Votre banque exige une photocopie de votre carte d’identité pour ouvrir un compte, l’agence immobilière la réclame avant même la première visite, votre nouvel employeur la conserve dans votre dossier du personnel et un commerçant la photographie pour une simple demande d’exercice de vos droits. Face à ces demandes répétées, une question revient sans cesse : pouvez-vous refuser, et que devient la copie une fois le contrôle effectué ? La réponse du droit français et européen est nuancée : certaines copies sont imposées par la loi, notamment pour la lutte contre le blanchiment d’argent, tandis que d’autres sont disproportionnées et doivent être détruites. Depuis le début de l’année 2026, la Commission nationale de l’informatique et des libertés a encore durci sa position sur la conservation excessive des données, avec une sanction de 42 millions d’euros prononcée contre deux opérateurs téléphoniques le 8 janvier 2026. Cet article expose les règles applicables à chaque situation, la procédure précise pour exiger la destruction d’une copie indûment conservée et les voies de sanction et de réparation ouvertes en cas de refus.
I. Vérifier l’identité n’autorise pas à conserver indéfiniment la copie de votre pièce d’identité
A. La banque, le bailleur et l’employeur peuvent exiger votre pièce d’identité dans des cas strictement définis
La première distinction à opérer concerne le fondement de la demande. Le règlement européen sur la protection des données subordonne tout traitement à l’une des conditions limitativement énumérées à son article 6, parmi lesquelles le consentement de la personne, la nécessité contractuelle et le respect d’une obligation légale. Chaque demande de copie de votre carte d’identité doit donc être rattachée à l’un de ces fondements, faute de quoi elle est illicite.
Pour les établissements bancaires, l’obligation est légale. La Commission nationale de l’informatique et des libertés confirme que les établissements bancaires doivent vérifier l’identité de leurs clients au titre de la lutte contre le blanchiment d’argent et garder une copie des documents d’identité pendant cinq ans après la clôture des comptes ou la fin de la relation (CNIL, Ma banque peut-elle faire une copie de ma pièce d’identité). Vous devez dans ce cadre présenter un document officiel en cours de validité portant votre photographie. Ce délai de cinq ans découle directement du code monétaire et financier, selon lequel « les personnes mentionnées à l’article L. 561-2 conservent pendant cinq ans à compter de la clôture de leurs comptes ou de la cessation de leurs relations avec eux les documents et informations, quel qu’en soit le support, relatifs à leurs relations d’affaires ou clients occasionnels, ainsi qu’aux mesures de vigilance mises en œuvre » (article L. 561-12 du code monétaire et financier). Devant votre banque, le refus de présenter votre pièce d’identité entraîne donc légalement le refus d’ouverture du compte ou de la relation d’affaires : la vérification d’identité participe des mesures de vigilance obligatoires.
En matière de location, la pièce d’identité figure parmi les justificatifs qu’un bailleur ou une agence peut demander au candidat locataire, mais à un stade précis de la procédure. Dans sa page actualisée le 10 octobre 2025, la Commission rappelle qu’au stade de la recherche, seules les données liées à la démarche de recherche sont utiles, et qu’il n’est pas pertinent pour une agence ou un particulier de collecter à ce stade des données relatives à la situation professionnelle ou financière des candidats (CNIL, Location d’un bien immobilier : quels justificatifs). Concrètement, l’agence qui exige votre carte d’identité, vos bulletins de salaire et vos relevés bancaires dès le premier courriel de contact, avant toute visite, collecte des données disproportionnées. La copie de la pièce d’identité ne devient légitime qu’au stade de la constitution du dossier de candidature, et jamais accompagnée de pièces relatives à votre vie privée, votre santé ou votre carte Vitale, qui demeurent interdites dans ce cadre.
À l’embauche, votre employeur peut vérifier votre identité et votre autorisation à travailler en France au moyen d’un document en cours de validité que vous lui présentez. En revanche, la conservation systématique d’une photocopie dans votre dossier individuel pendant toute la durée du contrat, puis au-delà, doit répondre à une finalité précise et à une durée limitée. Une copie conservée « au cas où », sans finalité définie, méconnaît déjà le principe de limitation des finalités. Le même raisonnement vaut pour les commerçants, les associations ou les plateformes en ligne qui photographient votre pièce d’identité pour un simple programme de fidélité, une inscription à un événement ou une vérification d’âge ponctuelle : une fois le contrôle visuel effectué, aucune copie ne devrait subsister.
Enfin, un cas particulier mérite d’être signalé : celui où c’est vous qui exercez vos droits sur vos données personnelles. Lorsque vous demandez l’accès, la rectification ou l’effacement de vos données, l’organisme ne peut pas exiger systématiquement une copie de votre carte d’identité. La Commission répond par la négative : « En principe, non ! » Il suffit de justifier de votre identité, par exemple en communiquant votre numéro de client ou en passant par votre compte en ligne authentifié (CNIL, Exercice de mes droits : dois-je fournir une copie de ma carte d’identité). Seule exception admise : lorsque le responsable du fichier nourrit un doute raisonnable sur votre identité, auquel cas des informations complémentaires prouvant qui vous êtes peuvent être demandées. Le commerçant qui subordonne systématiquement toute demande d’effacement à l’envoi d’une photocopie recto verso de votre titre d’identité inverse donc la règle : c’est à lui de justifier son doute, non à vous de prouver votre identité par une copie.
B. La copie systématique et la conservation illimitée violent le principe de minimisation des données
Même lorsqu’une copie est initialement légitime, sa conservation obéit à deux principes cardinaux du règlement européen. D’abord, les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». Ensuite, elles doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Ces deux principes de l’article 5 du règlement européen ont été rappelés par le Conseil d’État (Conseil d’État, 10e-9e chambres réunies, 6 décembre 2023, n° 467368). Ces deux phrases commandent l’ensemble du contentieux des copies de pièces d’identité : une copie adéquate le jour de la vérification devient illicite le jour où sa conservation n’est plus nécessaire.
Le Conseil d’État a validé cette lecture stricte dans un arrêt du 6 décembre 2023 rendu contre la société Ubeeqo International. La formation restreinte de la Commission lui avait infligé une amende de 175 000 euros par la délibération n° SAN-2022-015 du 7 juillet 2022, notamment pour méconnaissance des principes de minimisation et de limitation de la conservation. Le Conseil d’État a jugé que la Commission avait pu légalement traiter ces manquements, au visa des principes de minimisation des données et de limitation de la conservation, avant de conclure : « Article 1er : La requête de la société Ubeeqo International est rejetée. » (Conseil d’État, 10e-9e chambres réunies, 6 décembre 2023, n° 467368). L’enseignement dépasse le cas de la géolocalisation jugé en l’espèce : toute conservation de données d’identification au-delà du strict nécessaire expose à une sanction, même lorsque la collecte initiale était justifiée.
L’actualité de 2026 confirme cette sévérité. Par deux délibérations du 8 janvier 2026, la formation restreinte a prononcé une amende de 27 millions d’euros contre Free Mobile et une amende de 15 millions d’euros contre Free (CNIL, Violation de données : sanction de 42 millions d’euros à l’encontre de Free Mobile et Free). Pour Free Mobile, la Commission a relevé un manquement à l’obligation de conserver les données pendant une durée limitée : la Commission a constaté qu’au jour du contrôle, la société n’avait pris aucune mesure pour trier les données de ses anciens abonnés, afin de ne garder que celles nécessaires à des fins comptables avant de supprimer les autres (même décision). Le texte intégral de la sanction est consultable sur le site officiel (délibération SAN-2026-001 du 8 janvier 2026). Si un opérateur qui conserve des millions de dossiers clients est sanctionné pour l’absence de tri de ses archives, le bailleur qui garde les dossiers de cent candidats éconduits, l’employeur qui archive les copies des salariés partis depuis dix ans ou le site marchand qui stocke les cartes d’identité de tous ses inscrits s’exposent au même grief, à proportion de leur échelle.
En pratique, trois indices révèlent une conservation illicite de votre pièce d’identité. Premièrement, l’absence de durée communiquée : si l’organisme est incapable de vous dire combien de temps il garde la copie et sur quel fondement, la conservation est présumée excessive. Deuxièmement, la finalité éteinte : bail signé avec un autre candidat, compte clôturé, contrat de travail rompu, contrôle d’âge terminé. Troisièmement, la sécurité défaillante : une copie conservée dans une boîte mail partagée, un dossier bureautique non chiffré ou un coffre-fort numérique sans contrôle d’accès constitue, en cas de fuite, un manquement distinct à la sécurité des données. Ces copies sont en effet des cibles de choix pour l’usurpation d’identité : nom, prénoms, date et lieu de naissance, adresse, photographie et numéro du titre y figurent ensemble, soit l’ensemble des informations nécessaires pour ouvrir un crédit ou un compte à votre nom.
II. Exiger la destruction de la copie, saisir la CNIL et obtenir réparation
A. La demande d’effacement, le délai d’un mois et la plainte devant la CNIL
Lorsque la conservation de votre pièce d’identité n’est plus justifiée, vous disposez d’un droit à l’effacement directement applicable. Le règlement européen reconnaît à toute personne le droit d’obtenir dans les meilleurs délais l’effacement des données la concernant, et impose au responsable du traitement une obligation symétrique d’effacer dès que l’un des motifs prévus est réuni. Deux de ces motifs visent précisément votre situation : les données ne sont plus nécessaires au regard des finalités de leur collecte, ou elles ont fait l’objet d’un traitement illicite. La copie de votre carte d’identité conservée après la fin de la relation contractuelle, ou collectée sans fondement dès l’origine, entre dans l’une ou l’autre de ces hypothèses.
La loi française du 6 janvier 1978 reprend ce droit en des termes identiques : « Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016. » (article 51, I, de la loi n° 78-17 du 6 janvier 1978). Elle ajoute une voie de recours précise : « En cas de non-exécution de l’effacement des données à caractère personnel ou en cas d’absence de réponse du responsable du traitement dans un délai d’un mois à compter de la demande, la personne concernée peut saisir la Commission nationale de l’informatique et des libertés » (même article). Ce délai d’un mois est celui du droit européen, qui impose au responsable du traitement de répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande. Passé ce délai sans destruction ni réponse motivée, la saisine de la Commission devient recevable.
Avant l’effacement, vous pouvez aussi exercer votre droit d’accès pour savoir exactement ce que l’organisme détient sur vous. La loi française énonce que « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016. » (article 49 de la loi n° 78-17 du 6 janvier 1978). Demandez la copie des données conservées, les finalités poursuivies, les destinataires et la durée de conservation prévue. Cette demande d’accès remplit deux fonctions : elle vous permet de vérifier l’existence de la copie litigieuse et elle constitue une preuve écrite de votre démarche en cas de contentieux ultérieur. Parallèlement, lorsque la copie conservée comporte des mentions inexactes ou périmées, « Le droit de rectification s’exerce dans les conditions prévues à l’article 16 du règlement (UE) 2016/679 du 27 avril 2016. » (article 50 de la loi n° 78-17 du 6 janvier 1978). Rappelons que l’organisme ne peut exiger une nouvelle photocopie de votre pièce d’identité pour traiter cette demande, : des informations complémentaires ne peuvent être réclamées qu’en cas de doutes raisonnables sur l’identité du demandeur. Un tel doute se prouve par des éléments concrets, jamais par une exigence systématique.
Lorsque le traitement repose sur l’intérêt légitime de l’organisme plutôt que sur une obligation légale, un troisième droit s’ajoute : l’opposition. toute personne peut s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur l’intérêt légitime du responsable ou sur une mission d’intérêt public. Le responsable doit alors cesser le traitement, sauf à démontrer des motifs légitimes et impérieux qui prévalent sur vos intérêts. En revanche, l’opposition ne permet pas de faire échec à une conservation imposée par la loi : votre banque reste tenue de garder la copie pendant cinq ans après la clôture du compte, et votre demande d’effacement se heurtera à l’exception prévue lorsque le traitement demeure nécessaire au respect d’une obligation légale. Distinguer l’obligation légale de la simple habitude de l’organisme constitue donc l’enjeu central de votre demande.
Concrètement, adressez d’abord une demande écrite au responsable du traitement, par lettre recommandée avec accusé de réception ou par courriel avec preuve de dépôt, en identifiant précisément la copie visée, en invoquant l’effacement et en fixant le délai d’un mois. Conservez l’ensemble des échanges. En cas de refus, de réponse dilatoire ou de silence, saisissez la Commission en ligne : le règlement garantit à toute personne qui estime qu’un traitement viole ses droits le droit de saisir l’autorité de contrôle. Joignez à votre plainte la demande initiale, la preuve de sa réception, la réponse éventuelle et tout élément établissant la conservation excessive. Les entreprises qui externalisent leur informatique ou leur gestion documentaire doivent veiller à la rédaction de leurs engagements : le cabinet accompagne les sociétés sur la rédaction et la renégociation de leurs contrats commerciaux, notamment les clauses de traitement des données, de durée de conservation et de restitution des documents en fin de contrat.
B. Les sanctions administratives et pénales et la réparation de votre préjudice
La plainte devant la Commission peut aboutir à une mise en demeure, à une injonction de détruire les copies sous astreinte et à une amende administrative dont le montant maximal atteint 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Les sanctions prononcées en 2022 et 2026, rappelées plus haut, montrent que la conservation excessive constitue un manquement autonome, sanctionné même en l’absence de fuite de données. Pour votre dossier individuel, l’effet le plus tangible de la plainte reste l’injonction de détruire la copie et de justifier des mesures correctrices. La procédure devant la Commission ne vous indemnise pas : elle sanctionne l’organisme et fait cesser l’illicite. La loi autorise la formation restreinte à prononcer « 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard » (article 20, III, de la loi n° 78-17 du 6 janvier 1978).
La réparation de votre préjudice relève du juge judiciaire. Le règlement européen ouvre deux voies complémentaires. D’une part, toute personne qui estime que ses droits ont été violés par un traitement non conforme dispose d’un recours effectif devant le juge. Vous pouvez ainsi saisir le tribunal judiciaire pour ordonner la destruction de la copie sous astreinte, y compris en référé lorsque l’urgence ou le risque de diffusion le justifie. D’autre part, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut obtenir du responsable du traitement ou du sous-traitant la réparation de son préjudice. Le préjudice moral résultant de la détention prolongée de votre titre d’identité par un tiers, de l’angoisse liée au risque d’usurpation ou de la privation de vos droits est indemnisable, et le préjudice matériel couvre les frais engagés, les démarches de protection et, en cas d’usurpation avérée, les sommes détournées ou les crédits souscrits à votre nom.
La voie pénale s’ajoute lorsque la conservation dépasse les seuils légaux. Le code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de conserver des données à caractère personnel au-delà de la durée prévue par la loi ou le règlement » (article 226-20 du code pénal). Ce texte vise exactement la copie de votre carte d’identité gardée après l’expiration de la durée légale ou, en l’absence de durée légale, après l’épuisement de la finalité. Le dépôt de plainte, notamment après une fuite ou une utilisation frauduleuse de votre pièce d’identité, permet l’ouverture d’une enquête et la constatation judiciaire des manquements. La constitution de partie civile dans le cadre de cette procédure offre un second chemin vers l’indemnisation, parallèlement à l’action civile fondée sur l’article 82 du règlement européen.
Si la copie de votre pièce d’identité a été diffusée en ligne, l’effacement doit être complété par un déréférencement : le Conseil d’État a annulé une décision « refusant de mettre en demeure la société Google de déréférencer de son moteur de recherche » un article de presse identifié par les nom et prénom du demandeur (Conseil d’État, 10e-9e chambres réunies, 20 avril 2023, n° 463487). Pour mettre toutes les chances de votre côté, constituez dès aujourd’hui un dossier de preuves : capture des formulaires exigeant la copie, courriels de l’organisme, accusés de réception de vos demandes, réponses reçues, relevés montrant la durée de conservation et, le cas échéant, justificatifs du préjudice subi. Vérifiez également si la copie a circulé : demandez la liste des destinataires et des sous-traitants, car chaque communication non autorisée aggrave le manquement et étaye la demande de réparation. Enfin, surveillez les usages frauduleux de votre identité pendant plusieurs mois après la découverte de la conservation illicite, car une copie égarée dans la nature peut resservir longtemps après sa collecte initiale.
La copie de votre carte d’identité n’est donc ni un document anodin que chacun peut exiger et garder, ni un sésame que vous pouvez refuser en toute circonstance. Devant votre banque, la loi impose la vérification et la conservation pendant cinq ans après la clôture du compte. Devant un bailleur, la pièce d’identité n’est légitime qu’au stade du dossier de candidature, jamais dès la prise de contact. Devant tout autre interlocuteur, et notamment lorsque vous exercez vos propres droits, la copie systématique est en principe interdite et sa conservation doit rester limitée au strict nécessaire. Quand ces limites sont franchies, la demande d’effacement dans le délai d’un mois, la plainte devant la Commission et l’action en justice forment une chaîne de recours complète, dont les sanctions prononcées en 2026 démontrent l’efficacité. Face à une copie qui aurait dû être détruite, n’attendez pas la fuite de données pour agir.
Besoin d’un avis rapide sur votre dossier
Vous contestez la conservation de la copie de votre pièce d’identité ou vous voulez exiger sa destruction en matière de numérique et de données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, étudie votre dossier et vous indique la procédure adaptée : demande d’effacement, plainte devant la CNIL ou action en réparation. Consultation téléphonique : 80 EUR TTC. Téléphone : 06 46 60 58 22. Contact : formulaire de contact du cabinet.