Un système de contrôle d'accès enregistre qui passe où et quand : ce sont des données personnelles, et leur traitement obéit au règlement européen comme au cadre posé par la commission nationale de l'informatique et des libertés.
Le dispositif doit répondre à un besoin de sécurité réel et proportionné. Un contrôle d'accès ne peut pas servir à mesurer le temps de travail des salariés sans que cette finalité soit déclarée, ni à surveiller leurs déplacements internes au-delà de ce que la sécurité justifie.
Les journaux d'accès se conservent le temps nécessaire, ordre de grandeur de 3 mois pour un usage courant de sécurité, davantage seulement pour des zones sensibles justifiées. Les conserver indéfiniment est l'irrégularité la plus fréquente.
Les personnes concernées doivent être informées de l'existence du dispositif, de sa finalité, du destinataire des données et de leurs droits d'accès et de rectification. En entreprise, le comité social et économique doit être consulté avant la mise en place. Le registre des traitements doit mentionner le dispositif, et une analyse d'impact devient nécessaire pour les systèmes les plus intrusifs, biométrie en tête.