« France Identité » attire plus de 90 000 recherches par mois en France : l’application qui permet de prouver son identité depuis son téléphone est entrée dans les usages, au même moment où la perte ou le vol d’une carte d’identité expose à l’une des fraudes les plus redoutées, l’usurpation d’identité. Le rapprochement n’a rien d’artificiel. Service-Public.fr décrit le justificatif d’identité à usage unique généré par France Identité comme un document qui prouve l’identité sans communiquer le visuel de la pièce et qui permet à l’usager de maîtriser le partage de ses données personnelles face à la fraude. Chaque photocopie de carte d’identité transmise à un bailleur, un employeur, un opérateur ou une plateforme devient une donnée qui circule, se stocke, parfois se revend ou se vole, et qui peut servir à souscrire un crédit, ouvrir une ligne ou créer un compte au nom d’autrui. Quand la carte est perdue ou volée, le risque devient immédiat : le document authentique, avec sa puce et ses mentions, se trouve entre des mains inconnues. Cet article décrit la méthode complète : sécuriser la situation en mairie et auprès des forces de l’ordre, faire constater pénalement l’usurpation, contester les engagements souscrits avec le document détourné, puis reprendre durablement la main sur ses données d’identité grâce au droit d’accès, au droit à l’effacement, à la réclamation devant la CNIL et à l’action en réparation.
I. Carte d’identité perdue ou volée : les réflexes qui bloquent l’usurpation
La carte nationale d’identité électronique concentre l’état civil complet de son titulaire, sa photographie et, dans sa puce, des données biométriques. Sa disparition n’est donc pas seulement un désagrément administratif : c’est une exposition. Deux chantiers s’ouvrent en parallèle, le renouvellement du titre et la traçabilité pénale de son usage détourné, et aucun des deux ne doit attendre l’autre.
A. Déclarer la perte et refaire la carte sans attendre
La première démarche consiste à faire constater la disparition du titre et à demander son remplacement. La fiche officielle de service-public.fr consacrée au renouvellement de la carte d’identité en cas de perte précise le point pratique que beaucoup ignorent : lorsque la demande de nouvelle carte est déposée immédiatement, il n’est pas nécessaire de s’adresser au préalable aux autorités de police, car la déclaration de perte est recueillie au guichet de la mairie au moment du dépôt du dossier. La demande peut être déposée dans n’importe quelle mairie équipée d’une station d’enregistrement, ce qui inclut à Paris les mairies d’arrondissement habilitées, et la plupart exigent un rendez-vous, que le moteur de recherche de l’ANTS permet de trouver. La prédemande en ligne n’est pas obligatoire mais fait gagner du temps au guichet.
Ce dépôt immédiat produit un effet juridique utile : il date officiellement la disparition du titre. À partir de cette date, tout engagement souscrit avec l’ancienne carte devient suspect par construction, et la victime dispose d’un point d’appui pour démontrer qu’elle n’est pas l’auteur des démarches accomplies en son nom. Conserver le récépissé de la demande et noter le numéro de la déclaration constitue donc la première pièce d’un dossier qui servira devant la banque, le juge civil et, le cas échéant, le juge pénal. En cas de vol caractérisé, notamment d’agression ou de cambriolage, le dépôt de plainte auprès du commissariat ou de la gendarmerie reste en outre indispensable, car il enregistre les circonstances du vol et nourrit l’enquête sur l’usage frauduleux ultérieur du document.
Parallèlement, la vigilance porte sur les signaux faibles : courriers d’organismes inconnus, refus de crédit inexpliqué, appels de recouvrement pour des dettes ignorées, inscription au fichier des incidents de remboursement des crédits aux particuliers. L’usurpateur agit vite, souvent dans les semaines qui suivent la disparition du document, parce qu’un titre authentique et récent passe les contrôles d’identité des organismes de crédit. Consulter régulièrement ses comptes, activer les alertes de sa banque et demander sans tarder à la Banque de France l’apposition d’une mention d’usurpation d’identité au fichier permettent de figer la situation avant que les incidents ne s’accumulent. Dans une affaire jugée à Paris, la victime avait ainsi appris l’existence d’un prêt contracté sous son identité, avait informé la Banque de France des agissements frauduleux intervenus en son nom et sollicité l’apposition d’une mention d’usurpation, avant d’obtenir en justice la radiation du fichier et des dommages et intérêts.
B. Faire constater l’usurpation : plainte pénale et crédits contestés
L’usage frauduleux d’une carte d’identité perdue ou volée relève d’abord du droit pénal. L’article 226-4-1 du code pénal dispose : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Le texte ajoute que l’infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne, ce qui couvre les souscriptions réalisées sur internet avec le document détourné. Le dépôt peut être effectué dans n’importe quel service : l’article 15-3 du code de procédure pénale dispose que « Les officiers et agents de police judiciaire sont tenus de recevoir les plaintes déposées par les victimes d’infractions à la loi pénale, y compris lorsque ces plaintes sont déposées dans un service ou une unité de police judiciaire territorialement incompétents. » Le dépôt de plainte pour usurpation d’identité n’est donc pas une formalité : il qualifie pénalement les faits, déclenche l’enquête sur l’auteur et fournit aux juridictions civiles la preuve de la fraude alléguée.
Sur le terrain civil, la contestation des crédits souscrits par l’usurpateur suit une logique constante dans les décisions rendues : celui qui n’a rien signé ne doit rien. Le tribunal de proximité de Pantin, par jugement du 21 février 2025 (RG 24/06581), a statué sur l’opposition formée par une femme poursuivie en paiement par un établissement de crédit pour plusieurs contrats souscrits avec sa carte d’identité par une personne de son entourage, qui utilisait un numéro de téléphone, une adresse électronique et une adresse postale différents des siens. Le juge a déclaré l’opposition recevable, jugé que la défenderesse n’était pas signataire des contrats et débouté l’établissement de ses demandes, en laissant l’ensemble des dépens à sa charge. La procédure suivie illustre aussi le réflexe utile face à une injonction de payer obtenue par l’établissement sur le fondement du contrat frauduleux : l’ordonnance avait été rendue le 28 mai 2024 et l’opposition formée en juin suivant a permis un débat contradictoire complet, au terme duquel le contrat a été écarté. La leçon probatoire est nette : la divergence entre les coordonnées utilisées pour souscrire et les coordonnées réelles de la victime, l’absence de sa signature et l’existence d’une plainte font échec à la demande en paiement.
La cour d’appel de Paris a confirmé la même sévérité à l’égard des prêteurs imprudents, par arrêt du 14 novembre 2024 (RG 23/06204, Pôle 4, chambre 9). Un particulier avait découvert un prêt contracté sous son identité auprès d’un organisme de crédit à la consommation au moyen d’une pièce d’identité falsifiée, dont la photographie correspondait à l’usurpateur qui s’était présenté. La cour a condamné l’établissement à accomplir les démarches de radiation de la victime du fichier des incidents de paiement dans le mois de la signification, sous astreinte provisoire de 100 euros par jour de retard pendant trois mois, et à lui verser 3 000 euros de dommages et intérêts ainsi que 1 500 euros au titre des frais irrépétibles. La faute retenue contre le prêteur tenait à la vérification défaillante de l’identité du cocontractant. Pour la victime d’une carte perdue ou volée, ces décisions dessinent la feuille de route : plainte pénale, contestation écrite de chaque contrat avec copie de la déclaration de perte, demande de radiation du fichage auprès de la Banque de France et de l’établissement, puis saisine du juge en cas de refus, avec demande de dommages et intérêts pour le préjudice moral et l’atteinte au crédit.
II. Reprendre la main sur ses données d’identité
Une fois l’urgence traitée, reste le problème de fond : les données d’identité de chacun circulent sous forme de photocopies stockées dans des centaines de bases, publiques et privées, plus ou moins sécurisées. La stratégie durable consiste à tarir cette diffusion à la source, en substituant aux photocopies des justificatifs maîtrisés, puis à exercer les droits que le droit européen attache à toute donnée personnelle.
A. France Identité : prouver sans photocopier
France Identité, adossé au traitement dénommé « Service de garantie de l’identité numérique », repose sur un cadre juridique précis. Le décret n° 2022-676 du 26 avril 2022 autorise la création de ce moyen d’identification électronique et abroge le précédent dispositif, qui reposait sur un enrôlement à distance avec reconnaissance faciale. La création et l’utilisation du dispositif relèvent de l’unique volonté des usagers : l’article 1er du décret autorise conjointement le ministre de l’intérieur et l’ANTS à mettre en œuvre le traitement, qui lit les données de la puce à l’exception de l’image numérisée des empreintes digitales, et l’application permet de générer des attestations comportant les seuls attributs d’identité dont l’usager estime la transmission nécessaire aux tiers de son choix. Le dossier thématique de la CNIL sur l’identité numérique confirme cette architecture : la carte nationale d’identité est biométrique depuis août 2021 et l’application France Identité, présentée à la Commission sous le nom de Service de garantie de l’identité numérique, est déployée ; la CNIL rappelle que la biométrie constitue un traitement sensible et préconise que tout moyen d’identification l’utilisant propose une alternative équivalente afin de garantir le consentement libre de l’usager.
L’usage le plus directement protecteur est le justificatif d’identité à usage unique, qui remplace la photocopie. Il s’agit d’un document PDF infalsifiable, signé électroniquement par le ministère de l’intérieur, qui prouve l’identité sans communiquer le visuel de la pièce et généré pour une démarche précise, avec un QR code de vérification en ligne. La génération exige la lecture sans contact de la carte puis la saisie du code personnel à six chiffres choisi lors de la création de l’identité numérique, ce qui garantit le consentement explicite de l’utilisateur. L’accès au dispositif suppose la nouvelle carte d’identité au format carte bancaire, la majorité et un téléphone compatible, soit Android 8 minimum avec NFC, soit iPhone sous iOS 16 minimum. Pour le titulaire d’une carte perdue puis renouvelée, l’intérêt est double : d’une part cesser d’alimenter la circulation de photocopies exploitables par des fraudeurs, d’autre part disposer d’un moyen de prouver son identité en ligne et hors ligne sans exposer l’intégralité du document. L’application permet également de gérer son identité numérique, y compris sa suppression, ce qui donne à chacun un interrupteur que la photocopie n’offrira jamais. L’application propose une rubrique pour gérer son identité numérique, y compris sa suppression, de sorte que l’adhésion au dispositif reste réversible à tout moment.
Le régime des données biométriques éclaire ces garanties. L’article 9, paragraphe 1, du règlement général sur la protection des données pose que « le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits », sauf dans les cas limitativement énumérés, au premier rang desquels le consentement explicite de la personne pour des finalités spécifiques. L’architecture de France Identité, qui exclut tout traitement biométrique nouveau et toute lecture des empreintes stockées dans la puce, s’inscrit exactement dans cette contrainte : l’identification repose sur le titre régalien déjà délivré, non sur la constitution d’une base biométrique parallèle. Toute application privée qui prétendrait vérifier l’identité au moyen de reconnaissance faciale ou de lecture d’empreintes sans base légale ni consentement explicite s’expose au manquement le plus lourdement sanctionné du règlement.
B. Accès, effacement, CNIL et réparation
Chaque organisme qui a reçu une photocopie de carte d’identité, chaque fichier qui mentionne l’usurpation et chaque plateforme qui conserve les données du compte frauduleux est un responsable de traitement soumis au règlement européen, et la victime dispose contre chacun d’eux des mêmes droits. L’article 15 du règlement reconnaît à toute personne « le droit d’obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu’elles le sont, l’accès auxdites données à caractère personnel » ainsi qu’aux informations sur les finalités, les catégories de données et les destinataires. Concrètement, la victime d’usurpation peut exiger de l’établissement de crédit la copie du dossier de souscription frauduleuse, de la Banque de France le relevé des inscriptions la concernant, et de tout organisme la liste des destinataires auxquels ses données ont été communiquées. L’article 12, paragraphe 3, du même règlement impose au responsable de traitement de répondre « dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande », prolongeable de deux mois en cas de complexité, moyennant information motivée de la personne.
Ces droits européens sont relayés en droit interne par la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, dans sa version en vigueur. Son article 48 dispose que « Le droit à l’information s’exerce dans les conditions prévues aux articles 12 à 14 du règlement (UE) 2016/679 du 27 avril 2016. », son article 49 que « Le droit d’accès de la personne concernée s’exerce dans les conditions prévues à l’article 15 du règlement (UE) 2016/679 du 27 avril 2016. », et son article 50 que « Le droit de rectification s’exerce dans les conditions prévues à l’article 16 du règlement (UE) 2016/679 du 27 avril 2016. » Son article 51 ajoute que « I.-Le droit à l’effacement s’exerce dans les conditions prévues à l’article 17 du règlement (UE) 2016/679 du 27 avril 2016. » La victime d’une usurpation dispose donc d’un double guichet textuel pour les mêmes demandes : le règlement directement applicable et la loi nationale qui y renvoie. En pratique, une demande de rectification adressée à l’établissement de crédit ou à la Banque de France vise à substituer aux données frauduleuses la mention exacte de la situation, tandis qu’une demande d’effacement vise les copies et conservations devenues sans objet, par exemple la photocopie de l’ancienne carte encore stockée par un bailleur ou un ancien employeur après la fin de la relation.
Lorsque les données sont inexactes, comme une inscription au fichier des incidents fondée sur un contrat frauduleux, ou devenues inutiles, comme une photocopie conservée après la fin de la relation contractuelle, l’article 17 du règlement ouvre le droit d’obtenir du responsable « l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant », notamment quand elles ne sont plus nécessaires au regard des finalités de leur collecte ou quand la personne retire son consentement. La demande s’adresse d’abord à l’organisme, par écrit avec preuve de dépôt, en joignant la déclaration de perte et, si elle existe, la plainte. En cas de refus ou d’absence de réponse dans le délai d’un mois, l’article 77 du règlement donne à toute personne « le droit d’introduire une réclamation auprès d’une autorité de contrôle », en France la CNIL, « si elle considère que le traitement de données à caractère personnel la concernant constitue une violation du présent règlement ». La réclamation décrit les faits, identifie l’organisme, joint les échanges et précise la mesure attendue, rectification, effacement ou limitation. Lorsque la réclamation à la CNIL reste sans réponse ou n’aboutit pas, le recours effectif passe par le juge, selon la méthode éprouvée des contentieux de l’accès et de l’effacement : mise en demeure préalable, puis saisine du tribunal judiciaire, comme l’illustre la démarche décrite dans l’analyse du cabinet sur la plainte CNIL sans réponse et les recours devant le juge.
La violation des données d’identité ouvre enfin droit à réparation, sur deux fondements complémentaires. L’article 82, paragraphe 1, du règlement énonce que « Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». Le préjudice moral de la victime d’usurpation, angoisse, démarches innombrables, crédit dégradé, temps perdu à contester, entre dans ce champ sans qu’un préjudice financier soit nécessaire. En droit interne, l’article 9 du code civil proclame que « Chacun a droit au respect de sa vie privée » et permet au juge de prescrire toutes mesures propres à faire cesser l’atteinte, y compris en référé en cas d’urgence, tandis que l’article 1240 du même code dispose que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer ». L’arrêt parisien précité, avec ses 3 000 euros de dommages et intérêts mis à la charge du prêteur négligent, montre que les juridictions chiffrent concrètement l’atteinte subie. Symétriquement, l’article 33 du règlement impose au responsable de traitement de notifier à l’autorité de contrôle toute violation de données « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance », de sorte que l’organisme qui a laissé fuiter la photocopie ou validé la souscription frauduleuse sans vérification sérieuse ne pourra pas soutenir qu’il ignorait tout.
À Paris et en Île-de-France, la densité des guichets ne doit pas faire différer les démarches : la demande de renouvellement se dépose dans toute mairie équipée d’une station d’enregistrement, la plupart sur rendez-vous via le moteur de l’ANTS, et la déclaration de perte est recueillie au guichet lors du dépôt. Les commissariats parisiens et les brigades de gendarmerie franciliennes reçoivent la plainte pour usurpation, dont le récépissé rejoint le dossier adressé aux organismes de crédit et, en cas de refus persistant, au tribunal judiciaire de Paris ou au juge de proximité compétent. La carte d’identité perdue ou volée n’est donc pas une fatalité administrative mais le point de départ d’une méthode ordonnée : déclaration et renouvellement immédiats en mairie pour dater la disparition du titre, plainte pénale sur le fondement de l’usurpation d’identité, contestation systématique des engagements souscrits avec le document détourné avec demande de radiation du fichage, puis bascule durable vers des justificatifs à usage unique qui tarissent la circulation des photocopies, et exercice résolu des droits d’accès, d’effacement et de réclamation, jusqu’à la réparation devant le juge. France Identité ne fait pas disparaître les fraudeurs, mais il retire à chacun le prétexte de la photocopie ; le droit européen fait le reste, en donnant à la victime les leviers pour effacer, faire rectifier et se faire indemniser. Face à un document détourné, la rapidité protège et la méthode paie, car chaque démarche datée devient une pièce du dossier qui, de la mairie au tribunal, raconte la même histoire : celle d’une identité volée par un autre, et reprise par son titulaire.