Copies de pièces d'identité : limiter leur exposition

Une copie de pièce d’identité peut passer du formulaire de réception au CRM, puis à une messagerie partagée et à un prestataire. Chacun conserve sa version « au cas où ». Le risque vient autant de cette circulation que de la collecte initiale : la fermeture du dossier ne fait pas disparaître les pièces jointes.

Avant de sécuriser le stockage, décidez si la copie est nécessaire. Vérifier une identité, constater qu’une vérification a été faite et conserver le document utilisé sont trois opérations différentes. Elles doivent avoir chacune une justification, un périmètre et, pour la conservation, une durée.

Formuler précisément ce que vous devez établir

« Identifier le client » est souvent trop vague. Cherchez-vous à rattacher une demande à un compte existant, à contrôler une qualité de représentant ou à satisfaire une obligation sectorielle ? La réponse détermine les éléments nécessaires. Elle ne peut pas être remplacée par l’habitude du service ou par un champ obligatoire dans un formulaire.

Les Art. 5(1)(c) et 5(1)(e) du RGPD imposent minimisation et conservation limitée. L’Art. 6(1) exige une base légale. Le simple fait qu’un contrat ou une procédure interne demande une pièce ne démontre pas que l’intégralité du document est nécessaire. RGPD, principes et licéité.

Lorsque vous invoquez une obligation légale, identifiez le texte, les organismes et opérations visés, les justificatifs exigés et les modalités de conservation. Une règle propre à une activité réglementée ne s’étend pas automatiquement au support technique ou à tous les clients d’une autre activité. Ce guide organise le parcours des pièces ; il ne remplace pas cette vérification sectorielle.

Séparez aussi le besoin d’authentification de l’autorisation à agir. Une personne peut démontrer son identité sans être habilitée à obtenir le dossier d’un tiers. Le contrôle d’une demande présentée par un mandataire examine les pouvoirs en plus de l’identité.

Décider entre consultation, justificatif et copie conservée

Utilisez une grille de décision avant de créer un dépôt systématique :

Ce tableau ne déclare pas la consultation suffisante dans tous les cas. Il oblige à expliquer le passage d’une opération à l’autre. Si une preuve limitée suffit à démontrer le contrôle, conserver le visuel complet exige une raison supplémentaire.

Une fiche de contrôle ne doit pas devenir une seconde copie sous forme de texte. Relever tous les champs du document, son numéro et sa photographie dans un autre outil peut reproduire le même excès. Limitez la trace à ce qu’il faut établir et protégez-la selon son contenu.

Pour les droits RGPD, la copie n’est pas automatique

L’Art. 12(6) permet de demander des informations supplémentaires nécessaires à la confirmation de l’identité en cas de doutes raisonnables. Il ne prévoit pas une pièce obligatoire pour toute demande d’accès. La demande complémentaire doit répondre au doute identifié, avec un moyen adapté. RGPD, Art. 12(6).

La CNIL cite notamment un numéro de client associé aux informations d’identité ou un compte préalablement authentifié parmi les moyens possibles. Une copie de pièce peut devenir nécessaire dans certaines circonstances ; elle ne constitue pas le point de départ systématique. CNIL, faut-il fournir une copie de carte d’identité ?.

Prenons une demande fictive reçue depuis l’espace authentifié d’un abonné. Les éléments disponibles concordent avec son dossier et aucun indice ne crée de doute raisonnable. Le service ne demande pas une carte supplémentaire uniquement parce que son modèle de réponse contient cette phrase. Il conserve la trace du parcours utilisé et poursuit le traitement de la demande.

Dans une autre situation, le compte est inaccessible et les coordonnées fournies contredisent celles du dossier. L’organisme examine les moyens de lever ce doute sans réclamer d’emblée plusieurs justificatifs complets. Le guide de vérification d’une identité pour une demande de droits traite ce parcours plus précisément. La vérification ne doit ni divulguer les données à un imposteur ni devenir un obstacle disproportionné au droit.

Réduire le document lorsqu’une copie reste nécessaire

Déterminez les informations nécessaires à l’opération avant de proposer un masquage. La date de naissance, la photographie ou un numéro peuvent être utiles à certains contrôles et inutiles à d’autres. Une consigne universelle de masquer tel champ risquerait d’empêcher une vérification requise ; une consigne de conserver systématiquement tout le document serait tout aussi insuffisante.

Le masquage doit être effectif dans la copie transmise. Une forme superposée dans un fichier éditable peut laisser le contenu accessible. Vérifiez aussi les pages supplémentaires, les commentaires et le nom du fichier. La préparation d’une capture ou copie expurgée explique les contrôles à effectuer sur le fichier final.

Un filigrane peut préciser l’usage et le destinataire attendus. Service Public renvoie à un service public dédié pour cette opération. Cela ne constitue ni une base légale de collecte ni une garantie contre toute réutilisation : les données visibles restent visibles. Service Public, démarche Filigrane.

Une autre possibilité à examiner est le justificatif à usage unique de France Identité. Le service officiel décrit un PDF signé électroniquement, avec destinataire, durée et cadre d’usage, vérifiable en ligne, sans transmettre le visuel du titre. Vérifiez son adéquation au contrôle et aux règles applicables avant de remplacer le document prévu. Sa durée de validité n’est pas, en elle-même, votre durée légale de conservation. France Identité, justificatif à usage unique.

Un dossier rempli : la pièce reçue pour un dépannage

Voici un exemple fictif de tri. Une utilisatrice transmet spontanément la copie de sa carte d’identité à un support pour expliquer un bouton inaccessible. Le défaut est reproductible sans cette pièce. Le ticket est privé, mais sa notification a envoyé la pièce à deux boîtes fonctionnelles. Aucun texte ni besoin de contrôle ne justifie ici sa conservation.

La responsable du support rédige la décision P-18 :

Objet : retirer un justificatif inutile sans interrompre le dépannage. Donnée utile conservée : description du défaut, référence du compte et échanges nécessaires au traitement. Pièce exclue : copie de carte reçue spontanément. Périmètre identifié : pièce du ticket et deux copies de notification. Action : retirer la pièce du ticket, faire supprimer les copies des deux boîtes et vérifier les autres destinations automatiques. Preuve conservée : référence P-18, opérations et confirmations, sans image du document.

Dans la suite de ce scénario, l’administrateur confirme que le ticket n’a pas été transféré à un autre prestataire et qu’aucun outil d’analyse n’a reçu la pièce. Le retrait du ticket et les confirmations des deux boîtes permettent de clore ces trois copies identifiées. La responsable traite séparément le cycle des sauvegardes avec l’administrateur ; elle n’écrit pas « toutes les copies détruites » si cette conclusion n’est pas établie.

Si une boîte ne confirme pas l’action, la tâche reste ouverte pour cet emplacement. Le dépannage peut continuer avec les seules informations utiles. L’équipe ne redemande pas la pièce et ne la recopie pas dans une nouvelle demande d’effacement interne.

Un message bref à l’utilisatrice peut préciser : « Votre justificatif n’est pas nécessaire au diagnostic. Nous traitons son retrait des copies identifiées et poursuivons le dépannage à partir de la description du problème. Merci de ne pas joindre de nouveau document d’identité pour ce ticket. » Adaptez cette formulation à l’état réel des opérations, sans annoncer une suppression déjà faite lorsqu’elle reste en cours.

Organiser un parcours de réception maîtrisé

Lorsque des pièces sont réellement nécessaires, choisissez un canal prévu pour ce contenu. Limitez la consultation aux personnes chargées de l’opération et évitez les liens accessibles sans contrôle. Examinez aussi les téléchargements, les notifications et les accès du support du prestataire.

La CNIL recommande de chiffrer les pièces sensibles lors de leur transmission, de protéger les secrets par un canal distinct et de limiter les accès et la durée de disponibilité des dépôts temporaires. Ces mesures se choisissent selon le contenu et le risque. Guide CNIL de sécurité, fiche 13, pages 33–34.

Informez la personne lors de la collecte sur le responsable, la finalité, la base légale, les destinataires, la durée ou ses critères et les droits applicables. Précisez aussi le caractère obligatoire ou facultatif et les conséquences d’une absence de fourniture lorsque l’Art. 13(2)(e) l’exige. Une formule « pour la sécurité » ne décrit pas à elle seule le traitement. RGPD, Art. 13(1)-(2).

La présence d’un prestataire n’efface pas ces choix. S’il traite les pièces pour votre compte, définissez les instructions et engagements de l’Art. 28(3), dont accès, assistance et fin de prestation. Vérifiez les opérations réelles plutôt que de déduire ses rôles du seul intitulé « vérification d’identité ».

Fermer la conservation et analyser les expositions

Pour chaque usage, fixez un événement de départ, une échéance ou un critère, un responsable et les emplacements concernés. La fin du contrôle peut mettre fin au besoin du visuel, tandis qu’une autre obligation établie impose une conservation ciblée. Ne confondez pas la durée de validité du titre avec celle de sa copie dans votre dossier.

La preuve d’effacement proportionnée documente les actions sans garder la pièce supprimée comme preuve. Une référence, le périmètre et les confirmations peuvent suffire. Les exceptions de conservation doivent rester explicites et accessibles aux seules personnes qui en ont besoin.

En cas d’exposition non autorisée, sécurisez le parcours, documentez les faits et évaluez le risque d’usurpation selon les informations et circonstances. Les Art. 33–34 peuvent imposer notification et information des personnes. La seule présence d’un filigrane ou la fermeture d’un lien ne démontre pas que le risque a disparu. RGPD, sécurité et violations.

Ce qu’il faut retenir

• Justifiez séparément la vérification et la conservation du document.
• Une pièce envoyée spontanément ne crée pas un besoin de la garder.
• Maîtrisez aussi les copies de notification et les destinataires techniques.
• Une trace de contrôle ou de suppression ne doit pas reproduire inutilement le justificatif.

FAQ

Toute carte d’identité relève-t-elle de l’Art. 9 ?

Pas automatiquement pour tous ses usages. La qualification dépend des informations et du traitement, notamment en cas de traitement biométrique d’identification. Un risque important de fraude ne suffit pas à qualifier juridiquement chaque copie de catégorie particulière.

Le chiffrement autorise-t-il une conservation sans limite ?

Non. Il protège la confidentialité, sans remplacer la justification de la finalité, des données et de la durée.

Peut-on garder une pièce reçue sans l’avoir demandée ?

La réception ne crée pas une justification générale. Vérifiez son utilité et le cadre applicable, limitez immédiatement sa circulation et traitez son retrait lorsqu’elle est inutile.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.