RGPD BTP : données et accès sur les chantiers

Sur un chantier, plusieurs entreprises ont besoin de savoir qui peut entrer, pour quelle intervention et avec quelles habilitations. Elles n’ont pas pour autant besoin de partager les dossiers RH complets des travailleurs. Pour organiser les données, séparez l’accès au site, le suivi des horaires et les obligations propres à chaque employeur.

Une sous-traitance de travaux n’est pas une qualification RGPD

Le plombier sous-traitant conserve la responsabilité de la gestion de son personnel. L’entreprise principale peut déterminer un autre traitement pour sécuriser l’accès au chantier. Le prestataire informatique qui héberge les listes et exécute les instructions peut, lui, être sous-traitant au sens du RGPD.

La distinction dépend de celui qui détermine les finalités et les moyens, définition du responsable de traitement donnée par la CNIL, et de l’existence d’un traitement pour le compte d’autrui, définition du sous-traitant. La seule présence d’un contrat de travaux ou d’un accès aux données ne permet pas de conclure.

Pour chaque flux, consignez l’entreprise qui envoie, celle qui reçoit, le besoin et les données nécessaires. Si les entreprises déterminent conjointement les finalités et moyens essentiels, examinez l’Art. 26(1). Si le traitement est sous-traité, appliquez l’Art. 28(3). Ces règles figurent au chapitre IV du RGPD. Une transmission entre responsables distincts demande sa propre justification : notre grille d’accord de partage aide à la documenter.

Carte BTP : vérifier le champ, puis limiter les copies

La carte concerne les salariés réalisant, dirigeant ou organisant les travaux entrant dans son champ. Elle n’est pas obligatoire pour toute personne présente sur un chantier. La fiche Service Public sur la carte BTP distingue notamment certains métiers dispensés, tels les architectes ou livreurs, et les postes sans mission de chantier. L’employeur effectue les démarches auprès de CIBTP France ; les modalités diffèrent selon l’emploi ordinaire, l’intérim ou le détachement.

Organisez donc une vérification adaptée à la situation de l’intervenant. Demander une copie de pièce d’identité, de carte professionnelle et de chaque document RH à toutes les personnes « par sécurité » crée un fichier excessif. L’Art. 5(1)(c) du RGPD impose de limiter la collecte. Déterminez ce qui doit être consulté, ce qui doit être consigné et ce qui doit réellement être conservé au titre de l’obligation applicable.

Le visiteur ponctuel relève d’un circuit distinct. Le guide des données des visiteurs sur un chantier précise les champs d’accueil et les destinataires utiles.

Badges : séparer sécurité et temps de travail

Un badge utilisé pour autoriser l’entrée ne devient pas automatiquement un outil de contrôle des horaires. La fiche CNIL actualisée le 17 juin 2026 rappelle cette limitation des finalités. Elle considère aussi excessifs les dispositifs biométriques ou photographiques systématiques destinés au seul contrôle des horaires.

Décrivez les finalités avant l’installation. Une obligation de suivi du temps de travail ne justifie pas tous les moyens techniques disponibles. Pour la sécurité d’un site, un employeur privé peut examiner l’intérêt légitime, avec nécessité et mise en balance ; une obligation légale doit être rattachée à un texte précis. Voir l’Art. 6(1)(c) et (f).

Les accès aux données doivent correspondre aux fonctions : le responsable de la sécurité n’a pas besoin de consulter les éléments de rémunération ; le chef d’équipe ne doit pas disposer d’un export permanent de toutes les entreprises du chantier.

Les durées ne suivent pas toutes la fin du chantier

Le référentiel CNIL des durées RH d’avril 2026, rubrique sécurisation des personnes et des biens, distingue notamment :

Ces repères ne signifient ni « tous les badges cinq ans » ni « tout supprimer à la réception des travaux ». Les documents sociaux, contrats, preuves de contrôle et pièces nécessaires à un contentieux suivent leurs finalités et textes propres. Isolez les données à archiver et supprimez les accès devenus inutiles. Notre tableau des durées de conservation aide à distinguer obligation, recommandation et choix justifié.

Biométrie : examiner le dispositif avant de l’acheter

La délibération CNIL n° 2019-001 du 10 janvier 2019 encadre l’authentification biométrique sur les lieux de travail. Son Art. 3 exige une justification circonstanciée de la nécessité face aux solutions alternatives. Son Art. 7 privilégie les gabarits sous maîtrise de la personne, sauf justification des autres modes ; son Art. 11 impose une AIPD préalable pour les traitements couverts, quel que soit le mode de détention.

Sur un chantier, commencez donc par évaluer badge et mesures d’organisation. Une AIPD ne rend pas licite un dispositif inutile ou disproportionné. Consultez le guide sur les données biométriques avant de retenir une solution fondée sur l’empreinte ou le visage.

Informer les travailleurs et organiser les échanges

L’Art. L. 2312-38 du Code du travail prévoit, dans le régime des attributions du CSE des entreprises d’au moins cinquante salariés, information et consultation préalables sur les moyens de contrôle de l’activité. Il faut identifier le régime applicable à chaque employeur, sans confondre consultation des représentants et information individuelle.

La notice remise aux travailleurs doit préciser les usages, acteurs, destinataires, durées et droits. Adaptez son accessibilité aux personnes concernées, notamment sur un chantier réunissant plusieurs langues. L’Art. 12(1) et l’Art. 13 du RGPD commandent une information compréhensible et pertinente.

Pour les intérimaires, distinguez la gestion de la mission et de la paie par l’agence des besoins d’organisation et de sécurité de l’entreprise utilisatrice. Vérifiez également les obligations spécifiques au détachement lorsqu’il existe. N’adressez pas les dossiers complets par défaut à tous les intervenants.

La fiche de passage à préparer pour chaque entreprise

Exemple hypothétique : trois entreprises interviennent successivement sur un chantier. Le coordinateur prépare un tableau limité : entreprise, contact professionnel, personnes autorisées, zones, période d’intervention, vérification utile et date de fin d’accès. Chaque employeur conserve les pièces dont il a réellement besoin pour ses obligations.

Avant l’ouverture, vérifiez qui peut créer un badge, corriger une erreur et répondre à une demande d’accès. Pendant les travaux, retirez les personnes parties et contrôlez les listes envoyées. À la clôture, désactivez les habilitations, récupérez les exports utiles et appliquez les durées prévues aux différentes copies.

La désignation d’un DPO s’apprécie selon les conditions de l’Art. 37(1), notamment les activités de base impliquant certains traitements à grande échelle. Le seul fait de posséder un badge biométrique ou d’employer beaucoup de salariés ne suffit pas à trancher.

Ce qu’il faut retenir

• Qualifiez les rôles par traitement ; le contrat de travaux ne décide pas du rôle RGPD.
• Vérifiez le champ de la carte BTP et limitez les documents collectés.
• Séparez accès au chantier, contrôle des horaires et leurs durées respectives.
• Préparez les responsabilités, l’information et la fin des habilitations avant l’ouverture du site.

FAQ

Chaque entreprise de travaux doit-elle signer un DPA ?

Seulement pour les traitements qu’elle réalise en qualité de sous-traitant RGPD. Les échanges entre responsables distincts et les éventuelles responsabilités conjointes nécessitent une analyse différente.

Peut-on conserver tous les passages pendant cinq ans ?

Ce délai ne s’applique pas indistinctement aux journaux de sécurité. Les données nécessaires au suivi du temps de travail doivent être distinguées des traces d’accès et des habilitations.

La biométrie impose-t-elle automatiquement un DPO ?

Non. Elle peut déclencher une AIPD dans le cadre du contrôle d’accès au travail, mais les conditions de désignation d’un DPO sont distinctes et doivent être examinées séparément.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.