BTP : gérer les données des visiteurs de chantier

Pour gérer les visiteurs d’un chantier, conservez une trace limitée de leur passage, empêchez la consultation du registre par les autres visiteurs et fermez les accès à la fin de la visite. La fiche doit permettre de retrouver une présence ou un badge, sans devenir un dossier personnel complet. Ce guide concerne les visiteurs externes : les salariés, entreprises intervenantes et formalités propres aux travailleurs nécessitent leurs circuits adaptés.

Partir de trois décisions concrètes

La première décision est l’autorisation d’entrée : la personne est-elle attendue, par qui et pour quelle zone ? La deuxième porte sur sa présence : est-elle entrée, sortie ou dans une situation encore incertaine ? La troisième concerne le badge : a-t-il été restitué et son accès désactivé ? Ces trois informations ne sont pas interchangeables.

Une préinscription ne prouve pas une entrée. Un badge rendu par un collègue ne démontre pas toujours l’heure du départ de son titulaire. À l’inverse, un visiteur peut avoir quitté le chantier en conservant involontairement son badge. Le registre doit permettre de consigner ces différences sans inventer une précision absente.

Définissez les finalités avant les champs : contrôler l’entrée, organiser l’accompagnement, suivre les présences et instruire les incidents d’accès retenus. La minimisation et l’exactitude découlent de l’Art. 5(1)(b) à (d). Ajouter une donnée « au cas où » ne répond pas à cette exigence. Source : RGPD, chapitre II.

Le guide RGPD du BTP couvre le cadre plus large. Un registre visiteurs ne remplace ni les procédures de sécurité du chantier ni les formalités requises pour les personnes qui y travaillent.

Identifier l’organisme qui décide du dispositif

La présence de plusieurs entreprises ne crée pas automatiquement une responsabilité conjointe. Identifiez celle qui décide des finalités et des moyens essentiels de la liste. Si deux organismes les déterminent conjointement, examinez l’Art. 26 ; si un prestataire traite les données pour le compte du responsable, encadrez cette mission conformément à l’Art. 28. Une entreprise d’accueil n’est pas nécessairement sous-traitante pour tous ses propres traitements. Sources : RGPD, Art. 4(7) et (8) ; Art. 26 et 28.

Pour un organisme privé, l’intérêt légitime peut soutenir un dispositif proportionné de contrôle d’accès. Il faut expliquer l’intérêt poursuivi, la nécessité et la mise en balance avec les droits des visiteurs. Une autorité publique ne peut pas invoquer cette base pour les traitements effectués dans l’exécution de ses missions ; elle doit examiner le fondement correspondant à son cadre. Source : RGPD, Art. 6(1)(f) et dernier alinéa.

La signature d’un registre n’est pas automatiquement un consentement. Si l’organisateur retient une autre base légale, présenter la signature comme une acceptation globale du RGPD brouille l’information. Expliquez plutôt les données nécessaires et les conséquences concrètes de leur absence, sans prétendre imposer des champs excessifs au nom de la sécurité.

Remplir une fiche sans accumuler les justificatifs

Exemple fictif : chantier Orme, dossier V-28. La société chargée de l’accueil décide d’un dispositif destiné aux visites accompagnées. Dans cet exemple, elle a documenté son intérêt légitime, exclu la prospection commerciale et prévu un accès réservé à l’accueil et au responsable de sécurité. Le nom du visiteur permet de le rapprocher de la visite attendue ; le rattachement à son organisme sert à lever une ambiguïté éventuelle.

La spécification arrêtée est la suivante :

Le choix serait à réexaminer si le contexte changeait. Une zone soumise à des exigences particulières ne se traite pas par simple reprise de cette fiche. Il faut identifier la règle applicable, les contrôles nécessaires et la trace effectivement requise.

Vérifier un document et en conserver une copie sont deux opérations différentes. Avant d’ajouter un scan, examinez si une vérification visuelle et une trace limitée suffisent au besoin licite. Le guide des copies de pièces d’identité explique cette distinction. Le registre ne doit pas devenir un dépôt permanent de documents d’identité laissés à l’accueil.

Organiser la saisie pour ne pas révéler les autres visites

Dans V-28, l’agent d’accueil saisit chaque passage sur un écran orienté vers lui. Le visiteur ne parcourt pas la liste des rendez-vous précédents. Une fiche individuelle papier serait une autre solution ; un cahier ouvert à toutes les pages ne protège pas les données parce que chaque personne écrit sur une ligne différente.

La CNIL recommande de maîtriser les accès physiques et d’éviter les documents ou écrans confidentiels visibles dans les espaces d’accueil. Elle évoque également l’accompagnement des visiteurs hors des zones ouvertes au public. Ces recommandations générales doivent être adaptées aux zones et procédures du chantier. Source : CNIL, protéger les locaux.

L’accès au registre est limité aux fonctions qui en ont besoin. L’accompagnateur reçoit les informations relatives à ses visiteurs, sans disposer pour autant de l’historique des autres entreprises. Si une société fournit le logiciel ou assure l’accueil, les habilitations, instructions et conditions d’assistance doivent correspondre au rôle réellement retenu.

Préparez aussi la panne. Dans cet exemple, l’accueil utilise des fiches individuelles numérotées, puis reporte les seules données nécessaires dans le registre. Le rapprochement évite de créer deux visites pour une même personne. Les feuilles temporaires sont retirées selon le circuit prévu ; elles ne restent pas dans un tiroir après la reprise informatique.

Informer avant de demander les données

La notice doit nommer le responsable du traitement et donner un contact effectif. Elle indique notamment finalités, base légale, destinataires, durée ou critères de conservation, droits applicables et possibilité de réclamation. Elle précise aussi si les données demandées sont obligatoires ou facultatives et les conséquences de leur non-fourniture. Source : RGPD, Art. 13(1) et (2).

La CNIL propose une information à deux niveaux pour les visiteurs munis d’un badge : un premier niveau à l’accueil et une notice complète disponible. Son exemple comporte une durée de trois mois ; il ne fixe pas un délai légal universel pour les chantiers. Source : exemple CNIL relatif aux badges.

Dans V-28, le panneau donne le motif de collecte et renvoie à la notice papier accessible sur place. Le visiteur peut la lire sans téléphone ni compte. Lorsqu’un accompagnateur transmet la liste en amont, l’organisateur examine l’Art. 14 : la collecte indirecte ne dispense pas d’information et la première communication peut avancer l’échéance. La notice ne doit pas laisser croire que chaque donnée a été recueillie directement au guichet.

Lire correctement les présences et les badges

Le 15 octobre, quatre personnes sont attendues dans V-28. Trois arrivent ; la quatrième annule avant de venir. L’accueil distingue donc la liste prévisionnelle du registre des entrées.

À 10 h 30, le registre ne permet pas d’affirmer qu’il reste une personne physiquement présente : il reste une situation à clarifier. L’accueil applique le circuit prévu avec l’accompagnateur et le responsable de sécurité. Il ne renseigne pas arbitrairement « sortie 10 h 20 » parce que la visite de groupe devait finir à cette heure.

Dans le scénario, l’accompagnateur confirme ensuite avoir vu Salomé quitter le chantier, sans pouvoir préciser l’heure. Le dossier enregistre cette confirmation et sa source, sans lui donner une précision inventée. L’accès B43 est fermé et le sort du support suivi. Le registre des visiteurs ne représente toutefois pas l’ensemble des personnes présentes sur le chantier ; les autres catégories suivent leur propre dispositif.

Conserver l’historique utile et fermer le chantier

La liste des présences actives et l’historique des passages ont des usages différents. Dans V-28, l’organisateur retient quatorze jours pour l’historique ordinaire, afin de traiter les écarts d’accès examinés quotidiennement puis rapprochés chaque semaine. Ce délai est un choix illustratif, justifié dans ce scénario ; il ne constitue ni une durée légale ni une recommandation applicable partout.

À l’échéance, les données sont supprimées selon le circuit défini. Un incident identifié peut justifier de préserver des éléments ciblés, avec une finalité, une base légale, des accès et une échéance propres. Il ne permet pas de geler indéfiniment tous les passages. Le calendrier des exceptions de conservation aide à documenter cette séparation. L’Art. 5(1)(e) exige de relier la conservation au besoin effectivement poursuivi.

Lors d’un déplacement de la base vie, attribuez explicitement le transfert ou la destruction des registres. À la fermeture du chantier, retirez les accès temporaires, récupérez les supports et décidez du sort des archives nécessaires. La restitution d’un ordinateur n’établit pas que les impressions, fichiers exportés et copies du prestataire ont été traités.

Ce qu’il faut retenir

• Distinguez l’autorisation d’entrée, la présence constatée et le sort du badge.
• Enregistrez les seules données nécessaires, sans photocopie d’identité systématique.
• Protégez la saisie contre la lecture des autres visiteurs.
• Justifiez la conservation et organisez la fermeture des copies et des accès.

FAQ

Le RGPD s’applique-t-il à un cahier papier ?

Oui, lorsque les données figurent dans un fichier structuré ou sont destinées à y figurer, selon l’Art. 2(1) du RGPD. Le papier ne dispense pas de protéger les informations contre une consultation non autorisée.

Peut-on réutiliser la liste pour inviter les visiteurs à un événement commercial ?

Cette finalité ne découle pas du contrôle d’accès. Il faut examiner séparément sa licéité, l’information et les règles de prospection applicables ; la présence sur le chantier ne constitue pas un accord commercial.

Faut-il effacer une visite dès qu’une personne le demande ?

La demande doit être examinée au regard des données et finalités concernées. Un besoin de conservation encore justifié peut limiter l’effacement ; il doit être expliqué, sans transformer l’intérêt de sécurité en refus automatique de tous les droits.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.