposer d'une solution de repli par code PIN ou badge évite un problème distinct au titre de l'ADA ou du Title VII, en plus du problème biométrique.
- Auditez dès maintenant les systèmes existants, pas après une mise en demeure. Si vous avez déjà installé une pointeuse à empreintes digitales, n'attendez pas qu'un avocat de plaignants envoie la première lettre — obtenir un consentement rétroactif coûte bien moins cher qu'un règlement.
Pourquoi ces données doivent être associées à vos registres de paie, et pas seulement à vos fichiers informatiques
Les données des pointeuses biométriques ne représentent pas seulement une exposition juridique — elles constituent l'intrant de votre comptabilité des coûts de main-d'œuvre. Chaque pointage d'entrée et de sortie capturé par un scanner biométrique finit par devenir une ligne dans la paie, et la paie est l'une des catégories de dépenses les plus importantes et les plus sujettes aux erreurs qu'une petite entreprise suit. Si un litige de type BIPA vous oblige un jour à changer de fournisseur de gestion du temps de travail, ou à purger et reconstruire vos registres de consentement et de conservation, vous voulez que votre historique des coûts de main-d'œuvre soit vérifiable de façon indépendante — et non enfermé dans un système propriétaire que vous pourriez être contraint d'abandonner.
C'est l'un des arguments les plus discrets en faveur de la tenue de vos comptes dans un format transparent et versionné. Beancount.io est une plateforme de comptabilité en texte brut où chaque transaction — y compris les cycles de paie et les allocations de coûts de main-d'œuvre — vit dans des fichiers auditables, lisibles par un humain et entièrement sous votre contrôle, et non dans une boîte noire liée à un fournisseur unique. Commencez gratuitement et gardez vos registres financiers portables, quel que soit le prochain changement de conformité imposé à votre système de gestion du temps de travail.