Biométrie comportementale au travail en Suisse : comment recadrer votre employeur si la « typing dynamics » arrive
Votre employeur veut sécuriser les accès avec une authentification basée sur votre manière de taper au clavier. Avant d’accepter, vous avez raison de poser des questions. En Suisse, la protection des données et la protection de la personnalité imposent des garde-fous. Voici comment comprendre l’outil, identifier les risques, puis demander un cadrage clair et proportionné.
Objectif annonce
Securiser les acces
Risque principal
Surveillance indirecte
Le bon reflexe
Demander un cadrage ecrit
Bon a savoir
Dans la plupart des cas, votre employeur a le droit d’organiser la securite informatique, mais il doit aussi respecter la legislation suisse sur la protection des donnees et la protection de la personnalite au travail. Le bon recadrage consiste rarement a dire non tout de suite. Il consiste a exiger les bonnes garanties, au bon moment, et par ecrit.
1. Biometrie comportementale : de quoi parle-t-on exactement
La biometrie comportementale vise a identifier ou verifier une personne a partir de comportements repetables. Dans le cas de la typing dynamics, l’outil peut analyser des elements comme le rythme de frappe, les temps de pression, les transitions entre touches ou la cadence generale. En entreprise, l’argument est souvent le suivant : plutot que de se baser uniquement sur un mot de passe ou une authentification a deux facteurs, on ajoute une verification « invisible » en arriere plan. Si le comportement de frappe ne correspond pas au profil attendu, l’acces peut etre bloque ou une verification supplementaire peut etre demandee.Pourquoi cela concerne la protection des donnees
Parce qu’il s’agit de donnees liees a une personne identifiee ou identifiable. Et selon la maniere dont l’outil est concu, ces donnees peuvent aussi reveler des informations indirectes, par exemple des variations liees a la fatigue, au stress, a une blessure ou a une situation de handicap. Dans certaines configurations, on peut donc toucher a des donnees personnelles sensibles au sens de la LPD, ou s’en approcher selon l’usage qui en est fait.Biometrie ou simple journal informatique
Un employeur peut deja journaliser des connexions et des acces a des systemes. La difference, c’est que la biometrie comportementale cree un profil lie au corps ou au comportement de l’employe. Meme si l’outil promet de ne pas « identifier » mais seulement de « verifier », l’effet est similaire : on compare une personne a un modele.Astuce JuriUp
Demandez le nom exact du mecanisme. Certains fournisseurs parlent de « risk scoring » ou de « continuous authentication ». Le vocabulaire marketing peut masquer une realite plus intrusive que ce que vous imaginez.
2. Les risques concrets en entreprise
Dans un contexte de travail, le risque n’est pas seulement la cybersécurité. Le risque est l’effet secondaire sur la relation de travail : une mesure de securite qui devient un outil de controle, ou qui cree un stress constant parce que l’employe n’a plus la maitrise des criteres.Risque 1 : glissement vers la surveillance
Une authentification « continue » peut, selon les parametres, produire des alertes, des scores ou des analyses sur la maniere de travailler. Cela peut alimenter des interpretations injustes, surtout si l’outil est utilise hors de son but initial. Si votre entreprise a deja une politique de monitoring, l’accumulation peut devenir problematique.Risque 2 : faux positifs et consequences RH
Si la biometrie comportementale « se trompe », elle peut bloquer un acces, generer un incident, ou declencher une enquete interne. Dans les cas sensibles, un mauvais signal peut meme etre interprete comme une suspicion d’usurpation d’identite ou de partage de compte. Il faut donc clarifier ce qui se passe en cas d’alerte et qui prend la decision finale.Risque 3 : donnees difficiles a changer
Un mot de passe se modifie. Un comportement ne se « reinitialise » pas facilement. Si un profil comportemental est compromis ou reutilise, l’employe se retrouve expose plus longtemps. Cela renforce l’exigence de minimisation, de cloisonnement et de duree de conservation courte.Risque 4 : impacts sur l’egalite et l’accessibilite
Certaines personnes tapent differemment selon le materiel, un clavier adapte, une blessure, une affection ou une fatigue. Une solution mal concue peut desavantager certains employes. Le recadrage consiste a exiger des alternatives reelles, sans stigmatisation.Attention au « consentement » en entreprise
Dans une relation de subordination, le consentement peut etre discute, car l’employe n’est pas toujours libre de refuser sans consequences. Si l’employeur vous presente la biometrie comme « facultative » mais qu’elle conditionne en pratique l’acces au travail, il y a un probleme de fond. Dans ce type de situation, un avis d’expert juridique est souvent la meilleure option.
3. Les garde-fous a exiger selon la legislation suisse
La legislation suisse sur la protection des donnees impose en general un traitement licite, transparent, proportionne et securise. Au travail, s’ajoute l’exigence de respecter la personnalite de l’employe. Concretement, cela se traduit par des questions tres pratiques que votre employeur doit pouvoir documenter.Les garanties minimales a demander
- Le but exact de la mesure, limite a la securisation des acces, sans usage RH ou disciplinaire.
- Les categories de donnees collecteess, puis la forme de stockage. Modele, gabarit, score, journaux.
- La base de gouvernance interne. Qui est responsable, qui a acces, et avec quelles habilitations.
- La duree de conservation et les regles de suppression, idealement automatisees.
- Le recours a un fournisseur externe et les garanties contractuelles.
- Une alternative non biometrqiue pour les employes qui ne peuvent pas ou ne souhaitent pas l’utiliser.
« Une bonne mesure de securite se voit a sa capacite a etre expliquee simplement. Si on ne peut pas vous dire ce qui est collecte, pourquoi, combien de temps, et qui y accede, ce n’est pas pret. »
Point d’attention
Si l’outil sert aussi a detecter des « anomalies » de comportement de travail, on sort de la simple authentification. A ce stade, vous n’etes plus face a une mesure IT, mais face a une forme de surveillance du comportement. Vous pouvez vous appuyer sur les principes suisses de proportionnalite, de finalite et de transparence pour demander un arret ou une refonte.
4. Comment recadrer votre employeur, pas a pas
L’objectif est de garder un ton calme et factuel. Vous ne contestez pas la securite, vous demandez une mesure proportionnee, expliquee, et encadree. Voici une approche qui fonctionne bien en Suisse romande, y compris dans des structures ou la discussion est sensible.Etape 1 : demandez les documents
Demandez une note interne ou une fiche projet. Politique de securite, description des donnees traitees, roles et responsabilites, et conditions d’activation. Si l’entreprise a un DPO ou un responsable protection des donnees, demandez un point avec lui.
Etape 2 : recadrez la finalite
Formule utile : « Je comprends l’objectif de securite. Je souhaite une garantie ecrite que cette solution ne servira pas a evaluer ma productivite, mes habitudes de travail ou a alimenter des decisions RH. »
Etape 3 : exigez une alternative
Une authentification forte peut souvent etre atteinte autrement. Vous pouvez demander une option non biometrqiue offrant un niveau de securite comparable, sans penaliser votre acces aux outils.
Etape 4 : encadrez les consequences en cas d’alerte
Demandez ce qui se passe si le systeme estime que « ce n’est pas vous ». Qui tranche, sur quels elements, et avec quelle possibilite de clarifier rapidement. L’outil ne devrait pas conduire automatiquement a des soupcons disciplinaires.
Etape 5 : gardez une trace
Confirmez par email vos demandes. Restez factuel. Si vous sentez une pression, vous pouvez demander un delai de reponse raisonnable et indiquer que vous souhaitez un avis d’expert juridique avant de vous prononcer.
Si vous craignez une atteinte a votre personnalite
En Suisse, le droit du travail contient des obligations generales de protection, et la protection de la personnalite au travail peut etre invoquee si une mesure devient disproportionnee ou intrusive. Chaque situation etant tres factuelle, ne restez pas seul si la discussion se crispe. JuriUp peut vous orienter vers un expert juridique adapte dans votre canton.
Resume rapide a retenir
Besoin d’un avis en protection des donnees au travail
Vous voulez recadrer votre employeur sans vous tromper de combat, ni laisser passer un traitement de donnees disproportionne. Decrivez votre situation et JuriUp vous met en relation avec un expert juridique, souvent un avocat spécialisé en protection des données ou un juriste, selon votre besoin et votre canton en Suisse romande.
Questions frequentes
-
Mon employeur peut il m’imposer la biometrie comportementale pour me connecter
Selon la legislation suisse, un employeur peut mettre en place des mesures de securite, mais elles doivent rester proportionnees et respecter la protection des donnees et la personnalite au travail. La question depend du contexte, du caractere indispensable, des alternatives disponibles et des garanties ecrites. En cas de doute, demandez un avis via JuriUp.
-
Est ce que la typing dynamics est une donnee personnelle
En pratique, oui, car elle sert a verifier votre identite ou a vous distinguer d’autres personnes. Selon la maniere dont elle est traitee, elle peut aussi se rapprocher de donnees sensibles. Le bon reflexe est de demander quelles donnees sont stockees, sous quelle forme, puis pendant combien de temps.
-
Que dois je demander avant un deploiement dans mon equipe
Demandez un document clair sur la finalite, les donnees collectees, la duree de conservation, l’acces, le fournisseur externe, et les consequences en cas d’alerte. Exigez aussi une alternative non biometrqiue. Si vous n’obtenez pas de reponses concretes, faites vous accompagner par un expert juridique via JuriUp.
-
Puis je demander l’acces aux donnees que l’entreprise a sur moi
Generalement, la LPD donne un droit d’acces aux donnees personnelles vous concernant. Les modalites pratiques et les limites dependent du contexte et des systemes en place. Un juriste ou un avocat spécialisé peut vous aider a formuler la demande de maniere efficace.
-
Que faire si l’outil est deja deploye et que je me sens surveille
Commencez par demander les regles internes et le perimetre exact. Si vous observez un usage qui depasse la securisation des acces, vous pouvez demander un recadrage ecrit, et envisager une demarche LPD ou un accompagnement en droit du travail. Pour aller vite et eviter les faux pas, passez par JuriUp.
Textes officiels et ressources utiles
