Agence immobilière, banque, nouvel employeur, hôtel, salle de sport, opérateur téléphonique : la demande tombe presque chaque semaine, formulée comme une évidence : il faudrait une photocopie de votre carte d’identité. Vous tendez alors le document, l’agent le photocopie ou le photographie avec son téléphone, et la copie rejoint un dossier, un serveur, une messagerie dont vous ne saurez plus jamais rien. Puis, des mois ou des années plus tard, cette copie ressurgit : dossier de location transmis à un tiers, fichier de clients piraté, ancienne pièce d’identité utilisée pour une usurpation dont vous faites les frais.
Cette situation n’est pas une fatalité administrative. Le droit français et européen pose des limites précises à la collecte et à la conservation des copies de pièces d’identité, et il vous donne des armes concrètes : le droit de refuser dans de nombreux cas, le droit d’exiger la restitution ou la destruction de la copie, le droit de saisir la Commission nationale de l’informatique et des libertés, et le droit d’obtenir réparation devant le juge. La Commission a déjà sanctionné des organismes qui conservaient des copies de cartes d’identité pendant des années sans nécessité, et les tribunaux indemnisent les victimes de ces conservations abusives.
Cet article explique, cas par cas, quand on peut vous demander une copie de votre pièce d’identité et quand vous pouvez dire non, puis détaille la marche à suivre : refuser proprement, exiger l’effacement, saisir la Commission, porter plainte et demander réparation. Chaque affirmation s’appuie sur les textes et les décisions cités en lien, que vous pourrez produire à l’appui de vos démarches.
I. Quand un organisme peut exiger une copie de votre pièce d’identité, et quand vous pouvez dire non
A. La règle de base : montrer sa pièce n’autorise pas à la garder
Le règlement européen sur la protection des données pose une règle simple, dont tout le reste découle : les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données). Une photocopie de carte d’identité contient bien plus que votre nom : photographie, signature, date et lieu de naissance, adresse parfois, numéro du document. Conserver l’ensemble de ces informations alors que seule votre identité devait être vérifiée dépasse ce qui est nécessaire. La Commission nationale de l’informatique et des libertés l’a jugé à plusieurs reprises : garder la copie d’un document d’identité au-delà du temps strictement utile constitue un manquement au principe de minimisation.
La seconde règle complète la première : les données doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Autrement dit, même lorsqu’un organisme avait le droit de prendre une copie, il n’a pas le droit de la garder indéfiniment. La durée de conservation doit être fixée à l’avance, portée à votre connaissance, puis respectée : à l’échéance, la copie doit être détruite ou anonymisée.
De ces deux principes découle une distinction pratique que tout lecteur doit garder en tête. Présenter sa pièce d’identité pour prouver qui l’on est, le temps d’un contrôle visuel, n’est pas un traitement de données durable : l’agent regarde, vérifie, rend le document. Photocopier, photographier ou numériser le document crée au contraire un fichier, une base, un traitement automatisé soumis à l’ensemble du règlement européen : information préalable, base légale, durée de conservation, sécurité, droits d’accès et d’effacement. C’est ce second geste qui doit être justifié, et c’est lui que vous pouvez contester.
La base légale de la copie varie selon les situations. Un traitement de données n’est licite que s’il repose sur l’un des fondements énumérés par le règlement : consentement, exécution d’un contrat, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public ou intérêt légitime poursuivi par le responsable du traitement. Aucune entreprise ne peut inventer un fondement : si elle photocopie votre carte d’identité pour ses dossiers, sans obligation légale et sans nécessité contractuelle démontrée, la copie est illicite dès sa collecte. Dans un arrêt rendu le 6 décembre 2023, le Conseil d’État a rappelé que la méconnaissance du principe de minimisation de l’article 5 du règlement expose le responsable du traitement aux sanctions prévues par la loi du 6 janvier 1978, dont l’amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, portée à 20 millions d’euros et 4 % pour les manquements les plus graves.
La sécurité de la copie constitue une obligation à part entière, trop souvent négligée. Le règlement européen exige du responsable du traitement qu’il évalue les risques inhérents au traitement et mette en œuvre des mesures pour les atténuer, telles que le chiffrement, afin d’assurer un niveau de sécurité approprié, y compris la confidentialité, compte tenu de l’état des connaissances et des coûts de mise en œuvre par rapport aux risques et à la nature des données à caractère personnel à protéger. Les risques visés incluent expressément la destruction, la perte, la divulgation non autorisée et l’accès non autorisé aux données, susceptibles d’entraîner un préjudice matériel ou moral. Une copie de carte d’identité envoyée par messagerie non chiffrée, stockée dans une boîte partagée sans contrôle d’accès ou conservée sur le téléphone personnel d’un agent commercial ne satisfait manifestement pas cette exigence. Si vous constatez de telles pratiques, mentionnez-les dans votre plainte : l’absence de mesures de sécurité élémentaires constitue un manquement autonome, qui s’ajoute à la collecte excessive et alourdit la sanction encourue.
Concrètement, cela signifie que vous pouvez toujours poser trois questions à l’organisme qui vous réclame une photocopie : sur quel texte ou quel contrat vous fondez-vous pour la conserver, et pas seulement pour la regarder ; pendant combien de temps exactement la garderez-vous ; et à quelle adresse puis-je demander sa destruction. Un organisme qui ne sait répondre à aucune de ces trois questions se place, le plus souvent, dans l’illégalité.
B. Les situations où la copie est obligatoire, et celles où elle est abusive
La banque est le cas le plus net de copie obligatoire. Avant d’entrer en relation d’affaires, les établissements bancaires et financiers doivent identifier leur client puis vérifier ces éléments d’identification sur présentation de tout document écrit à caractère probant. La Commission l’explique en termes directs : les établissements bancaires sont tenus de vérifier l’identité de leurs clients dans le cadre de la lutte contre le blanchiment d’argent et de conserver une copie des documents relatifs à cette identité pendant cinq ans à compter de la clôture des comptes ou de la cessation de leurs relations. Ce délai de cinq ans figure aussi dans le code monétaire et financier, qui impose aux organismes assujettis de conserver pendant cinq ans à compter de la clôture de leurs comptes ou de la cessation de leurs relations les documents et informations relatifs à leurs relations d’affaires. Vous ne pouvez donc pas refuser la copie à votre banque, mais vous pouvez exiger qu’elle soit limitée à ce qu’exige la réglementation, conservée en sécurité, et détruite à l’issue du délai légal. Passé ce délai, toute conservation devient fautive et ouvre droit à l’effacement.
La location d’un logement obéit à une logique inverse, très protectrice du candidat. Le décret du 5 novembre 2015 fixe limitativement les pièces qu’un bailleur peut exiger : la liste des pièces justificatives pouvant être exigées par le bailleur de chacun des candidats à la location figure en annexe 1, et pour l’identité cette annexe n’autorise qu’une pièce justificative d’identité en cours de validité, comportant la photographie du titulaire, choisie dans une liste fermée : carte nationale d’identité française ou étrangère, passeport français ou étranger, permis de conduire français ou étranger, ou document justifiant du droit au séjour. Le bailleur ne peut donc exiger ni deux pièces d’identité différentes, ni un extrait de casier judiciaire, ni une carte Vitale, ni un relevé de compte : tout document hors liste est interdit. Surtout, une fois le dossier refusé, la finalité de la collecte disparaît et la copie doit être effacée en application du droit à l’effacement : il n’existe aucune base légale permettant à une agence de constituer un fichier de candidats éconduits avec leurs pièces d’identité. Si votre dossier a été refusé et que l’agence conserve votre carte d’identité, écrivez immédiatement pour en exiger la destruction, car chaque jour de conservation injustifiée aggrave le manquement.
Du côté de l’employeur, la copie de la pièce d’identité n’est justifiée qu’au stade de l’embauche et pour des finalités précises : vérifier l’identité du salarié et, pour les travailleurs étrangers, la régularité du séjour et l’autorisation de travail. Une fois ces vérifications effectuées, la conservation de la copie dans le dossier du personnel pendant toute la durée du contrat, puis pendant des années après le départ, doit être justifiée par une obligation ou une nécessité réelle, et non par une simple habitude. La Commission a déjà sanctionné des sociétés qui conservaient des données de salariés bien au-delà du nécessaire : le 19 novembre 2024, le Conseil d’État a examiné le recours d’une société de fret condamnée à 200 000 euros d’amende après avoir imposé à ses salariés un formulaire de mobilité rédigé en chinois collectant des données excessives, et il a validé l’analyse de la Commission sur la disproportion de la collecte. L’enseignement vaut pour la pièce d’identité : collecter plus que le nécessaire, ou conserver plus longtemps que le nécessaire, expose à la sanction.
Les hôtels, campings et résidences de tourisme se trouvent dans une situation intermédiaire. L’exploitant doit remplir une fiche individuelle de police pour chaque client étranger et la conserver six mois, ce qui justifie de relever l’identité, mais cette obligation ne l’autorise pas à photocopier systématiquement les passeports de tous les clients, français compris, ni à conserver ces copies au-delà du délai légal. Un hôtel qui photocopie la carte d’identité de chaque client français pour ses archives pratique une collecte excessive, que vous pouvez refuser en proposant de présenter le document pour simple vérification visuelle.
Dans les établissements de santé, la copie de la pièce d’identité répond à un impératif de sécurité des soins : éviter les erreurs d’identification des patients. La fiche pratique nationale encadre strictement cette conservation, prise après un avis favorable de la Commission du 5 novembre 2020, et limite l’accès à la copie aux seuls professionnels qui en ont besoin, avec information de l’usager. Le patient peut donc difficilement refuser la prise de copie lors de son admission, mais il peut exiger que sa diffusion reste cantonnée à l’équipe de soins et que la copie soit détruite à l’issue du délai fixé par l’établissement, qui ne saurait être indéfini.
Restent les cas franchement abusifs, les plus nombreux au quotidien : le magasin qui photocopie votre carte d’identité pour un simple retour d’article, la salle de sport qui la conserve en garantie, le prestataire qui exige une copie par messagerie non sécurisée avant tout contrat, le site internet qui conditionne l’accès à un service anodin à l’envoi d’un passeport. Aucune obligation légale ne fonde ces collectes, aucun contrat ne les rend nécessaires : elles reposent sur la seule volonté de l’organisme, qui ne constitue jamais une base légale. Vous pouvez les refuser et proposer une alternative proportionnée : présentation visuelle du document, communication du seul numéro nécessaire, ou vérification par un autre moyen. Lorsque l’envoi de la copie par courriel ou par messagerie est inévitable, protégez le document : transmettez-le par un canal sécurisé, mentionnez dans votre message que la copie est adressée pour la seule finalité convenue et demandez sa suppression une fois la vérification effectuée. Si l’organisme publie ensuite votre pièce d’identité par négligence, cette mention prouvera que vous aviez limité l’usage autorisé et que la diffusion excède le cadre accepté.
Si l’organisme maintient son exigence et vous refuse le service, conservez la preuve de ce refus conditionné : elle démontrera le caractère contraint de la collecte dans une plainte ultérieure.
II. Refuser la copie, la faire détruire, saisir la Commission et obtenir réparation
A. Refuser proprement, puis exiger l’effacement de la copie
Le premier réflexe, le plus simple et le plus efficace, consiste à refuser la copie tout en proposant la présentation du document. Sur place, indiquez clairement que vous présentez votre pièce d’identité pour vérification, mais que vous vous opposez à sa photocopie et à sa conservation, au motif que cette copie n’est prévue par aucun texte et n’est pas nécessaire au service demandé. Cette position écrite ou attestée fait deux choses : elle établit que vous n’avez pas consenti à la collecte, ce qui privera l’organisme de l’argument du consentement, et elle propose une mesure moins intrusive qui satisfait son besoin réel de vérification. Notez le nom de l’interlocuteur, la date, et conservez tout document où l’exigence de copie figure : formulaire, conditions générales, courriel, capture d’écran du site. Ces pièces feront la force de votre dossier.
Si la copie a déjà été prise, le droit à l’effacement vous permet d’en exiger la destruction dès lors que sa conservation n’est plus nécessaire. Le règlement prévoit que les données doivent être effacées notamment lorsque les données à caractère personnel ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière. Adressez au responsable du traitement une demande écrite, de préférence par courriel avec accusé de réception. Ne joignez une copie de votre pièce d’identité que si votre identité ne peut pas être vérifiée autrement, par exemple lorsque vous écrivez depuis une adresse différente de celle connue de l’organisme : la Commission rappelle qu’il ne peut pas exiger systématiquement une pièce d’identité à l’appui d’une demande de droit. Si vous la joignez, précisez qu’elle ne doit servir qu’à instruire votre demande et doit être détruite ensuite, sans quoi vous alimenteriez le problème que vous dénoncez. Demandez la confirmation écrite de la destruction, avec la date et le périmètre : fichier clients, sauvegardes, messageries, prestataires. Si l’organisme est une banque, rappelez dans votre courrier le délai légal de conservation de cinq ans après la clôture du compte : passé ce délai, la conservation de la copie n’a plus de base légale, comme l’impose le code monétaire et financier qui exige de conserver pendant cinq ans à compter de la clôture de leurs comptes ou de la cessation de leurs relations les documents et informations relatifs à leurs relations d’affaires.
Pour adresser utilement votre demande, identifiez le bon destinataire. Le règlement impose au responsable du traitement de vous communiquer le cas échéant, les coordonnées du délégué à la protection des données : cette information figure dans la politique de confidentialité de l’organisme ou s’obtient sur simple demande auprès de son accueil. Écrire directement au délégué accélère le traitement, car il est l’interlocuteur désigné de la Commission. Parallèlement, exercez votre droit d’accès : toute personne concernée a le droit d’accéder aux données collectées à son sujet et de les vérifier, ce qui inclut de connaître les finalités du traitement, si possible sa durée, et l’identité des destinataires des données. Demandez donc, dans le même courrier, la copie de l’ensemble des données détenues sur vous et la liste des destinataires auxquels votre pièce d’identité a été transmise : sous-traitants, partenaires, autres agences du réseau. Ces réponses dessinent la cartographie exacte de la diffusion de votre document et fondent, le cas échéant, l’extension de votre demande d’effacement à chaque destinataire.
L’organisme dispose d’un mois pour répondre. S’il refuse, s’il ne répond pas, ou s’il répond de manière évasive, vous pouvez saisir la Commission nationale de l’informatique et des libertés par une plainte en ligne. Joignez à votre plainte la chronologie des faits, votre demande d’effacement et la réponse reçue, ainsi que tout élément prouvant la conservation abusive : ancien courriel contenant votre pièce jointe, espace client affichant votre document, réponse écrite de l’organisme revendiquant la conservation. La Commission peut alors contrôler l’organisme, le mettre en demeure de se conformer, puis sanctionner. Vous disposez également du droit d’accéder à l’ensemble des données détenues sur vous, copie de pièce d’identité comprise, pour vérifier ce qui est réellement conservé : si l’organisme affirme avoir détruit la copie mais que votre espace client l’affiche encore, la contradiction caractérise un manquement supplémentaire au droit d’accès et à l’obligation d’information.
Lorsque la copie de votre pièce d’identité a circulé ou servi à une usurpation, doublez la démarche : portez plainte pour usurpation d’identité et faites opposition auprès des organismes concernés, mais conservez la plainte CNIL pour la conservation abusive initiale, car les deux procédures sont indépendantes et se renforcent mutuellement. Pensez aussi à vérifier si le même organisme conserve d’autres copies de vos documents : relevés bancaires, avis d’imposition, justificatifs de domicile exigés lors du même dossier. Une demande d’effacement bien rédigée vise l’ensemble des documents devenus inutiles, pas seulement la carte d’identité, et évite d’avoir à recommencer la procédure document par document.
B. Sanctions de la Commission, condamnation du juge et indemnisation
La Commission sanctionne régulièrement la conservation excessive de documents d’identité, et sa doctrine écrite donne aux victimes des paragraphes prêts à produire dans leur plainte. Dans son guide du recrutement, la Commission rappelle que l’organisme n’a pas à demander systématiquement la fourniture d’une pièce d’identité à une personne qui exerce l’un de ces droits : ce n’est que lorsqu’il existe un doute raisonnable sur l’identité de la personne concernée qu’il peut demander de joindre un document permettant de prouver son identité, et il ne peut en aucun cas exiger des pièces abusives, non pertinentes et disproportionnées. Le même guide encadre les candidats non retenus : les données relatives aux candidats sont conservées en base active jusqu’à la prise de décision relative à l’embauche, et toute conservation au-delà, par exemple pour alimenter un vivier, constitue un nouveau traitement pour lequel la CNIL recommande que le recruteur demande le consentement du candidat à la conservation de son dossier de candidature. Ce raisonnement s’applique à toutes les situations où la copie n’était utile qu’au moment de la vérification : dossier de location refusé, candidature écartée, demande traitée. Produisez ces paragraphes dans votre plainte : ils résument en quelques lignes la doctrine applicable.
Le juge administratif contrôle ces sanctions et confirme l’exigence de minimisation. Le 6 décembre 2023, le Conseil d’État a rejeté le recours d’une société de location de véhicules sanctionnée à 175 000 euros, notamment pour conservation excessive de données, et rappelé que la méconnaissance du principe de minimisation de l’article 5 du règlement justifie la sanction. La formation restreinte dispose d’une gamme graduée : rappel à l’ordre, injonction de mise en conformité sous astreinte pouvant atteindre 100 000 euros par jour de retard, et amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, portée à 20 millions d’euros et 4 % pour les violations des principes de base et des droits des personnes. Pour une victime, ces montants importent moins que l’injonction : c’est elle qui ordonne à l’organisme de détruire les copies et de revoir ses procédures, avec un contrôle de l’exécution.
La procédure suivie devant la Commission mérite d’être connue, car elle produit des actes que vous pourrez exploiter devant le juge. Lorsque le manquement est susceptible d’être corrigé, le président de la Commission peut prononcer une mise en demeure dans un délai qu’il fixe, et le président peut demander qu’il soit justifié de la mise en conformité dans un délai qu’il fixe, ce délai pouvant être fixé à vingt-quatre heures en cas d’urgence. La mise en demeure peut être rendue publique, et sa clôture fait alors l’objet de la même publicité. Si l’organisme ne se conforme pas, la formation restreinte est saisie et prononce les mesures décrites plus haut. Conservez chaque étape de cette procédure : mise en demeure publique, décision de sanction, injonction. Produites devant le tribunal judiciaire, elles établissent le manquement sans que vous ayez à le démontrer à nouveau, et elles pèsent dans l’évaluation du préjudice, car elles prouvent que l’organisme a persisté malgré l’avertissement de l’autorité.
L’indemnisation de la victime relève du juge judiciaire, sur le fondement de l’article 82 du règlement, dont le considérant 146 précise que le responsable du traitement ou le sous-traitant devrait réparer tout dommage qu’une personne peut subir du fait d’un traitement effectué en violation du présent règlement, et les personnes concernées devraient recevoir une réparation complète et effective pour le dommage subi. La Cour de cassation a précisé le régime de cette réparation dans un arrêt de sa chambre sociale du 24 juin 2026 : le droit à réparation s’oppose à toute règle nationale subordonnant l’indemnisation du dommage moral à un seuil de gravité, et la réparation pécuniaire doit compenser intégralement le préjudice concrètement subi, sans fonction punitive. Concrètement, vous n’avez pas à démontrer un préjudice grave ou exceptionnel : l’angoisse durable de voir circuler la copie de votre carte d’identité, les démarches entreprises pour faire cesser la conservation, le temps perdu à surveiller vos comptes après une fuite, ou le refus d’un service opposé parce que vous aviez refusé la copie, constituent des préjudices moraux indemnisables dès lors qu’ils sont établis par vos pièces.
L’évaluation judiciaire dépend des circonstances : durée de la conservation illicite, sensibilité des données copiées, diffusion à des tiers, survenance effective d’une usurpation, attitude de l’organisme après votre demande. Un organisme qui détruit la copie dès votre premier courrier sera traité différemment de celui qui la conserve pendant des années malgré vos relances et une plainte à la Commission. C’est pourquoi la constitution du dossier en amont conditionne l’indemnisation : conservez chaque échange, chaque preuve de conservation, chaque conséquence concrète. Les lecteurs qui souhaitent vérifier l’étendue des données détenues sur eux avant d’agir trouveront la méthode détaillée dans notre article sur le droit d’accès resté sans réponse, et ceux dont les documents sont conservés après la fin d’une relation contractuelle pourront utilement lire notre article sur l’effacement des données après fermeture de compte.
N’attendez pas qu’une usurpation survienne pour agir : la conservation illicite suffit à caractériser le manquement et à fonder vos demandes. Refusez la copie quand aucun texte ne l’impose, exigez par écrit la destruction de celles déjà prises, saisissez la Commission en cas de refus, et demandez au juge la réparation de votre préjudice. Chaque étape est documentée par les textes et les décisions cités dans cet article, que vous pouvez joindre à vos courriers : le droit de la protection des données n’est pas un vœu pieux, c’est une procédure dont les victimes obtiennent chaque année l’application.
Conservez les références officielles citées dans cet article et joignez-les à votre demande d’effacement ou à votre plainte : elles montrent à l’organisme, puis à la Commission et au juge, que votre démarche repose sur des textes précis et sur des sanctions déjà prononcées pour des faits comparables.