Demander une copie de pièce d'identité : ce que dit le RGPD, et comment le faire proprement

Mi-septembre, dans une petite association. La secrétaire bénévole fait défiler sa boîte mail : trente-huit cartes d'identité en pièce jointe, recto et verso, celles des parents et parfois celles des enfants. Elles vont rester là des années, dans une messagerie dont le mot de passe sert aussi pour le site de l'association. Personne ne l'a voulu : la ligne « copie de la pièce d'identité » figurait sur le formulaire de l'an dernier.

Association, bailleur, employeur, indépendant : avant de demander une copie de pièce d'identité, deux questions se posent. En avez-vous vraiment besoin ? Et si oui, comment la recevoir, la protéger et vous en débarrasser à temps ? Voici ce qu'en disent la CNIL et Cybermalveillance.gouv.fr, source par source, avec un message à copier.

Pourquoi une copie de pièce d'identité est-elle si sensible ?

Parce qu'elle suffit souvent à se faire passer pour quelqu'un. Cybermalveillance.gouv.fr, le dispositif national d'assistance aux victimes de cybermalveillance, définit l'usurpation d'identité comme « l'utilisation de données personnelles et/ou professionnelles permettant d'identifier une personne sans son accord et se faire passer pour elle pour réaliser des actions frauduleuses » (fiche réflexe usurpation d'identité (nouvel onglet)). Parmi les usages cités : « ouverture de ligne téléphonique ou de compte bancaire, souscription d'un crédit, location de voiture ». Et les victimes « peuvent se voir poursuivies pour des infractions dont elles devront prouver qu'elles n'en seraient pas les auteurs ».

La CNIL décrit aussi le scénario inverse, celui du faux demandeur. L'escroc peut se faire passer pour un particulier, « par exemple un propriétaire dans le cadre d'une location immobilière : dans ce cas, l'usurpateur peut récupérer la copie de la carte d'identité ou d'autres informations personnelles de la victime » (CNIL, comment réagir face à une usurpation d'identité (nouvel onglet)).

Conséquence : chaque copie stockée est une cible. Et une demande mal cadrée ressemble à une arnaque : les gens prudents hésitent, et ils ont raison.

Le RGPD vous autorise-t-il à réclamer une copie ?

Le RGPD n'interdit pas la copie en soi. Il pose des principes, dont la minimisation : « Le principe de minimisation limite la collecte aux seules données strictement nécessaires à la réalisation de votre objectif » (CNIL, les six grands principes du RGPD (nouvel onglet)). La vraie question est donc : la copie est-elle nécessaire à ce que vous faites ?

Les réponses de la CNIL varient selon la situation :

• Un hôtel : « Un hôtelier peut-il faire une copie de ma pièce d'identité ? Non. » Il peut en revanche demander de la présenter, notamment pour la fiche de police des clients étrangers (CNIL (nouvel onglet)).
• Une banque : oui. Les banques sont tenues de vérifier l'identité de leurs clients « dans le cadre de la lutte contre le blanchiment d'argent » et d'en conserver une copie (CNIL (nouvel onglet)).
• Une location : la pièce d'identité fait partie de la liste fixée par décret, détaillée dans notre article sur les pièces justificatives d'un dossier de location. La CNIL ajoute qu'on ne devrait pas conditionner la visite d'un bien à la fourniture de justificatifs (CNIL (nouvel onglet)).
• Une demande d'accès à ses données : « Le principe : pas de pièce d'identité, sauf en cas de doute raisonnable » (CNIL (nouvel onglet)).

Retenez la logique : quand un texte impose la copie, vous la demandez. Sinon, avant de demander une copie de pièce d'identité, c'est à vous de justifier pourquoi un simple coup d'œil ne suffit pas.

Présenter la pièce ne suffit-il pas ?

Souvent, si. Dans son référentiel sur la gestion des fichiers clients, la CNIL écrit : « Si l'organisme doit s'assurer de l'identité d'une personne avant d'entrer en relation commerciale avec elle, la simple consultation d'un justificatif (pièce d'identité) peut suffire » (CNIL, référentiel gestion des activités commerciales, PDF (nouvel onglet)).

La copie n'est gardée que « lorsque la loi le prévoit ou si l'organisme justifie en avoir besoin pour se pré-constituer une preuve en cas de contentieux ». Même dans ce cas, le même texte demande des mesures de sécurité renforcées, comme « la limitation de la qualité de l'image numérisée », pour lutter notamment contre « l'utilisation des photographies à des fins de reconnaissance faciale ».

En pratique, la personne montre sa carte à la signature, à la permanence ou en visio, et vous notez dans votre tableau « identité vérifiée le 12 septembre par Claire ». La trace existe, la carte n'est stockée nulle part. Pour une adhésion, c'est souvent suffisant.

Que faut-il écrire dans le filigrane ?

Si la copie est justifiée, demandez-la marquée. Cybermalveillance.gouv.fr conseille à chacun : « Marquez les copies des documents d'identité que vous transmettez en inscrivant par-dessus le motif de l'envoi, la date et le destinataire pour éviter que vos documents ne soient réutilisés à des fins frauduleuses » (même fiche (nouvel onglet)). Côté organisme, la CNIL cite parmi les mesures de sécurité renforcées « l'intégration d'un filigrane comportant la date de collecte et l'identité de l'organisme » (référentiel CNIL, PDF (nouvel onglet)).

Donnez donc le texte exact à écrire, avec trois éléments :

1. Le destinataire : votre nom, ou celui de l'association ou de l'entreprise.
2. L'objet : précis, par exemple « inscription saison 2026-2027 » plutôt que « dossier ».
3. La date du jour de l'envoi.

Une copie marquée « Pour l'association Les Tilleuls, inscription saison 2026-2027, 15/09/2026 » est beaucoup plus difficile à réutiliser ailleurs.

Pour le faire, l'État propose FiligraneFacile (nouvel onglet), un service gratuit édité par la Direction générale de l'aménagement, du logement et de la nature. Il accepte les formats jpg, png, heic et pdf, et rend un PDF. Selon le site, « les fichiers originaux seront effacés de nos serveurs après la génération du fichier filigrané », et le fichier filigrané l'est après le premier téléchargement, ou au bout d'un jour. La CNIL le signale pour les dossiers de location : il « facilite l'ajout d'un filigrane numérique personnalisé pour protéger des documents sensibles avant de les transmettre » (CNIL (nouvel onglet)).

Le site prévient lui-même que « certains organismes peuvent avoir besoin d'un document vierge (banques, services publics, etc.) ». Si vous n'en faites pas partie, acceptez les copies filigranées, et dites-le.

Combien de temps garder la copie, et comment la supprimer ?

Le moins longtemps possible. Pour la CNIL, les données ne sont conservées en gestion courante « que le temps strictement nécessaire à la réalisation de l'objectif poursuivi » (six grands principes (nouvel onglet)). Pour la location, elle précise que les pièces « doivent être détruites dès lors qu'elles n'apparaissent plus utiles pour la décision d'attribution du logement » (CNIL (nouvel onglet)).

Fixez un événement plutôt qu'une durée vague (la licence validée, le bail signé), annoncez-le, puis tenez parole. Supprimer veut dire partout :

• la pièce jointe dans la boîte de réception, et dans la corbeille ;
• le message transféré au trésorier ou au collègue ;
• le fichier dans Téléchargements ;
• la photo reçue par messagerie, et la conversation qui la contient ;
• le papier, que le guide RGPD de la CNIL pour les associations (nouvel onglet) propose de « déchiqueter » ou de jeter dans un conteneur pour documents confidentiels.

Où ranger les copies en attendant ?

Pas dans la boîte mail, et jamais dans un groupe WhatsApp. Une pièce d'identité postée dans un groupe est visible de tous ses membres et reste dans leurs téléphones. Une boîte mail, elle, garde tout jusqu'à ce que quelqu'un fasse le ménage, et le ménage n'arrive jamais.

La CNIL demande de « garantir la sécurité des données », ce qui passe notamment par une « gestion stricte des habilitations et droits d'accès informatiques » (six grands principes (nouvel onglet)). Son guide pour les associations le dit plus simplement : les données doivent être consultées « par le moins de personnes possibles ».

Concrètement : un dossier dédié, ouvert aux seules personnes qui en ont besoin, un mot de passe qui ne sert nulle part ailleurs, et une date de ménage dans l'agenda.

Quel message envoyer pour demander la copie ?

Un message qui dit pourquoi, comment marquer la copie et quand elle sera supprimée. Il vous distingue d'un escroc :

Bonjour [Prénom],

Pour finaliser [votre inscription / votre dossier], j'ai besoin d'une copie de votre pièce d'identité d'ici le [jour et date]. Elle sert uniquement à [objet précis].

Avant de l'envoyer, merci d'y ajouter un filigrane avec ce texte :
« Pour [nom de l'organisme], [objet], [date du jour] »
Le site de l'État filigrane.beta.gouv.fr le fait gratuitement.

Une photo lisible suffit. Merci de ne pas l'envoyer dans le groupe : répondez seulement à ce message.

Elle sera supprimée dès [événement : validation de la licence, signature du bail...], au plus tard le [date].

Si vous préférez me la montrer en main propre plutôt que d'envoyer une copie, dites-le-moi.

Merci,
[Votre nom]

Et ce qu'il vaut mieux éviter :

Salut à tous ! Envoyez-moi vos cartes d'identité recto verso ici avant vendredi, merci !

Aucune raison, aucun filigrane, aucune date de suppression, et un groupe comme destination.

Et quand vous en recevez des dizaines ?

À partir de quelques dizaines de personnes, le risque vient des copies éparpillées : une dans la boîte mail, une dans une conversation, une sur le téléphone du trésorier. Le suivi par personne est détaillé dans collecter des documents auprès de plusieurs personnes, et le cas des salariés dans notre article sur les documents à demander à un nouveau salarié.

Please Send It envoie à chacun son propre lien de dépôt avec votre liste de pièces, relance ceux qui n'ont pas tout envoyé, et range chaque document par personne, hors de votre boîte mail et des groupes de discussion. Les fichiers sont chiffrés et hébergés en France, et les pièces sensibles comme la pièce d'identité sont effacées automatiquement 30 jours après réception : le ménage se fait même si vous l'oubliez.