Fiche
Registre des visiteurs en entreprise et RGPD
Quelles données noter sur un registre des visiteurs, combien de temps les garder, comment informer : l'exemple de la CNIL, expliqué.
Mis à jour le
Un registre des visiteurs contient des noms : c'est un traitement de données personnelles, soumis au règlement général sur la protection des données (RGPD). Il faut donc savoir pourquoi on le tient, ne noter que le nécessaire, fixer une durée de conservation et informer les visiteurs. La CNIL (Commission nationale de l'informatique et des libertés) publie un exemple d'information pour l'accès aux locaux par badge, qui donne un repère concret.
À quoi sert le registre
Fixez la finalité avant de choisir les colonnes. Les plus courantes :
- Savoir qui est dans les locaux, notamment en cas d'évacuation. La brochure ED 6230 de l'INRS (Institut national de recherche et de sécurité) explique que le point de rassemblement sert à regrouper les personnes présentes pour qu'un recensement puisse être effectué, et qu'il doit être assez grand pour accueillir le personnel, le public, les visiteurs et les clients.
- Contrôler l'accès aux locaux, ou à certaines zones.
- Prévenir la personne qui reçoit de l'arrivée de son visiteur.
Une finalité claire permet de refuser les colonnes inutiles.
Les données : l'exemple de la CNIL
Dans son « Exemple d'information en cas d'accès à des locaux professionnels par badge », la CNIL décrit, pour les visiteurs d'une entreprise fictive :
| Élément | Dans l'exemple de la CNIL |
|---|---|
| Finalité | Contrôler l'accès aux locaux au moyen d'un système de badge |
| Base légale | L'intérêt légitime (article 6.1.f du RGPD) |
| Données | Nom et prénom ; société d'appartenance et nom du salarié qui accueille ; date et heures d'entrée et de sortie |
| Durée de conservation | Trois mois à compter de la visite |
| Destinataires | Personnels habilités chargés de la sécurité ; prestataire de maintenance du matériel, uniquement à cette fin |
| Droits | Accès, effacement, opposition, rectification, limitation ; contact du délégué à la protection des données ou d'une personne désignée ; réclamation possible auprès de la CNIL |
La CNIL propose deux niveaux d'information : une mention courte visible, et une notice plus complète remise au visiteur, dans l'exemple au moment où il reçoit son badge. C'est un exemple à adapter, pas un modèle obligatoire.
Les points d'attention
- Ne notez que ce qui sert la finalité. L'exemple de la CNIL ne mentionne ni adresse personnelle, ni numéro de téléphone, ni copie de pièce d'identité. Si vous envisagez de demander une pièce d'identité, faites valider ce choix au regard de votre finalité.
- Protégez les inscriptions précédentes. Sur un registre papier ouvert au comptoir, chaque visiteur lit les noms des autres. Une feuille par visiteur, un registre tenu par l'accueil ou une saisie à l'écran évitent cela.
- Inscrivez le traitement au registre des activités de traitement. La CNIL rappelle que cette obligation concerne tous les organismes, quelle que soit leur taille ; les organismes de moins de 250 salariés n'y inscrivent que certains traitements, dont les traitements non occasionnels. Un registre des visiteurs tenu chaque jour ressemble davantage à un traitement régulier qu'à un usage ponctuel ; en cas de doute, la CNIL recommande de l'inscrire.
- Supprimez à l'échéance. Une durée de conservation écrite mais jamais appliquée ne protège personne. Désignez qui purge le registre, et quand.
La fiche du registre des traitements, version accueil
| Rubrique | À remplir |
|---|---|
| Finalité | [sécurité des locaux, évacuation, accueil] |
| Personnes concernées | Visiteurs, prestataires, candidats reçus |
| Données | [liste limitée] |
| Destinataires | [accueil, sécurité, personne qui reçoit] |
| Durée de conservation | [durée choisie et justifiée] |
| Mesures de sécurité | [registre rangé, accès limité, purge] |
Ce que l'assistant peut préparer avant la visite
Un assistant qui répond à partir des documents de l'entreprise ne remplace pas le registre, mais il allège l'accueil le jour de la visite :
- il répond aux questions pratiques avant la venue : adresse, accès, stationnement, entrée des visiteurs, horaires d'accueil ;
- il rappelle ce que le visiteur devra présenter ou respecter, à partir de vos consignes écrites (voir consignes de sécurité pour les visiteurs) ;
- il renvoie vers la notice d'information sur les données des visiteurs, pour que la mention au comptoir soit déjà connue.
Il ne doit pas collecter plus de données que le registre lui-même, ni les garder plus longtemps. Si l'assistant recueille un nom pour annoncer un visiteur, la même finalité, la même durée et la même information s'appliquent. Pour l'accueil au téléphone, voir standard téléphonique IA.
Questions fréquentes
Quelles données noter sur un registre des visiteurs ?
Dans son exemple d'accès aux locaux par badge, la CNIL retient le nom et le prénom, la société d'appartenance, le nom du salarié qui accueille, et la date et les heures d'entrée et de sortie.
Combien de temps garder un registre des visiteurs ?
Dans l'exemple de la CNIL, les données des visiteurs sont conservées trois mois à compter de la visite. Fixez votre propre durée selon votre finalité et inscrivez-la au registre des traitements.
Le registre des visiteurs relève-t-il du RGPD ?
Oui, dès lors qu'il contient des noms : ce sont des données personnelles. Le traitement doit avoir une finalité, une durée de conservation et une information des visiteurs.
Sources
Pages consultées pour écrire cet article :