Peut-on demander une pièce d’identité à une personne qui exerce ses droits ?
Pour qui : Votre service client ou vos ressources humaines exigent une copie de pièce d’identité pour toute demande de droits. Vous voulez savoir si c’est permis et par quoi remplacer ce réflexe.
Pas systématiquement. L’article 12 vous autorise à demander des informations supplémentaires lorsque vous avez des doutes raisonnables sur l’identité de la personne. La CNIL pose le principe en une ligne : pas de pièce d’identité, sauf doute raisonnable.
S’il existe un doute, choisissez le moyen le moins intrusif qui le lève. Le CEPD juge disproportionné de réclamer la copie d’une pièce à une personne déjà authentifiée et estime qu’elle n’est en général pas un moyen approprié. Une vérification plus forte peut se défendre pour des données sensibles, ou si une erreur causerait un dommage important.
Notre avis
Supprimez la copie de pièce d’identité de vos réponses types et de vos formulaires. Écrivez plutôt deux cas : sans doute, on traite ; avec doute, on demande ce qui suffit à le lever, puis on efface la copie éventuelle.
Pourquoi
- Le RGPD ne donne ce pouvoir qu’en présence de doutes raisonnables sur l’identité.
- Un justificatif exigé par réflexe ajoute une collecte, un stockage et un risque de sécurité pour répondre à une demande de protection des données.
- Le CEPD demande de justifier toute mesure d’authentification lourde et rappelle l’obligation de faciliter l’exercice des droits.
Ce qui change le choix
La sensibilité des données, le dommage qu’une erreur causerait et le contexte de la demande : plus ils pèsent, plus la vérification peut être forte. Une demande émanant d’un mandataire appelle aussi une vérification propre, décrite par la CNIL.
L’ordre à suivre
- Aucun doute, compte connu ou adresse habituelle : traitez la demande.
- Doute léger : confirmation par le canal déjà connu, question simple, code.
- Doute persistant, ou données sensibles et risque élevé : justificatif proportionné, éventuellement pièce d’identité masquée.
Que demander, selon la situation
Le doute raisonnable se documente en une ligne dans votre journal : une adresse inconnue, une incohérence avec le dossier, un homonyme possible. La seule existence d’une procédure interne n’est pas un doute.
| Situation | Y a-t-il un doute ? | Ce qui peut suffire |
|---|---|---|
| Client connecté à son compte en ligne | Non | La connexion elle-même. Le CEPD cite un cas similaire et juge la pièce disproportionnée. |
| Salarié qui écrit de sa messagerie professionnelle ou de l’intranet | En principe non | Rien de plus : la CNIL juge la carte d’identité a priori inutile. |
| Ancien salarié, nouvelle adresse personnelle | Parfois | Son ancien identifiant professionnel ou un renseignement connu de vous, selon la CNIL. |
| Client qui écrit d’une adresse inconnue | Oui, léger | Numéro client, lien ou code envoyé sur l’adresse ou le téléphone déjà connus. |
| Mandataire pour le compte d’une personne | À vérifier | Selon la CNIL : courrier de mandat précisant son objet et les deux identités, et justification de ces identités. |
| Demande d’accès à des informations médicales, depuis un canal non authentifié | Selon le contexte | Une pièce peut être justifiée, si elle est proportionnée et permise par le droit national. |
Si une copie de pièce devient vraiment nécessaire
- Dites ce qui peut être masqué. Le CEPD cite notamment numéro de série, nationalité, taille, photographie et bande de lecture automatique, à apprécier au cas par cas, sauf droit national contraire.
- Proposez un canal sécurisé pour la transmission. Évitez une adresse partagée par tout un service.
- Vérifiez, notez, supprimez. Le CEPD cite la suppression de la copie aussitôt la vérification faite, et recommande de noter par exemple « carte d’identité vérifiée ».
- Conservez la note et non le document. Selon le CEPD, conserver la copie risque de méconnaître les principes de limitation des finalités et de la conservation.
L’effet sur votre délai
Le CEPD admet une suspension du délai pendant que vous attendez l’information nécessaire, à condition d’avoir posé la question sans tarder. Une demande de justificatif automatique et injustifiée n’a aucune raison d’en bénéficier : c’est notre lecture, qui découle de la condition de doute. Écrivez dans votre journal la date de la question et celle de la réponse, et gardez aussi l’échéance d’origine.
Les questions à poser sur un formulaire ou un portail
Si vous utilisez ou comparez un outil, demandez : la pièce d’identité est-elle exigée par défaut ? Peut-on la désactiver ? Le niveau de vérification peut-il varier selon le type de demande ? Le fichier envoyé est-il supprimé automatiquement après la vérification ? Si la réponse par défaut impose la pièce à tous, le réglage va à l’encontre du principe rappelé par la CNIL. Corrigez-le ou écartez l’outil. Aucun portail ne décide à votre place qu’un doute est raisonnable.
Limites de cette page
Les points détaillés viennent de lignes directrices sur le droit d’accès, qui sont une doctrine et non un texte de loi. Les restrictions nationales sur la copie de pièces d’identité n’ont pas été recensées pour la France. Pour un cas litigieux, notamment une demande à fort enjeu, prenez conseil.
Prochaine action
Rédigez aujourd’hui vos deux cas types, avec et sans doute, puis retirez la pièce d’identité de votre réponse automatique. Conservez une exception écrite pour les accès à des données très sensibles, si vous en traitez.
Preuves et sources
Lu le 5 novembre 2026 : l’article 12 du RGPD dans le texte publié par la CNIL ; la fiche CNIL sur le droit d’accès, datée du 13 juin 2017 ; sa fiche sur l’accès des salariés, mise à jour le 31 janvier 2025 ; les lignes directrices 01/2022 du CEPD, version 2.1 du 30 mai 2024, points 70 à 79 et exemple 13.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. L’article 12 du RGPD prévoit que le responsable du traitement qui a des doutes raisonnables sur l’identité de la personne présentant une demande fondée sur les articles 15 à 21 peut demander les informations supplémentaires nécessaires pour la confirmer.
Portée : Article 12, paragraphe 6.
Réserve : Sans préjudice de l’article 11. Texte reproduit par la CNIL.
- CNIL : CHAPITRE III - Droits de la personne concernée | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Déclaration de l’éditeur. La CNIL pose le principe « pas de pièce d’identité, sauf en cas de doute raisonnable », indique que l’identité peut être justifiée par tout moyen et que le niveau de vérification peut varier selon la nature de la demande, la sensibilité des informations et le contexte.
Portée : Fiche CNIL du 13 juin 2017, droit d’accès.
Réserve : En cas de doute, la CNIL admet la photocopie d’une pièce si nécessaire.
- CNIL : Professionnels : comment répondre à une demande de droit d’accès ? | CNIL Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le CEPD, il est disproportionné d’exiger la copie d’un document d’identité d’une personne déjà authentifiée, et une telle copie ne devrait généralement pas être considérée comme un moyen d’authentification approprié, sauf si elle est nécessaire, adaptée et conforme au droit national.
Portée : Lignes directrices 01/2022, points 73 à 75 et exemple 13.
Réserve : Droit d’accès, doctrine.
- CEPD/EDPB : Guidelines 01/2022 on data subject rights - Right of access, version 2 Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon le CEPD, une authentification par pièce d’identité peut être justifiée et proportionnée, en particulier pour des données de catégories particulières ou présentant un risque, comme des informations médicales.
Portée : Lignes directrices 01/2022, point 78.
Réserve : Le CEPD rappelle que des règles nationales peuvent restreindre la copie de ces pièces.
- CEPD/EDPB : Guidelines 01/2022 on data subject rights - Right of access, version 2 Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Le CEPD cite comme garantie possible l’absence de copie ou sa suppression immédiate après vérification, recommande comme bonne pratique une simple note et estime que conserver la copie risque de méconnaître les principes de limitation des finalités et de la conservation.
Portée : Lignes directrices 01/2022, point 79.
Réserve : Bonne pratique pour la note.
- CEPD/EDPB : Guidelines 01/2022 on data subject rights - Right of access, version 2 Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. La CNIL estime que la présentation d’une pièce d’identité n’est a priori pas nécessaire pour un salarié qui écrit depuis sa messagerie professionnelle ou l’intranet, et qu’un ancien salarié peut en principe prouver son identité par des renseignements connus de son ancien employeur, notamment son ancien identifiant professionnel.
Portée : Fiche CNIL sur l’accès des salariés, mise à jour le 31 janvier 2025.
Réserve : Exemples de la CNIL.
- CNIL : Le droit d’accès des salariés à leurs données et aux courriels professionnels 5 janvier 2022, fiche mise à jour le 31 janvier 2025. Lu le 5 novembre 2026. Document d’origine.
Déclaration de l’éditeur. Selon la CNIL, le mandataire présente un courrier précisant l’objet du mandat et l’identité du mandant et du mandataire, et justifie de son identité et de celle du demandeur.
Portée : Droit d’accès exercé par un mandataire.
Réserve : Fiche CNIL du 13 juin 2017.
- CNIL : Professionnels : comment répondre à une demande de droit d’accès ? | CNIL Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Pour le CEPD, la demande d’information sur l’identité posée sans tarder peut suspendre le délai jusqu’à son obtention ; refuser ce bénéfice à une demande de justificatif injustifiée est notre lecture.
Portée : Lignes directrices 01/2022, point 159.
Réserve : Déduction : le point 159 vise l’incertitude sur l’identité.
- CEPD/EDPB : Guidelines 01/2022 on data subject rights - Right of access, version 2 Lu le 5 novembre 2026. Document d’origine.