La pointeuse à empreinte digitale arrive souvent dans une PME par la porte de la paie. Le fournisseur la présente comme un outil de gestion du temps, le restaurant ou l'usine l'installe près du vestiaire, et personne ne se demande ce que devient l'empreinte de quinze employés. Le GPS des camions arrive de la même façon, avec le forfait de gestion de flotte. Parmi les outils numériques que nous installons pour des PME, ce sont ceux dont les règles surprennent le plus.
La Commission d'accès à l'information (CAI) y voit autre chose : une collecte de renseignements personnels sur vos employés, que vous devez prouver nécessaire. Le même test vaut pour la pointeuse, le GPS et le logiciel de suivi. La biométrie y ajoute ses propres obligations, et la CAI a déjà tranché des cas réels.
La réponse courte, pour les pressés
Au Québec, un employeur ne peut installer une pointeuse biométrique, un GPS ou un logiciel de surveillance que s'il démontre que les renseignements recueillis sont nécessaires : l'objectif doit être légitime, important et réel, documenté plutôt qu'appréhendé, et la collecte doit rester proportionnelle, sans moyen moins intrusif qui suffirait. Le consentement des employés ne sauve pas une collecte qui échoue à ce test. Pour la biométrie (empreinte, visage, forme de la main), la Loi concernant le cadre juridique des technologies de l'information exige en plus le consentement exprès et une déclaration à la Commission d'accès à l'information au plus tard 60 jours avant la mise en service de la banque; la Commission exige aussi un autre moyen de pointer pour qui refuse. En 2023, la CAI a conclu que la plupart des pointeuses biométriques n'étaient pas conformes, parce que la commodité de la paie ne justifie pas cette collecte. Pour la géolocalisation et le suivi informatique, la Loi 25 impose d'informer l'employé avant la collecte.
Un seul test, et le consentement n'y change rien
La Loi sur la protection des renseignements personnels dans le secteur privé exige un intérêt sérieux et légitime (article 4) et limite la collecte aux renseignements « nécessaires aux fins déterminées avant la collecte » (article 5). La CAI lit cette nécessité en deux étapes. D'abord, l'objectif doit être légitime, important et réel : un problème vécu et documenté, pas un risque théorique. Ensuite, la collecte doit être proportionnelle : rationnellement liée à l'objectif, minimisée, et nettement plus utile à l'entreprise que préjudiciable aux employés. Le fardeau de la preuve revient à l'employeur.
Ces règles sont impératives. Dans sa décision visant Imprimeries Transcontinental (4 septembre 2024), la CAI écrit qu'une entreprise ne peut y déroger « même avec le consentement de la personne concernée ». Un formulaire signé par tous vos employés ne rend pas légale une collecte inutile.
Le test se réussit pourtant. En avril 2026, la CAI a jugé nécessaire la collecte projetée par Metro pour repérer, par reconnaissance faciale, les auteurs de vols à l'étalage, parce que chaque magasin visé avait documenté vols, fraudes et violence. Son interdiction de février 2025, faute du consentement exprès exigé, tenait toujours et restait contestée devant la Cour du Québec. La différence, c'est le dossier.
La pointeuse biométrique : un cas déjà tranché
Le 27 mars 2023, la CAI a publié ses constats sur les horodateurs et pointeuses biométriques, tirés de ses enquêtes et des déclarations reçues. La conclusion est nette : « la plupart du temps, le recours aux horodateurs biométriques n'est pas conforme à la législation applicable ».
Les justifications qui échouent généralement : améliorer l'efficacité de la paie (système désuet, automatisation, moins d'erreurs, heures plus précises), utiliser le même système que les autres succursales, éviter la perte et le bris des cartes magnétiques. Prévenir le vol de temps ne passe pas davantage quand aucun problème réel n'est documenté. Ce sont précisément les arguments du dépliant du fournisseur.
Transformer l'empreinte en code ne change rien : le gabarit mathématique reste un renseignement personnel, unique à la personne, et la Loi 25 range la biométrie parmi les renseignements sensibles (article 12).
Les décisions suivent la même ligne. En 2022, l'Auberge du Lac Sacacomie, un hôtel qui utilisait la forme du visage pour gérer les heures et la paie, a reçu l'ordre de cesser et de détruire les gabarits. L'hôtel avait déjà renoncé aux empreintes digitales : le lecteur se salissait avec le travail des cuisiniers et de l'entretien. En 2024, Transcontinental a reçu 90 jours pour cesser d'utiliser la reconnaissance faciale aux entrées de son usine de Beauceville. La CAI y note qu'on ne remplace pas son visage comme une carte ou un mot de passe, et que chiffrer la banque atténue le risque de fuite sans réduire l'atteinte à la vie privée.
Si la biométrie est vraiment nécessaire : les obligations propres
Si votre situation passe le test, la Loi concernant le cadre juridique des technologies de l'information (LCCJTI) ajoute ses propres règles. Son article 44 interdit d'exiger la vérification biométrique sans l'avoir divulguée à la CAI et sans le consentement exprès de la personne. Il impose le minimum de caractéristiques (si un doigt suffit, en recueillir dix ne respecte pas la loi, précise la CAI) et exige de détruire ces données quand leur raison d'être disparaît, par exemple au départ de l'employé. L'article 45 exige que la création d'une banque biométrique soit divulguée « avec diligence, au plus tard 60 jours avant sa mise en service ».
Pour la CAI, le consentement doit être donné par écrit, et l'employeur doit offrir un autre moyen de s'identifier, comme une carte ou un code, à quiconque refuse ou retire son consentement. Son guide recommande de garder le gabarit plutôt que l'image brute, sur un support individuel contrôlé par l'employé plutôt que dans une base centrale. Enfin, l'acquisition d'un tel système déclenche l'évaluation des facteurs relatifs à la vie privée de l'article 3.3, que notre guide de l'ÉFVP pour une entreprise privée détaille étape par étape.
La photo de pointage et la géolocalisation
Une application qui photographie l'employé au pointage n'est pas forcément biométrique, ni forcément permise. En 2021, la CAI a enquêté sur Bruneau Électrique, un entrepreneur électricien, dont l'application de pointage sur tablette et téléphone photographiait chaque employé en début et en fin de quart. Comme il n'y avait ni banque ni reconnaissance, la CAI a conclu que ce n'était pas de la biométrie, mais elle a ordonné de cesser de prendre ces photos et de les détruire : le seul cas de vol de temps présenté venait de l'imprécision de la géolocalisation, dont la marge d'erreur pouvait atteindre plusieurs centaines de mètres, et non d'un problème d'identité.
La géolocalisation a ses propres règles. L'article 43 de la LCCJTI dispose que, sauf si une loi le prévoit expressément pour protéger la santé ou la sécurité publique, « nul ne peut exiger qu'une personne soit liée à un dispositif qui permet de savoir où elle se trouve ». L'article 8.1 de la Loi 25 exige en outre d'informer au préalable la personne du recours à une technologie capable de l'identifier, de la localiser ou de la profiler, et des moyens d'activer ces fonctions.
Les véhicules de l'entreprise : GPS et caméras de cabine
Pour une flotte, la sécurité pèse lourd : l'article 2087 du Code civil oblige l'employeur à protéger la santé, la sécurité et la dignité du salarié, et la Charte des droits et libertés de la personne garantit la vie privée (article 5) comme des conditions de travail justes et raisonnables (article 46). Dans son mémoire de janvier 2025 sur l'IA au travail, la CAI signale que le GPS des véhicules de l'employeur permet de suivre indirectement leurs conducteurs, « y compris hors des heures rémunérées, éventuellement ».
La décision de mai 2025 visant 13859380 Canada inc. (Crane Supply), un grossiste qui dessert la construction, montre où passe la ligne. L'entreprise filmait en continu l'intérieur de ses camions, avec détection automatique du cellulaire au volant, de la ceinture non bouclée ou de la vitesse excessive. La CAI a jugé ces objectifs de sécurité importants, mais a ordonné, dans les 90 jours, de limiter l'enregistrement de la cabine à quelques secondes avant et après un incident, ou de cesser de la filmer, et de couper la captation à l'arrêt du moteur plutôt que 20 minutes plus tard, puisque des chauffeurs pouvaient y prendre leur pause. Le paramétrage compte autant que l'appareil. Pour les caméras qui filment vos clients, voyez notre article sur les caméras de surveillance en commerce.
Logiciels de surveillance et télétravail
Selon le même mémoire de la CAI, les logiciels de suivi de productivité recueillent les captures d'écran automatiques, les mouvements de souris, la frappe au clavier, la durée des réunions, l'heure d'envoi et la longueur des courriels, et l'historique de navigation. Ces renseignements, note-t-elle, peuvent ne pas concerner le travail, être recueillis en continu et parfois à l'insu des employés.
Le test de nécessité s'applique tel quel, et l'article 8.1 aussi, puisque la loi définit le profilage comme l'évaluation de caractéristiques d'une personne « notamment à des fins d'analyse du rendement au travail ». Un logiciel qui note la productivité fait exactement cela. Selon la CAI, un système de surveillance constitue dans la majorité des cas un système d'information qui exige une ÉFVP. Et si un outil reconnaît l'employé à sa façon de taper, la CAI range ce patron de frappe dans la biométrie comportementale.
L'arbre de décision
Commencez par l'objectif. Si vous ne pouvez pas l'écrire en une phrase appuyée sur des faits datés (incidents, pertes, accident), arrêtez-vous là. S'il existe, demandez-vous si un moyen moins intrusif suffirait, comme une carte, un NIP ou un GPS limité aux heures de travail. S'il suffit, prenez-le. Sinon, documentez pourquoi.
Si l'outil retenu touche au corps (empreinte, visage, main), ajoutez l'ÉFVP, la déclaration à la CAI au plus tard 60 jours avant la mise en service, le consentement écrit et la solution de rechange. S'il localise ou profile, informez les employés au préalable, par écrit, de ce qui est recueilli, à quel moment et par qui c'est consulté. Dans tous les cas, réglez la durée de conservation et la destruction au départ de l'employé.
Par où commencer
Faites l'inventaire de ce qui recueille déjà des données sur vos employés (pointeuse, application, traceurs, caméras, logiciels) et cherchez, pour chacun, le dossier qui justifie la collecte. Formez les gestionnaires qui consultent ces données (voyez la formation des employés à la Loi 25) et, pour les photos d'employés sur votre site, lisez notre article sur le droit à l'image. C'est une vérification que nous faisons avant de brancher un outil sur les données d'une équipe.
→ Parlons de vos outils ou voyez comment nous encadrons ces questions dans nos services.
Ce texte vulgarise des obligations légales pour aider une PME à poser les bonnes questions; il ne constitue pas un avis juridique. Le texte de la Loi sur la protection des renseignements personnels dans le secteur privé, de la Loi concernant le cadre juridique des technologies de l'information, de la Charte des droits et libertés de la personne et du Code civil du Québec, ainsi que les décisions et guides de la Commission d'accès à l'information, font foi. Les cas cités dépendent de leurs faits : pour votre situation, notamment en milieu syndiqué où la jurisprudence arbitrale s'ajoute, consultez un juriste.
Écrit parXavier Peich