La banque, l’agence, l’hôtel, le site ou l’employeur vous réclame une photocopie de carte nationale d’identité, parfois le recto et le verso, parfois un scan envoyé par courriel. Le document porte votre photographie, vos nom et prénoms, votre date et lieu de naissance, un numéro de titre et une zone lisible par machine. Ce n’est pas un justificatif anodin : c’est un ensemble de données à caractère personnel, dont la copie facilite l’usurpation. La question n’est pas de savoir si l’on peut prouver qui l’on est. Elle est de savoir si le professionnel a le droit de voir le titre, de le photocopier, puis de le conserver, et pendant combien de temps.
Le règlement (UE) 2016/679 s’applique dès qu’une copie est collectée, numérisée, classée ou transmise. L’article 5 impose une finalité déterminée, une minimisation et une durée limitée. L’article 6 exige une base légale. Certains textes français imposent ensuite une copie, notamment en matière bancaire. D’autres n’imposent que la présentation. D’autres encore interdisent la photocopie. Confondre ces trois situations conduit soit à remettre un titre trop large, soit à refuser une pièce que la loi rend obligatoire.
Ce texte distingue d’abord la présentation, la copie et la conservation, puis les régimes de la banque, du chèque, de la location, de l’hôtel et de l’emploi. Il indique ensuite comment refuser une copie sans texte, obtenir l’effacement, et saisir la CNIL ou le juge. Il ne traite pas du droit d’accès lorsque l’organisme ne répond pas, déjà analysé, ni de l’usurpation d’identité déjà consommée. Il part du moment où l’on vous demande la photocopie.
I. Présenter, copier, conserver : ce que le professionnel a le droit d’exiger
A. La copie n’est pas la présentation : minimisation, finalité et base légale
Voir une carte d’identité n’est pas la photocopier. La photocopier n’est pas la classer six ans. Chaque geste est un traitement distinct. L’article 5, paragraphe 1, sous b) du RGPD dispose que les données doivent être collectées pour des finalités déterminées, explicites et légitimes. L’article 5, paragraphe 1, sous c) ajoute qu’elles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. L’article 5, paragraphe 1, sous e) limite la conservation à une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. L’article 5, paragraphe 2 met le responsable en mesure de démontrer le respect de ces principes.
Une finalité de vérification d’identité n’autorise pas, à elle seule, la copie intégrale. Si la présentation du titre original suffit à constater que le porteur est bien la personne qui se présente, la copie n’est plus nécessaire. Si un numéro client, un compte authentifié ou un justificatif d’identité à usage unique permet d’identifier le demandeur, la photocopie du titre n’est plus limitée à ce qui est nécessaire. La CNIL le dit, pour l’exercice des droits, en des termes nets : en principe, non. Il suffit que le demandeur justifie de son identité, par exemple en communiquant un numéro de client ou d’abonnement, ou en s’authentifiant sur un compte en ligne. Une copie n’intervient qu’en cas de doute raisonnable (question CNIL).
Cette ligne n’est pas un conseil de communication. Elle reprend l’article 12, paragraphe 6 du RGPD : lorsque le responsable du traitement a des doutes raisonnables quant à l’identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander des informations supplémentaires nécessaires pour confirmer cette identité. Le doute raisonnable est une condition. Il n’est pas une clause de style permettant d’exiger la photocopie à chaque formulaire. Du côté du professionnel, la fiche CNIL pose la même règle : il n’a pas à réclamer systématiquement une copie de la carte d’identité des demandeurs. La page professionnelle sur le droit d’accès le reformule : pas de pièce d’identité, sauf en cas de doute raisonnable, la justification pouvant intervenir par tout moyen.
La base légale se discute ensuite. L’article 6, paragraphe 1 n’ouvre le traitement que si l’une des conditions est remplie. Le consentement (a) n’est pas un blanc-seing : un professionnel qui conditionne l’accès à un service déjà dû à la remise d’une photocopie n’obtient pas un consentement libre. L’exécution du contrat (b) n’exige une copie que si celle-ci est réellement nécessaire à l’exécution, pas par simple habitude de dossier. L’obligation légale (c) est la base la plus solide lorsqu’un texte impose la vérification et, le cas échéant, la copie. L’intérêt légitime (f) suppose une mise en balance : la lutte contre la fraude peut justifier une vérification, elle ne justifie pas automatiquement l’archivage d’un scan complet. Le responsable qui invoque l’intérêt légitime sans expliquer pourquoi la présentation ne suffit pas se place déjà en difficulté au regard de la minimisation.
La copie d’un titre d’identité concentre plus de données qu’un nom et une date de naissance. Le recto et le verso, la photographie, le numéro, la zone lisible par machine, parfois l’adresse, permettent de reconstituer une identité utilisable ailleurs. L’article 5, paragraphe 1, sous f) et l’article 32 du RGPD imposent un niveau de sécurité adapté au risque. Une photocopie envoyée en clair, stockée dans une boîte mail partagée ou laissée dans un classeur à l’accueil n’est pas une mesure adaptée. Un scan de carte d’identité qui circule par courriel est un vecteur classique d’usurpation : le visuel du titre, le numéro et la zone lisible par machine suffisent à reconstituer une identité utilisable ailleurs. Le service public France Identité propose un justificatif d’identité à usage unique, document PDF limité à un destinataire, un motif et une date, sans communiquer le visuel du titre. Ce dispositif n’abroge pas les textes qui imposent encore une copie, notamment bancaires. Il montre qu’une alternative moins exposée existe lorsque la loi n’impose pas le scan du titre.
Trois erreurs reviennent. La première consiste à croire que tout le monde le demande, donc que c’est obligatoire. L’habitude n’est pas une base légale. La deuxième consiste à envoyer le scan pour aller plus vite, puis à découvrir qu’il circule chez un prestataire, un franchisé ou un sous-traitant sans contrat. La troisième consiste, du côté du professionnel, à conserver la copie au cas où, une fois l’identité vérifiée. C’est précisément ce que la formation restreinte de la CNIL a censuré.
B. Banque, chèque, location, hôtel, employeur : les textes qui autorisent, et ceux qui s’arrêtent à la présentation
Le régime n’est pas le même selon l’interlocuteur. Il faut identifier le traitement, les parties et le contrat avant de décider si l’on photocopie.
Les établissements bancaires, et plus largement les personnes mentionnées à l’article L. 561-2 du code monétaire et financier, sont tenus d’identifier leur client avant d’entrer en relation d’affaires. L’article L. 561-5 leur impose d’identifier le client et, le cas échéant, le bénéficiaire effectif, puis de vérifier ces éléments d’identification sur présentation de tout document écrit à caractère probant. L’article R. 561-5-1, dans sa version en vigueur, précise les modalités de cette vérification. Lorsque le client personne physique est physiquement présent aux fins de l’identification au moment de l’établissement de la relation d’affaires, la vérification se fait par la présentation de l’original d’un document officiel en cours de validité comportant sa photographie et par la prise d’une copie de ce document. Ici, la copie n’est pas une facilité de guichet : elle est prévue par le texte. La CNIL répond donc oui à la question de savoir si la banque peut faire une copie de la pièce d’identité. Elle ajoute que les établissements sont tenus de vérifier l’identité dans le cadre de la lutte contre le blanchiment d’argent et de conserver une copie des documents relatifs à cette identité pendant cinq ans à compter de la clôture des comptes ou de la cessation de leurs relations. Cette durée n’est pas une invention de FAQ. L’article L. 561-12 du même code impose de conserver pendant cinq ans, à compter de la clôture des comptes ou de la cessation des relations, les documents et informations, quel qu’en soit le support, relatifs à leurs relations d’affaires. Refuser la copie à l’ouverture d’un compte, alors que l’on est physiquement présent, n’est donc pas le même acte que refuser la copie à un commerçant ou à un hôtelier. L’obligation légale de l’article 6, paragraphe 1, sous c), du RGPD trouve ici un texte précis. Cela n’autorise pas pour autant une diffusion interne illimitée, un envoi non chiffré, ni une conservation au-delà des cinq ans.
Le chèque est un autre texte, plus étroit. L’article L. 131-15 du code monétaire et financier dispose que toute personne qui remet un chèque en paiement doit justifier de son identité au moyen d’un document officiel portant sa photographie. La CNIL en déduit qu’un commerçant peut exiger la pièce d’identité lors d’un paiement par chèque. Le verbe du code est justifier, non laisser une photocopie. Un commerçant qui photocopie la carte, la scotche au talon du chèque et la range dans un classeur crée un traitement supplémentaire, qui doit encore satisfaire la minimisation et la durée. La justification prévue par l’article L. 131-15 peut se faire par présentation. La copie n’est pas écrite dans cet article.
La location d’habitation a, elle, une liste fermée. L’article 1er du décret n° 2015-1437 du 5 novembre 2015 renvoie, pour chaque candidat, à l’annexe 1 des pièces prévues par l’article 22-2 de la loi n° 89-462 du 6 juillet 1989. Son III prévoit que les pièces produites peuvent être des copies des documents originaux, rédigées ou traduites en langue française, les montants convertis en euros, et que les originaux doivent pouvoir être présentés à la demande du bailleur. La CNIL, dans sa fiche actualisée le 10 octobre 2025, rappelle cette liste et ajoute deux limites pratiques. Avant la visite, il n’est pas pertinent de collecter la situation professionnelle ou financière; il est notamment déconseillé au candidat d’envoyer tout document personnel avant d’avoir vérifié qu’il ne s’agit pas d’une escroquerie. Après la visite, le dossier peut comprendre la pièce d’identité prévue au décret. En revanche, le livret de famille, la carte Vitale, les relevés de compte, le contrat de mariage, le jugement de divorce ou l’extrait de casier ne peuvent pas être exigés. Un bailleur qui réclame ces pièces s’expose à l’amende de l’article 22-2. Un bailleur qui réclame la pièce d’identité prévue au décret n’agit pas hors liste. Cela ne le dispense pas, une fois le candidat écarté, de cesser de conserver une copie devenue inutile au regard de l’article 5, paragraphe 1, sous e).
L’hôtellerie est le cas où la CNIL dit non à la copie. À la question de savoir si un hôtelier peut faire une copie de la pièce d’identité, elle répond non (question CNIL). Il peut demander de présenter une pièce pour justifier la nationalité, parce que les hôteliers sont tenus de faire remplir et signer par toute personne étrangère, dès son arrivée, une fiche individuelle de police. Ce n’est plus le ancien article R. 611-42 souvent cité dans les modèles : le code a été recodifié. L’article R. 814-1 du code de l’entrée et du séjour des étrangers et du droit d’asile impose aux hôteliers, loueurs de meublés de tourisme et autres hébergeurs énumérés de remplir, ou faire remplir, et signer par l’étranger, dès son arrivée, une fiche individuelle de police. L’article R. 814-2 liste les données : nom et prénoms, date et lieu de naissance, nationalité, domicile habituel, téléphone mobile, adresse électronique, dates d’arrivée et de départ prévu. Cette liste ne contient pas la copie du titre. L’article R. 814-3 impose de conserver les fiches pendant six mois et de les remettre, sur leur demande, à la police ou à la gendarmerie. Le service-public renvoie à ces mêmes articles. Un hôtelier qui photocopie le passeport pour le dossier sort du régime de la fiche. Il peut faire remplir la fiche, faire présenter le titre pour en extraire les mentions prévues, il ne peut pas, selon la CNIL, en faire une copie.
L’emploi suit encore une autre logique. L’article L. 1221-6 du code du travail limite les informations demandées au candidat à celles qui permettent d’apprécier sa capacité à occuper l’emploi proposé ou ses aptitudes professionnelles, avec un lien direct et nécessaire avec l’emploi. Une photocopie de carte d’identité n’est pas, en elle-même, une information sur l’aptitude professionnelle. Pour un salarié étranger, l’article L. 5221-8 impose à l’employeur de s’assurer, auprès des administrations compétentes, de l’existence du titre autorisant l’activité salariée, sauf inscription sur la liste des demandeurs d’emploi. Ce contrôle administratif n’équivaut pas à classer, pour tous les salariés, une copie de carte nationale d’identité. La fiche CNIL sur le recrutement écarte d’ailleurs un ensemble de données sans lien avec le poste : numéro de sécurité sociale, état de santé, situation familiale, date d’entrée en France, modalités d’acquisition de la nationalité. Un employeur qui photocopie le titre pour le dossier RH doit encore démontrer la finalité, la base légale et la durée. S’il n’a besoin que de vérifier l’état civil déclaré, la présentation du titre, puis la mention des éléments strictement utiles, est plus conforme à la minimisation qu’un scan archivé.
Le professionnel qui n’entre dans aucun de ces textes reste sur le droit commun du RGPD. Un site qui conditionne un compte, un SAV ou un remboursement à l’envoi du recto-verso, un concierge qui scanne les visiteurs, une salle de sport qui archive la CNI, un commerçant qui photocopie la carte pour un paiement autre que le chèque : chacun doit démontrer pourquoi la présentation ne suffit pas. À défaut, la collecte est excessive au regard de l’article 5, et souvent sans base à l’article 6.
II. Refuser l’excès, faire détruire la copie et saisir la CNIL ou le juge
A. Ce que vous pouvez opposer tout de suite, et comment obtenir l’effacement
Le premier réflexe n’est pas la plainte. Il est d’identifier qui demande, pour quoi, et si un texte impose la copie. Face à une banque qui ouvre un compte en votre présence, le refus de la copie prévue par l’article R. 561-5-1 bloque une obligation légale. Face à un hôtelier, le refus de la photocopie s’appuie sur la réponse de la CNIL et sur les articles R. 814-1 à R. 814-3 : la fiche de police n’est pas un scan du passeport. Face à une agence qui réclame le dossier avant même la visite, la fiche CNIL du 10 octobre 2025 déconseille d’envoyer des documents personnels tant que l’offre n’est pas vérifiée. Face à un organisme qui conditionne un droit d’accès, d’opposition ou d’effacement à l’envoi systématique de la CNI, l’article 12, paragraphe 6 et les questions CNIL permettent de justifier l’identité par un numéro de client, un compte authentifié ou, le cas échéant, un justificatif d’identité à usage unique du service public France Identité.
Lorsque la copie a déjà été envoyée, le traitement existe. L’article 17, paragraphe 1 du RGPD ouvre le droit d’obtenir l’effacement dans les meilleurs délais lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées (a), lorsqu’elles ont fait l’objet d’un traitement illicite (d), ou lorsqu’elles doivent être effacées pour respecter une obligation légale (e). Une copie prise sans texte, ou conservée après que l’identité a été vérifiée, entre dans ces motifs. L’article 12, paragraphe 3 impose au responsable de fournir des informations sur les mesures prises dans les meilleurs délais et en tout état de cause dans un délai d’un mois. Ce délai peut être prolongé de deux mois, à condition d’en informer la personne dans le mois. L’inaction doit être motivée, avec mention de la réclamation auprès de l’autorité et du recours juridictionnel (article 12, paragraphe 4).
La formation restreinte de la CNIL a tranché le sort de ces copies une fois le droit exercé. Dans sa délibération SAN-2020-008 du 18 novembre 2020, elle a constaté que des copies de cartes nationales d’identité de requérants étaient conservées pendant une durée pouvant aller d’un à six ans. Elle a considéré que, dès qu’il a été fait droit à la demande, la société n’a plus besoin de conserver une copie de la pièce d’identité du requérant. La fourniture de ce document a en effet pour seul but de justifier de l’identité de la personne dont émane la demande et il n’est pas nécessaire de le conserver une fois l’identité confirmée. Pour l’archivage contentieux, elle a admis que la société puisse ne conserver que le courrier de réponse favorable, élément dont la conservation présente, au demeurant, un risque moindre pour la personne concernée. Elle en a déduit un manquement à l’article 5, paragraphe 1, sous e). L’amende globale, qui sanctionnait aussi d’autres manquements (articles 12, 13, 15, 17, 21, 32 et 33 du RGPD, article L. 34-5 du code des postes et des communications électroniques, article 82 de la loi Informatique et libertés), a été fixée à 2 250 000 euros. La décision n’identifie plus nommément la société à l’expiration du délai de publicité. Le motif sur les titres d’identité, lui, demeure : la copie sert à vérifier, pas à archiver.
Cette solution éclaire aussi les dossiers de location non retenus, les scans envoyés à un SAV, les copies prises à l’accueil. Dès que la finalité (choisir un locataire, traiter une réclamation, vérifier un visiteur) est épuisée, la copie n’est plus nécessaire. L’article 17, paragraphe 1, sous a), s’applique. Demander l’effacement n’est pas un abus. C’est le droit prévu lorsque la durée utile est close. La demande se fait par écrit, datée, en identifiant le traitement ( copie de carte d’identité remise à telle date pour telle finalité ), en visant les articles 15 et 17, et en demandant la confirmation que la copie, y compris les sauvegardes et les transmissions à des prestataires, a été détruite. Si le responsable invoque un doute raisonnable, on peut proposer un numéro de client, un compte authentifié ou le justificatif France Identité, plutôt qu’une nouvelle photocopie du titre.
Le professionnel, de son côté, a une conduite inverse à documenter. S’il a un texte (banque, certaines professions de l’article L. 561-2), il collecte la copie prévue, la protège, la limite aux personnes habilitées, et la détruit à l’échéance de l’article L. 561-12. S’il n’a pas de texte, il vérifie par présentation ou par un moyen moins exposé. S’il a un doute raisonnable pour un droit RGPD, il demande des informations supplémentaires, puis il détruit la copie dès que l’identité est confirmée, conformément à SAN-2020-008. S’il est hôtelier, il fait remplir la fiche, il ne photocopie pas. S’il est bailleur, il s’en tient à l’annexe du décret de 2015, il ne réclame pas le dossier avant la visite, et il ne conserve pas indéfiniment les copies des candidats écartés.
B. Plainte CNIL, juge, usurpation et réparation
Lorsque le responsable ne répond pas dans le mois, refuse sans motif prévu, continue d’exiger une copie systématique, ou conserve le scan après la vérification, la personne concernée n’est pas limitée à relancer. L’article 77 du RGPD lui donne le droit d’introduire une réclamation auprès d’une autorité de contrôle, en particulier dans l’État membre dans lequel se trouve sa résidence habituelle, son lieu de travail ou le lieu où la violation aurait été commise. En France, cette autorité est la CNIL. La démarche se fait en ligne, sur la page Adresser une plainte à la CNIL. La plainte n’est pas un préalable obligatoire à toute action. Elle est souvent le moyen le plus adapté pour faire cesser un traitement, obtenir une mise en demeure, et constituer un dossier. Elle ne statue pas sur les dommages-intérêts.
L’article 79 ouvre, indépendamment de la réclamation, un recours juridictionnel effectif si la personne considère que les droits que lui confère le règlement ont été violés. L’article 82, paragraphe 1 dispose que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. Le paragraphe 2 met le responsable en cause pour le traitement illicite; le sous-traitant ne l’est que s’il n’a pas respecté ses obligations propres ou s’il a agi hors instructions. Le préjudice ne se déduit pas de la seule existence d’une photocopie. Il se démontre : usage frauduleux du titre, refus d’effacement, conservation massive, diffusion, anxiété liée à un risque concret d’usurpation, frais engagés pour geler des documents. La formation restreinte, dans SAN-2020-008, a elle-même souligné que conserver le titre présente un risque plus élevé que conserver le seul courrier de réponse.
Le risque pénal n’est pas théorique. L’article 226-4-1 du code pénal punit d’un an d’emprisonnement et de 15 000 euros d’amende le fait d’usurper l’identité d’un tiers ou de faire usage de données permettant de l’identifier, en vue de troubler sa tranquillité ou de porter atteinte à son honneur ou à sa considération. La peine est la même lorsque les faits sont commis sur un réseau de communication au public en ligne. Une photocopie qui circule est précisément la matière première de cette infraction. Cela n’interdit pas toute copie prévue par la loi. Cela explique pourquoi la minimisation et la sécurité de l’article 32 ne sont pas des formalités : le chiffrement, la limitation des accès, la journalisation et la destruction à l’échéance sont la contrepartie d’un document à haut risque. Le professionnel qui laisse des scans dans une messagerie partagée, ou le particulier qui envoie le recto-verso à une annonce non vérifiée, expose le titre à un usage qu’il ne contrôlera plus.
Le juge compétent dépend du litige. Un consommateur ou un particulier contre un professionnel relève, en principe, de la juridiction judiciaire du lieu de résidence ou du lieu du traitement, selon les règles ordinaires de compétence, qu’il n’y a pas lieu de présumer ici. Un salarié se tourne vers le conseil de prud’hommes si la copie s’inscrit dans le dossier professionnel ou dans une mesure de contrôle. Un candidat locataire peut signaler au préfet le manquement à l’article 22-2 de la loi de 1989, indépendamment de la CNIL. Un étranger à l’hôtel qui se voit photocopier le passeport vise la CNIL, et, le cas échéant, le juge judiciaire. À Paris, la CNIL instruit les plaintes selon ses procédures nationales, pas selon un droit local d’Île-de-France. Le ressort change le tribunal, pas la règle de fond du RGPD.
La preuve se prépare avant le recours. On conserve la demande du professionnel (courriel, formulaire, SMS, clause), la copie envoyée ou le refus opposé, la relance, l’absence de réponse à un mois, et, si possible, la confirmation que le fichier existe encore. On demande, au titre de l’article 15, si une copie est détenue, depuis quand, pour quelle finalité, avec quels destinataires, et pendant quelle durée. Le droit d’accès n’est pas un détour : il force l’organisme à dire s’il a encore le scan. S’il le nie à tort, le manquement s’aggrave. S’il l’admet, l’article 17 a un objet précis.
Trois pièges restent fréquents. Le premier est d’envoyer une nouvelle photocopie pour exercer le droit d’effacement de la précédente : on alimente le fichier que l’on veut vider, alors que l’article 12, paragraphe 6, n’autorise ce complément qu’en cas de doute raisonnable. Le deuxième est de croire que le consentement coché dans un formulaire d’acceptation de conservation de la pièce régularise une collecte sans nécessité : un consentement n’est pas libre s’il est la condition d’un service déjà dû, et il ne lève pas la minimisation. Le troisième est d’attendre une usurpation pour agir. L’effacement se demande tant que la copie est encore chez le responsable. Une fois le titre réutilisé, le dossier bascule vers le gel de l’usage et le fichage à tort, beaucoup plus lourd.
La copie d’une pièce d’identité n’est donc ni toujours illégale, ni jamais discutable. Elle est obligatoire lorsque le droit l’écrit, notamment à l’ouverture d’une relation bancaire en présence du client. Elle est limitée à la présentation pour un chèque. Elle est une pièce possible, parmi d’autres, dans un dossier de location après visite, sans les documents interdits par le décret de 2015. Elle est refusée à l’hôtelier par la CNIL, au profit de la fiche de police. Elle n’est pas le sésame de l’exercice des droits. Dans tous les cas, une fois l’identité vérifiée, conserver le scan pour le dossier est le manquement que SAN-2020-008 a nommé : la copie a servi, elle n’a plus de finalité.
Besoin d’un avis rapide sur votre dossier
On vous impose une photocopie de carte d’identité, un organisme refuse de détruire le scan, ou vous découvrez qu’une copie circule encore : le cabinet examine votre dossier en numérique et données personnelles, minimisation, effacement et recours.
Maître Reda KOHEN, avocat au Barreau de Paris, vous répond. Contactez le cabinet au 06 46 60 58 22 ou via le formulaire de contact du cabinet.