Le contrôle d’accès des visiteurs en entreprise

La faiblesse la plus fréquente n’est pas l’absence d’agent mais l’absence de décision : l’agent ne sait pas si « le fournisseur qui vient toujours » a besoin d’un badge, et chaque équipe fait autrement. La solution est une courte politique visiteurs signée par la direction, qui répond à quatre questions :

• Qui entre, et selon quelle procédure, pour chaque catégorie de visiteurs.
• Ce que le visiteur doit accepter pour entrer (enregistrement, badge, accompagnement, zones).
• Qui décide des exceptions — nommément, pas « quelqu’un de la direction ».
• Ce qui est enregistré, qui le consulte et quand c’est supprimé.

La politique passe telle quelle dans les consignes de poste de l’accueil. C’est là aussi que se voit la limite : les consignes décrivent ce que l’agent observe, consigne et à qui il s’adresse — elles ne lui donnent pas de pouvoirs qu’il n’a pas.

• Visiteurs en réunion (clients, partenaires) : préenregistrés par l’hôte, badge à la journée, accueillis par l’hôte.
• Candidats à un entretien : même procédure, avec une salle d’attente éloignée des postes de travail et des documents.
• Coursiers et livreurs : s’arrêtent à l’accueil — la gestion des livraisons est traitée dans le guide de la sécurité des bureaux et de l’accueil.
• Sous-traitants et techniciens : liste nominative, accès à la seule zone de travail, pour la durée du chantier (voir plus bas).
• Anciens salariés : traités comme des visiteurs ; leur ancien badge doit déjà être désactivé.
• Visiteurs de premier plan : visite connue d’un petit nombre, accueil sans attente dans le hall.

S’il existe une catégorie qui entre « sans procédure parce qu’on les connaît », c’est là votre faille.

1. Invitation et préenregistrement : l’hôte indique nom, société, jour, heure et lieu. Avec l’invitation, le visiteur reçoit les conditions d’entrée et une courte information sur ses données (voir plus bas).
2. Arrivée : l’accueil vérifie que la personne est bien celle qui a été annoncée, selon les modalités de la politique, et prévient l’hôte.
3. Badge : visible, expirant le jour même, n’ouvrant que les zones de la visite.
4. Pendant la visite : l’hôte est responsable de son visiteur jusqu’à ce qu’il le ramène à l’accueil.
5. Départ : heure de sortie enregistrée et badge restitué ; un badge non rendu est désactivé.

L’étape la plus souvent oubliée est le rapprochement de fin de journée : combien sont entrés, combien sont sortis, quel badge manque. Sans lui, le registre est une liste d’arrivées, pas une image de qui se trouve dans le bâtiment. Le fonctionnement technique des badges temporaires est expliqué dans le guide du contrôle d’accès.

• Zones : divisez les locaux en zones libres (accueil, salles de réunion proches de l’entrée) et zones accompagnées.
• Relais : l’hôte confie le visiteur à un autre collègue, jamais à personne.
• Toilettes et pauses : définissez celles qu’utilisent les visiteurs, pour qu’une « courte absence » ne devienne pas une visite des lieux.
• Visiteur seul en zone accompagnée : l’agent ou tout salarié qui le voit l’aborde poliment, demande qui il vient voir et le ramène à son hôte ou à l’accueil.

Quand l’agent quitte son poste pour accompagner quelqu’un, l’entrée n’est plus couverte. Si l’entreprise reçoit beaucoup de visiteurs, l’accompagnement revient aux hôtes — et la politique le dit.

• Une liste avant le début : les noms de tous ceux qui viendront ; les changements sont signalés par le sous-traitant avant l’arrivée du nouveau, pas à la porte.
• Deux responsables : un de votre entreprise, qui autorise, et un de l’équipe, qui répond de ses personnes.
• Badge ou laissez-passer : uniquement pour la zone et les horaires des travaux, expirant à la fin du chantier.
• Clés : chaque clé remise est enregistrée avec ses heures de remise et de retour.
• Outils et matériaux : ce qui entre ou sort en quantité est consigné sur un bon émis par l’entreprise, pour que la sortie de matériel ne soit pas laissée au jugement de l’agent.
• Travaux hors horaires : uniquement avec une autorisation écrite préalable et l’équipe de service informée.

Les conditions d’entrée — préenregistrement, badge, accompagnement — sont les conditions du propriétaire sur qui entre chez lui. L’agent ne les impose pas par autorité ; il ne délivre simplement pas de badge à qui ne les accepte pas, et laisse la décision à la personne que désigne la politique.

1. Expliquez la règle et sa raison une fois, calmement : « C’est la procédure de l’entreprise pour tous les visiteurs. »
2. Prévenez l’hôte. S’il le souhaite, il descend rencontrer le visiteur à l’accueil.
3. Si le visiteur ne veut pas fournir une information, l’hôte ou le responsable des exceptions décide s’il existe une autre solution — pas l’agent.
4. Si le visiteur tente de passer, l’agent ne l’immobilise pas ; il prévient le responsable et suit la procédure d’escalade écrite.
5. Consignez : heure, nom tel que déclaré, personne visitée, ce qui a été refusé, qui a décidé.

Une entreprise qui laisse l’agent « juger au cas par cas » le charge d’une décision qui ne lui revient pas. Désignez nommément qui autorise les exceptions.

Le registre des visiteurs est un traitement de données personnelles, et l’entreprise est responsable de pouvoir démontrer qu’elle respecte les principes de l’article 5 du RGPD (« responsabilité », §2). Concrètement :

• Une finalité déterminée (§1, b) : écrivez pourquoi vous tenez le registre — par exemple la sécurité du bâtiment et le comptage en cas d’évacuation — et ne l’utilisez pas ensuite à une fin incompatible, comme des listes marketing.
• Minimisation des données (§1, c) : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. Nom, société, hôte, heures d’entrée et de sortie suffisent généralement ; tout champ supplémentaire doit avoir sa propre raison.
• Limitation de la conservation (§1, e) : les données ne sont pas conservées sous une forme permettant d’identifier les personnes plus longtemps que la finalité ne l’exige. Fixez par écrit un délai de suppression et qui l’exécute.
• Confidentialité (§1, f) : la liste du jour ne reste pas ouverte sur le comptoir, et l’accès au registre électronique est nominatif.

Lors de la collecte, le visiteur doit être informé de l’identité du responsable du traitement et de ses coordonnées, de la finalité et de la base juridique, et de la durée de conservation ou des critères qui la déterminent (art. 13, §1, a) et c), §2, a) du RGPD). Une courte notice jointe à l’invitation et un panneau à l’accueil y suffisent. Les règles applicables aux caméras de l’accueil sont traitées dans le guide de la sécurité des bureaux.

Chez OVIT, les arrivées imprévues et les incidents d’accueil sont consignés sur la plateforme Guardly, pour que la direction voie la même image que l’équipe de service. Demandez une proposition pour votre politique visiteurs et votre accueil.