Une salle de sport exige la photocopie recto verso de votre carte d’identité pour valider l’inscription, un site de petites annonces refuse de publier votre annonce tant que vous n’avez pas téléversé votre passeport, un commerçant photographie votre permis de conduire pour alimenter son dossier et conserve le tout sans fixer de durée. La scène est banale, la question ne l’est pas : un professionnel peut-il imposer la copie de votre pièce d’identité, la garder des années et la réutiliser à d’autres fins ? La réponse tient en trois temps. D’abord, la copie systématique et la conservation indéfinie heurtent deux principes du règlement général sur la protection des données : la minimisation et la limitation de la conservation. Ensuite, la personne concernée dispose de droits concrets, accès, effacement, opposition, assortis d’un délai de réponse d’un mois maximum. Enfin, la Commission nationale de l’informatique et des libertés peut sanctionner, tandis que le juge peut ordonner l’effacement et indemniser, à condition de prouver un préjudice réel. Cet article décrit la méthode complète : refuser, faire effacer, saisir la CNIL, puis agir devant le juge.
I. Contester l’exigence de copie et imposer un contrôle proportionné
A. La photocopie systématique face au principe de minimisation
Le règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, soumet tout traitement de données personnelles à des principes de base énoncés à son article 5. Parmi eux figure la minimisation : les données « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ». Une photocopie intégrale de carte d’identité contient le nom, le prénom, la date et le lieu de naissance, l’adresse, la photographie, la signature, le numéro du titre, sa date de délivrance et parfois la filiation. Exiger l’ensemble de ces informations pour une finalité étroite, par exemple vérifier que l’abonné d’une salle de sport est majeur ou retrouver un client en cas d’impayé, dépasse ce qui est nécessaire lorsque la simple présentation visuelle du titre, sans copie ni photographie, suffit à atteindre le même but.
Le raisonnement vaut pour chaque situation concrète. Le professionnel doit d’abord identifier la finalité exacte : prévenir la fraude, vérifier l’âge, satisfaire une obligation légale, sécuriser un contrat. Il doit ensuite démontrer que la copie conservée est indispensable à cette finalité et qu’aucun moyen moins intrusif n’existe. La présentation du titre en main propre, la vérification de l’âge à l’accueil, la collecte du seul nom et de la date de naissance lorsque la loi l’impose, ou l’authentification par un compte client sécurisé constituent autant d’alternatives que le responsable de traitement doit examiner avant d’imposer la copie. Quand il ne le fait pas, il s’expose au constat d’un manquement au principe de minimisation, manquement que la CNIL retient régulièrement dans ses sanctions et que le Conseil d’État contrôle strictement.
L’exemple du contentieux Ubeeqo l’illustre. Par une délibération n° SAN-2022-015 du 7 juillet 2022, la formation restreinte de la CNIL avait prononcé une amende administrative de 175 000 euros contre cette société, notamment pour manquement au principe de minimisation et aux règles de conservation, et avait décidé de rendre sa délibération publique. Saisi d’un recours, le Conseil d’État, par une décision du 6 décembre 2023 (n° 467368), a rejeté la demande d’annulation. Le juge administratif a confirmé que la conservation de la totalité des données de géolocalisation des véhicules, relevées tous les 500 mètres, n’était pas nécessaire au regard des finalités poursuivies et caractérisait un manquement aux dispositions du c) du 1. de l’article 5 du RGPD. La leçon dépasse la géolocalisation : collecter et garder plus que le nécessaire, parce que c’est simple ou parce que l’organisme a toujours fait ainsi, constitue un manquement sanctionnable, quelle que soit la donnée, y compris la copie d’une pièce d’identité. La décision est consultable sur le site officiel Légifrance.
Il existe toutefois des cas où la loi impose la vérification d’identité et encadre la copie. Les établissements bancaires et les assureurs appliquent les obligations de vigilance en matière de lutte contre le blanchiment et le financement du terrorisme. Les employeurs doivent vérifier l’autorisation de travail des salariés étrangers. Certains registres, comme la fiche individuelle de police dans l’hôtellerie pour les clients étrangers, répondent à des textes précis. Dans ces hypothèses, le refus pur et simple de présenter un titre peut faire échec à la conclusion du contrat ou à l’exécution d’une obligation légale. La distinction est donc nette : quand un texte spécial impose l’identification et organise la conservation, le professionnel applique la loi ; quand il invente sa propre exigence « pour le dossier », il doit prouver la nécessité de la copie au regard de la finalité affichée. En pratique, le lecteur doit demander au professionnel d’indiquer par écrit le texte ou la finalité qui justifie la copie, la durée de conservation prévue et le destinataire des données. L’absence de réponse écrite et précise constitue déjà un indice sérieux de non-conformité. Dans certains secteurs, des textes spéciaux organisent la vérification d’identité et encadrent la conservation des justificatifs : la lutte contre le blanchiment et le financement du terrorisme pour les banques et les assureurs, le contrôle des autorisations de travail pour les employeurs, les registres de police pour l’hôtellerie. Quand un tel texte existe, le professionnel doit le citer avec sa référence exacte et appliquer strictement la durée qu’il prévoit, sans l’étendre à d’autres usages. Quand il n’en cite aucun, ou quand il invoque vaguement la sécurité, la fraude ou ses conditions générales, la copie reste soumise au test de nécessité décrit plus haut. Le lecteur doit donc systématiquement demander : quel texte, quelle finalité, quelle durée, quels destinataires. Une réponse qui élude l’une de ces questions fragilise la position du professionnel en cas de contrôle de la CNIL comme devant le juge.
Le même raisonnement protège la personne qui exerce ses droits. Interrogée sur le point de savoir si l’exercice des droits « Informatique et Libertés » impose de fournir une copie de sa carte d’identité, la CNIL répond par la négative : en principe, il suffit de justifier de son identité, comme l’explique sa page dédiée, par exemple en communiquant son numéro de client ou d’abonnement en plus de ses nom et adresse, ou en exerçant ses droits depuis un compte en ligne préalablement authentifié. L’exception ne joue qu’en cas de doute raisonnable du responsable du fichier sur votre identité, comme le précise la même page de la CNIL : il peut alors demander des informations complémentaires, et une copie de la pièce d’identité peut s’avérer nécessaire. Cette position éclaire le contrôle de proportionnalité dans les deux sens : de même qu’un organisme ne peut pas exiger systématiquement la copie du titre pour répondre à une demande d’accès, un commerçant ou un site ne peut pas exiger systématiquement cette copie pour vendre, inscrire ou publier.
B. Exiger l’information, une durée limitée et un usage strictement défini
Le second principe méconnu par les collectes abusives est la limitation de la conservation. Aux termes de l’article 5, paragraphe 1, e), du RGPD, les données doivent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». La CNIL l’exprime en termes directs sur sa page consacrée aux durées de conservation : les données personnelles ne peuvent pas être conservées indéfiniment, et c’est au responsable de traitement de déterminer une durée de conservation adaptée à chaque finalité. Toute copie de pièce d’identité conservée au cas où, sans durée affichée, ou gardée des années après la fin de la relation sans justification, contrevient à cette règle. Le cycle de vie de la donnée distingue la conservation en base active, limitée à la réalisation de l’objectif, puis l’archivage intermédiaire pour un contentieux éventuel ou une obligation légale, puis la suppression ou l’anonymisation. La copie du titre doit suivre ce cycle, pas y échapper.
Les ordres de grandeur fixés par la CNIL et la jurisprudence donnent des repères. La CNIL indique par exemple que les données d’un candidat non retenu à une embauche sont conservées deux ans maximum, sauf demande d’effacement anticipé. Dans l’affaire Ubeeqo déjà citée, la société conservait par principe les données des utilisateurs non professionnels pendant trois ans à compter de la fin de la relation commerciale ; le Conseil d’État a jugé que la formation restreinte avait pu légalement estimer cette durée excessive et retenir un manquement au e) du 1. de l’article 5. Si trois ans de géolocalisation ont été jugés excessifs pour un service de location de véhicules, la conservation pluriannuelle d’une photocopie de carte d’identité par une salle de sport, un site d’annonces ou un commerce de détail, après la fin de la relation, se défend difficilement. Le lecteur doit donc exiger une durée chiffrée, calée sur la finalité : le temps de la vérification, puis suppression ; ou la durée du contrat, puis suppression à bref délai, sauf obligation légale contraire que le professionnel doit citer.
L’information préalable conditionne tout le reste. Le règlement impose au responsable de traitement d’informer la personne de la finalité, de la base juridique, des destinataires, de la durée de conservation et des droits dont elle dispose. Concrètement, au moment où l’on vous demande la copie, exigez la notice d’information : qui est le responsable de traitement, sur quel fondement la copie est demandée, qui y aura accès, combien de temps elle sera gardée, comment exercer l’accès, l’effacement et l’opposition, et comment contacter le délégué à la protection des données. Un professionnel sérieux fournit ces éléments sans difficulté. Celui qui répond par l’embarras, qui renvoie à des conditions générales muettes sur la pièce d’identité, ou qui subordonne la vente ou l’inscription à une copie dont il ne justifie ni le fondement ni la durée, commet une faute de méthode que la CNIL et le juge sanctionnent. Conservez une trace de cet échange : capture d’écran du formulaire, photographie de l’affichette, copie du courriel. Ces pièces feront la différence au stade de la plainte et du recours.
La licéité du traitement, prévue à l’article 6 du RGPD, complète le tableau. Le texte européen n’autorise un traitement que s’il repose sur l’un des fondements qu’il énumère : consentement, exécution du contrat, obligation légale, sauvegarde d’intérêts vitaux, mission d’intérêt public, intérêt légitime poursuivi par le responsable. Le consentement arraché sous la contrainte, du type pas de copie pas d’inscription, ne remplit pas les conditions d’un consentement libre. L’exécution du contrat ne justifie la copie que si elle est objectivement nécessaire à la fourniture du service. Reste l’intérêt légitime, qui suppose un test en trois temps : finalité légitime, nécessité de la copie, balance avec les droits de la personne. Or la copie intégrale d’un titre officiel, document à fort potentiel d’usurpation d’identité, pèse lourd dans la balance. Le professionnel qui généralise la copie sans distinguer les situations échoue à ce test. Cet argument, simple et documenté, structure utilement la mise en demeure qui précède toute saisine.
II. Faire effacer la copie, saisir la CNIL et demander réparation au juge
A. Exercer ses droits puis déposer une plainte complète et précise
La première démarche consiste à exercer ses droits directement auprès de l’organisme. Le droit d’accès, prévu à l’article 15 du RGPD, permet d’obtenir la confirmation qu’une copie de votre pièce d’identité est conservée, d’en recevoir communication et de connaître la finalité, les destinataires et la durée de conservation envisagée. Le droit à l’effacement, prévu à l’article 17, permet d’exiger la suppression lorsque les données ne sont plus nécessaires au regard des finalités, lorsque vous retirez votre consentement, ou lorsque le traitement est illicite. Le droit d’opposition, prévu à l’article 21, permet de vous opposer à un traitement fondé sur l’intérêt légitime, notamment à des fins de prospection ou de constitution de fichier client. Ces droits s’exercent par écrit, auprès du responsable de traitement ou de son délégué à la protection des données, en justifiant de votre identité selon les modalités proportionnées rappelées plus haut. Détaillez précisément votre demande : suppression de la photocopie recto verso de la carte d’identité transmise le telle date, de toutes les copies et photographies dérivées, sur tous les supports, y compris les sauvegardes et les boîtes de messagerie, avec attestation écrite de suppression.
Le règlement encadre le délai de réponse. L’organisme doit répondre dans les meilleurs délais et sous un mois maximum, comme l’indique la CNIL, délai susceptible de prolongation dans les cas complexes, à condition d’en informer la personne. Passé ce délai sans réponse, ou en cas de refus non motivé, la voie de la plainte devant la CNIL s’ouvre. La CNIL instruit sur la base d’une plainte complète et précise : exposez les faits dans l’ordre chronologique, joignez la demande adressée à l’organisme et sa réponse ou la preuve de l’absence de réponse, les captures du formulaire imposant la copie, la notice d’information si elle existe, et tout échange ultérieur. Une plainte vague, sans pièce et sans démarche préalable, expose au classement. À l’inverse, un dossier daté, chiffré et complet permet à la CNIL d’orienter ses investigations et, si des manquements sont avérés, de prononcer des rappels à l’ordre, des mises en demeure ou des sanctions financières.
Deux limites doivent être comprises avant de saisir l’autorité. D’abord, comme le rappelle la CNIL, elle ne peut pas agir comme votre mandataire : elle n’exerce pas vos droits à votre place et ne traite pas les plaintes imprécises ou incomplètes. La démarche préalable auprès de l’organisme n’est donc pas une formalité, c’est la condition de recevabilité pratique de la plainte. Ensuite, la CNIL ne peut pas vous allouer de dommages et intérêts ni constater votre préjudice personnel : la sanction administrative punit le manquement, elle n’indemnise pas la victime. L’indemnisation relève du juge. Cette répartition commande la stratégie : la plainte CNIL vise la cessation du manquement et la sanction ; l’action judiciaire vise l’injonction de suppression sous astreinte et la réparation. Les deux voies se cumulent utilement, et une sanction publique de la CNIL, comme celle prononcée contre Ubeeqo et confirmée par le Conseil d’État, renforce considérablement la position de la victime devant le tribunal.
La méthode de conservation des preuves mérite une attention particulière. Dès le premier contact, constituez un dossier : photographie ou capture du dispositif imposant la copie, copie de la notice d’information ou constat de son absence, lettre recommandée ou courriel de demande d’effacement avec accusé de réception, réponse de l’organisme ou attestation du silence gardé, relevés montrant une utilisation ultérieure de vos données, signalement d’usurpation d’identité si elle survient. Si vous soupçonnez que la copie circule ou a servi à ouvrir un compte frauduleux, déposez plainte au pénal pour usurpation d’identité et conservez le récépissé : sans préjuger de l’issue pénale, ce document objective le risque né de la conservation abusive. Les lecteurs confrontés à une conservation prolongée après la fermeture d’un compte trouveront des développements voisins dans notre analyse consacrée à l’effacement des données après fermeture de compte et à la prospection qui persiste, qui détaille la même chaîne de droits et de recours.
B. Obtenir du juge la suppression et l’indemnisation du préjudice prouvé
Le juge judiciaire peut ordonner la suppression et indemniser. Le fondement de l’action en responsabilité civile se trouve à l’article 82, paragraphe 1, du RGPD : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le tribunal peut assortir l’injonction de suppression d’une astreinte, ordonner la justification des mesures prises et allouer des dommages et intérêts. La compétence suit les règles ordinaires : le tribunal judiciaire du domicile du défendeur ou du lieu du fait dommageable, avec la possibilité, dans les litiges de consommation, de saisir la juridiction du domicile du consommateur. L’assignation doit articuler précisément la violation, le manquement à la minimisation ou à la limitation de la conservation, le refus ou le silence opposé à la demande d’effacement, puis le préjudice qui en résulte.
Le point décisif, rappelé avec force par la Cour de cassation le 24 juin 2026, tient à la preuve du préjudice. Dans un arrêt de section publié au Bulletin, rendu en chambre sociale (pourvoi n° 24-22.792, ECLI:FR:CCASS:2026:SO00571), la Cour a cassé un arrêt d’appel qui avait alloué 5 000 euros de dommages et intérêts en retenant que le non-respect du RGPD avait « nécessairement » causé un préjudice au salarié, sans que celui-ci démontre ni l’existence ni l’étendue de son dommage. La Cour énonce que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » et qu’il appartient au juge d’apprécier si la victime établit que la violation constatée lui a causé un dommage matériel ou moral. L’arrêt, publié sur le site de la Cour de cassation, s’appuie sur deux décisions de la Cour de justice de l’Union européenne : l’arrêt du 4 mai 2023 (affaire C-300/21, Österreichische Post), dont il résulte notamment qu’aucune règle nationale ne peut subordonner la réparation du dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité, et l’arrêt du 25 janvier 2024 (affaire C-687/21), qui impose à la personne demandant réparation d’établir non seulement la violation, mais aussi le dommage qui en est résulté. Les affaires sont suivies devant la Cour de justice sous les numéros C-300/21 et C-687/21.
Le régime ainsi fixé se résume en quatre propositions. Premièrement, la violation du règlement ne crée aucun préjudice automatique : le demandeur doit décrire un dommage concret. Deuxièmement, aucun seuil de gravité ne peut être exigé pour le dommage moral : une atteinte réelle, même modeste, suffit si elle est établie. Troisièmement, la réparation remplit une fonction compensatoire et « doit permettre de compenser intégralement le préjudice concrètement subi », sans fonction punitive. Quatrièmement, le montant s’apprécie selon les règles internes de l’État membre, dans le respect de l’équivalence et de l’effectivité du droit de l’Union. Pour la victime d’une copie abusive de pièce d’identité, le préjudice indemnisable prend des formes identifiables : démarches répétées et temps perdu pour obtenir la suppression, inquiétude durable liée au risque d’usurpation d’identité après la diffusion d’un titre complet, inscription dans des fichiers commerciaux non sollicités, refus de service opposé pour avoir refusé la copie, et, en cas d’utilisation frauduleuse avérée, les conséquences financières et administratives directes. Chaque chef doit être documenté : échanges, attestations, constats, frais engagés, certificats médicaux en cas de retentissement avéré. Un dossier qui chiffre poste par poste obtient davantage qu’une demande globale non justifiée.
La mise en demeure qui précède l’action doit elle-même être construite comme une pièce de procédure : rappel chronologique des faits, identification du responsable de traitement, fondements invoqués, à savoir la minimisation et la limitation de la conservation, demande précise de suppression de la copie sur tous les supports avec attestation écrite, et délai de réponse calé sur le mois maximum applicable aux droits des personnes. Elle annonce à défaut la plainte devant la CNIL et l’action judiciaire en suppression sous astreinte et en réparation. Adressée en recommandé avec accusé de réception, ou par courriel avec preuve de dépôt et de contenu, elle fige le point de départ du silence ou du refus que le juge appréciera. Un professionnel qui régularise à ce stade évite la sanction et le procès ; celui qui persiste fournit au demandeur la preuve de sa résistance. L’architecture des sanctions renforce la négociation et l’assignation. Outre l’amende administrative, dont le règlement porte le plafond, pour les violations des principes de base et des droits des personnes, à 20 000 000 euros ou 4 % du chiffre d’affaires annuel mondial, la CNIL peut ordonner la mise en conformité sous astreinte et prononcer des injonctions. Le rappel de ces pouvoirs, dans la mise en demeure adressée au professionnel, produit souvent la suppression demandée sans procès. Quand le procès s’impose, la combinaison d’une plainte CNIL documentée, d’une demande d’effacement restée sans effet et d’un préjudice chiffré place le demandeur en position solide. À l’inverse, l’action engagée sans démarche préalable, sans pièce et sans chiffrage s’expose au rejet, conformément à l’exigence de preuve posée par la Cour de cassation. La rigueur du dossier fait ici autant que le droit applicable.
En conclusion, face à l’exigence d’une photocopie de carte d’identité, la méthode tient en quatre gestes. Demandez par écrit le fondement, la finalité et la durée de conservation, et refusez la copie quand un contrôle visuel suffit. Exercez vos droits d’accès, d’effacement et d’opposition par un courrier précis, avec délai d’un mois maximum. Déposez si nécessaire une plainte complète et précise devant la CNIL, qui peut contrôler et sanctionner mais n’indemnise pas. Saisissez enfin le juge pour obtenir la suppression sous astreinte et la réparation d’un préjudice que vous aurez soin de prouver et de chiffrer, sans attendre de la seule violation du règlement une indemnisation automatique.