Filigraner & masquer une copie de pièce d'identité

Ce que recommande la CNIL

En France, la CNIL (Commission nationale de l'informatique et des libertés) est très concrète sur la transmission d'une copie de pièce d'identité. En résumé :

• N'envoyez une copie que si c'est strictement nécessaire — et jamais par un canal non sécurisé.
• Apposez un filigrane visible précisant le destinataire, la finalité et la date. Exemple donné par la CNIL : « Document transmis uniquement pour l'ouverture d'un compte chez [organisme] – [date] ».
• Limitez la résolution et la qualité du fichier pour qu'il soit difficilement réutilisable ailleurs.
• Masquez ce qui n'est pas nécessaire à la vérification (numéro de document, MRZ, signature).

La CNIL rappelle aussi qu'un commerçant, un hôtel ou un bailleur ne peut pas exiger une copie non filigranée : une demande d'original non annoté doit généralement vous alerter.

Recommandations des autres autorités européennes

Plusieurs autorités européennes de protection des données publient des consignes aussi concrètes que celles de la CNIL : masquer les champs non indispensables et apposer un filigrane précisant la finalité et la date. Ce site fonctionne pour n'importe laquelle d'entre elles — il suffit de recopier la formulation recommandée dans le champ « Finalité ».

• Pays-Bas — Autoriteit Persoonsgegevens. Masquer le BSN (numéro national), la photo et la signature, y compris dans la MRZ. Indiquer sur la copie qu'il s'agit d'une copie, la finalité et la date. Sur les documents émis à partir du 2 août 2021, le BSN figure dans un code QR (au verso de la carte d'identité, sur la page de données du passeport) : masquez aussi ce code QR. Le gouvernement néerlandais propose aussi sa propre application gratuite pour cela : KopieID (iPhone et Android).
• Allemagne — Verbraucherzentrale Niedersachsen. Sur un Personalausweis, masquer le numéro de document, le numéro d'accès/série, la couleur des yeux, la taille, la nationalité, la signature, le lieu et la date de naissance, puis apposer un filigrane avec destinataire et finalité. Depuis la réforme du PAuswG de 2017, seuls le nom, l'adresse, la date de naissance et la validité doivent rester lisibles.
• Espagne — AEPD. Au recto du DNI, masquer le numéro de support, le sexe, la nationalité, la date de naissance et la signature ; au verso, l'adresse, le lieu de naissance et les noms des parents. Seuls le nom, les prénoms, le numéro du document et la photo doivent subsister — avec une mention visible de la finalité et de la date.
• Belgique — Autorité de protection des données (APD). Ne transmettre qu'une copie barrée, en recouvrant tout champ non indispensable — notamment le numéro de registre national, le numéro de carte eID, les dates de validité, le sexe, la nationalité, le lieu et la date de naissance. Indiquer sur la copie le destinataire et l'usage autorisé.
• Pologne — UODO. Lorsqu'une copie du dowód osobisty est vraiment inévitable, masquer tout champ non strictement nécessaire à la finalité du contrat. La pratique préférée par l'UODO reste que le document soit présenté en personne plutôt que copié.

Le fil rouge est partout le même : partager le minimum, filigraner avec la finalité et la date, et noter à qui la copie a été remise.

Et au Royaume-Uni ?

Au Royaume-Uni, les conseils grand public sur la sécurité des pièces d'identité sont répartis entre trois organismes, et — à la différence de la CNIL ou des autorités néerlandaise et allemande — aucun ne publie de procédure détaillée de masquage d'une copie de passeport. L'accent y est mis sur la prévention, le signalement et l'enregistrement protecteur :

• Information Commissioner's Office (ICO) — Identity theft : la page consommateur du régulateur britannique. Elle explique les signaux d'alerte, que faire en cas de compromission de vos données, et conseille de signaler la perte ou le vol à l'organisme émetteur.
• Action Fraud — Identity fraud and identity theft : le centre national britannique de signalement des fraudes. Il recommande de conserver ses documents à l'abri, de détruire tout document nominatif avant de le jeter, et de signaler toute perte de passeport à HM Passport Office.
• Cifas — Identity protection : le service britannique de prévention de la fraude. Pour une petite somme, une Protective Registration ajoute des contrôles supplémentaires sur tout crédit ou compte ouvert en votre nom.

Le principe sous-jacent est universel : partager le moins possible, avec le moins de personnes possible, pendant le moins de temps possible, et garder trace des envois. Masquer l'inutile et estampiller la copie fonctionne partout, même si seules quelques autorités le détaillent à ce point.

Avant d'envoyer votre copie

• Ouvrez l'image téléchargée et zoomez : tout ce que vous vouliez cacher est-il entièrement couvert, y compris les codes QR ou 2D ? Le filigrane est-il lisible ?
• Privilégiez un canal chiffré de bout en bout. Évitez l'e-mail classique si possible.
• Notez le destinataire et la date. Si la copie réapparaît ailleurs, vous saurez qui l'avait reçue.
• En France, un commerçant, un hôtel ou un bailleur n'a en général aucune raison d'exiger une copie non filigranée de votre pièce d'identité : une demande de copie « brute » doit vous alerter.
• Certains organismes sont légalement tenus de voir certaines informations — par exemple, les banques doivent vérifier votre identité au titre de la lutte contre le blanchiment. En cas de doute, demandez au destinataire quels champs lui sont réellement nécessaires.
• Après l'envoi, supprimez la copie de votre dossier Téléchargements et ne la laissez pas traîner dans des conversations ou des brouillons d'e-mail.