Définition
Le contrôle d’accès physique consiste en un ensemble de dispositifs et procédures visant à réguler et à sécuriser les points de passages dans des zones spécifiques d’une organisation. Il forme généralement un tandem avec le contrôle d’accès numérique, central en cybersécurité, qui assure la sûreté des systèmes d’information.
Il en existe de deux types :
- Le contrôle d’accès humain, par l’intermédiaires d’agents de sécurité ;
- Le contrôle d’accès technologique qu’on peut diviser en deux catégories : 1/Biométriques : qui utilise les caractéristiques physiques d’une personne telles que ses empreintes digitales, son visage, les veines de ses mains ou son iris. 2/Non-biométriques : utilisation de badges d’accès, de sas d’entrée, de digicodes ou encore lecteurs d’empreintes.
Ces contrôles d’accès doivent aussi bien s’appliquer à des visiteurs extérieurs à l’entreprise qu’à des employés internes habilités ou non à pénétrer dans certains lieux spécifiques.
Cadré légal
La règlementation englobant le contrôle d’accès physique est définie dans le Code du travail et se concentre sur deux notions centrales : la sécurité des sociétés et de leur personnel ainsi que la préservation des droits et libertés des individus.
En termes de sécurité et sûreté :
- Le système de contrôle d’accès doit être conforme aux normes de sécurité applicables. Dans le cadre par exemple du fonctionnement du système d’alarme incendie, le contrôle d’accès ne doit pas entraver l’accès aux issues de secours.
- Le Code du travail rappelle l’obligation pour un employeur de prendre des mesures nécessaires et proportionnées pour assurer la sécurité mentale et physique de ses employés (article L.4121-1). Ces employés doivent être sensibilisés à l’utilisation du système de contrôle notamment en cas d’urgence (urgence à sortir – incendie, intrusion armée… mais aussi urgence à entrer – intervention des pompiers et/ou des forces de l’ordre).
- Dans un souci de transparence et de sécurité, le Comité d’entreprise doit être tenu au courant lors de l’installation ou le remplacement de contrôle d’accès (article L.423-21).
En ce qui concerne les droits et libertés des individus :
- L’article L.121-8 du Code du Travail dispose que le salarié doit être préalablement informé de l’installation et du type de contrôle d’accès utilisé.
- L’article L.120-2 dispose que le contrôle d’accès doit être utilisé à « des fins raisonnables ». Sur ce point, la CNIL précise qu’un tel dispositif ne doit pas entraver la liberté de mouvement des employés à mobilité réduire ou des représentants syndicaux dans l’exercice de leur fonction ou à des fins de traçage.
- Conformément au Règlement Général de la Protection des Données (RGPD), la CNIL rappelle que les employés peuvent porter des réclamations à leur employeur qui doit s’assurer en retour que les données collectées ne sont accessibles qu’au personnel habilité des services gérant le personnel, la paie ou la sécurité.
- L’employeur peut en revanche utiliser ces données pour justifier un licenciement pour manquement aux horaires ou en cas de litiges sur la rémunération d’heures supplémentaires.
Recommandations
- Zoning – Privilégier la combinaison de plusieurs points de contrôle pour les accès et zones internes les plus sensibles afin d’augmenter le niveau de sûreté. Aborder sa stratégie de sûreté (donc de contrôle d’accès) selon la vision d’un oignon : zone après zone, de la moins sensible à la plus sensible, on installe différents dispositifs complémentaires et adaptés au niveau de risque de chaque zone pour atteindre le « coeur » de l’organisation.
- L’homme et la machine – L’approche la plus sûre reste celle qui combine le contrôle humain et le contrôle technologique en cela que chacun de ces types de contrôle d’accès physique peut compenser les failles de l’autre : le manque d’attention ou de concentration d’un être humain ou une coupure de courant sans groupe électrogène de secours rendant un système technique inopérant. L’objectif n’est pas d’atteindre le risque zéro qui n’existe pas, mais de limiter le risque d’une faille généralisée.
- Analyse de risques – Du point de vue des droits des individus, la CNIL recommande de privilégier les contrôles d’accès non-biométriques sur ceux biométriques qu’elle trouve disproportionnés pour un site non-sensible et qui nécessitent une analyse d’impact sur la protection personnelle des données (PIA). D’un point de vue sûreté cependant, le contrôle d’accès biométrique reste le plus difficile à contourner. Ce dilemme illustre la nécessité pour chaque entreprise de cartographier et évaluer les risques auxquels elle est exposée.
