Fuite de données d’identité : le vrai coût de la collecte de pièces justificatives

Le coût d’une collecte de pièces justificatives ne se mesure pas au prix du contrôle d’identité à distance, mais au passif qu’elle crée : une copie de carte nationale d’identité (CNI) volée ne se révoque pas, ne s’expire pas et alimente le phishing ciblé pendant des années. Pour un responsable de traitement, le calcul utile additionne quatre postes rarement consolidés : l’acquisition, la conservation, la réponse à incident et l’exposition réglementaire. La bonne question n’est donc pas « comment mieux stocker ces pièces ? » mais « quel attribut ai-je réellement besoin de prouver ? ».

Sommaire

• 1. Les quatre postes de coût d’une pièce justificative conservée
• 2. Le passif caché : une copie de CNI ne se révoque pas
• 3. Ce que coûte l’incident, du point de vue du RGPD
• 4. Pourquoi la collecte est presque toujours surdimensionnée
• 5. Quatre leviers pour ne plus stocker
• 6. Grille de décision en six questions
• FAQ

1. Les quatre postes de coût d’une pièce justificative conservée

La plupart des budgets « vérification d’identité » ne financent que la première ligne. Les trois suivantes sont absorbées par les équipes, donc invisibles.

• Acquisition : coût unitaire du parcours de vérification, taux d’échec et de reprise, support client sur les documents refusés, revue humaine des cas litigieux.
• Conservation : chiffrement et gestion des clés, cloisonnement du stockage, journalisation des accès, contrôle des habilitations, sauvegardes (qui dupliquent le risque), gestion des durées de conservation et purge effective.
• Contrôle : analyse d’impact relative à la protection des données (AIPD) prévue à l’article 35 du Règlement général sur la protection des données (RGPD), tests d’intrusion, audits clients ou fournisseurs, réponses aux demandes d’accès et d’effacement.
• Incident : investigation, notification, communication, contentieux. C’est le poste le plus élastique et le seul qui échappe totalement au contrôle budgétaire.

Un ordre de grandeur utile : le coût de conservation d’une pièce d’identité est linéaire par rapport au volume, alors que le coût d’incident est exponentiel. Doubler la base double la facture de stockage, mais multiplie bien davantage l’attractivité de la cible.

2. Le passif caché : une copie de CNI ne se révoque pas

Un mot de passe compromis se change en une minute. Un numéro de carte bancaire se réémet. Une copie recto-verso de CNI, un titre de séjour, un justificatif de domicile ou un selfie de vivacité restent valides jusqu’à l’expiration du document, parfois dix ans.

Concrètement, une base de justificatifs exfiltrée permet de reconstituer des fiches d’identité complètes : nom, prénoms, date et lieu de naissance, adresse, numéro de document, signature, photo. C’est exactement le matériau dont l’ingénierie sociale a besoin pour franchir un centre d’appels, réinitialiser un accès, souscrire un crédit ou passer un contrôle documentaire chez un tiers moins équipé. Le rapport annuel Cost of a Data Breach d’IBM Security place d’ailleurs, année après année, les données personnelles de clients parmi les types de données les plus fréquemment compromis et les plus coûteux à traiter.

Le point aveugle des dossiers de conformité est là : le préjudice ne s’arrête pas à la frontière de l’entreprise victime. Il se propage chez tous ceux qui font confiance à une photo de document.

3. Ce que coûte l’incident, du point de vue du RGPD

Les obligations ne sont pas négociables et leur calendrier est serré.

• Notification à l’autorité de contrôle sous 72 heures (article 33 du RGPD), en France auprès de la Commission nationale de l’informatique et des libertés (CNIL, cnil.fr).
• Information des personnes concernées lorsque le risque est élevé (article 34), ce qui est le cas par nature pour des pièces d’identité.
• Réparation du dommage : droit à indemnisation ouvert par l’article 82, avec une jurisprudence européenne qui admet le préjudice moral.
• Sanctions administratives : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (article 83), le montant le plus élevé étant retenu.

Ajoutez la qualification des données : dès qu’un gabarit facial est utilisé pour identifier une personne, le traitement relève des données biométriques de l’article 9, avec un régime d’interdiction assorti d’exceptions. Le référentiel d’exigences applicables aux prestataires de vérification d’identité à distance (PVID) publié par l’Agence nationale de la sécurité des systèmes d’information (ANSSI, cyber.gouv.fr) encadre précisément ces parcours et le niveau de garantie attendu.

4. Pourquoi la collecte est presque toujours surdimensionnée

L’article 5.1.c du RGPD impose la minimisation : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. Or, dans la majorité des parcours, le besoin métier n’est pas l’identité mais un attribut :

• « cette personne a plus de 18 ans » pour un accès à un contenu réservé aux majeurs ;
• « cette personne est titulaire d’un droit » pour un abonnement, un tarif réduit, un badge ;
• « cette personne est bien celle qui a créé le compte » pour une reconnexion sensible.

Aucun de ces trois cas n’exige de conserver une image de document. C’est la logique retenue par la CNIL dans ses travaux sur la vérification d’âge en ligne, qui recommande une architecture de double anonymat : le service consulté ne connaît pas l’identité de l’internaute, et le vérificateur d’identité ne sait pas quel service est consulté. La loi n° 2024-449 du 21 mai 2024 visant à sécuriser et réguler l’espace numérique (SREN) et le référentiel de l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM, arcom.fr) inscrivent la vérification d’âge dans ce cadre : prouver, sans transmettre l’identité.

La distinction pratique à retenir : les obligations de lutte contre le blanchiment de capitaux et le financement du terrorisme (LCB-FT) imposent bien une identification et une conservation des justificatifs. Presque tout le reste, non. Un formulaire qui demande une pièce d’identité « pour la sécurité du compte » relève souvent de l’habitude, pas de l’obligation.

5. Quatre leviers pour ne plus stocker

• Remplacer l’identité par la preuve d’attribut. Un jeton signé, à usage unique ou à durée de vie courte, qui atteste d’un fait sans transporter d’état civil. C’est le principe d’AnonymAGE, identité numérique anonyme qui prouve l’âge en double anonymat : la preuve de majorité est le cas d’usage en service. L’extension du même mécanisme aux recherches, consultations, déplacements, commandes, achats, flux vidéo et usages d’intelligence artificielle relève de la feuille de route, et doit être présentée comme telle.
• Externaliser sans dupliquer. Si un contrôle documentaire est réellement requis, s’appuyer sur un prestataire conforme au référentiel PVID, avec une clause explicite de non-conservation côté client. Un accusé de vérification horodaté suffit à la preuve : la pièce elle-même n’a pas à revenir dans vos systèmes.
• Supprimer la pièce d’identité du parcours d’authentification. Beaucoup d’organisations demandent une CNI pour compenser une authentification faible héritée du couple identifiant / mot de passe, dont le principe remonte aux travaux de Fernando Corbató en 1961. C’est le terrain d’EFGH, authentification renouvelée qui remplace l’usage inapproprié de l’authentification multifacteur (MFA) subie plutôt que d’ajouter une couche documentaire au-dessus d’un socle fragile.
• Rendre la purge démontrable. Durée de conservation par finalité, suppression automatisée, journal d’effacement exportable, sauvegardes incluses dans le périmètre. Une purge non prouvable équivaut, en cas de contrôle, à une absence de purge.

6. Grille de décision en six questions

• Quel fait dois-je établir, exactement, et quel texte l’exige ?
• Ce fait peut-il être prouvé par un attribut plutôt que par une identité ?
• Ai-je besoin de conserver la pièce, ou seulement la trace de sa vérification ?
• Combien de collaborateurs et de sous-traitants peuvent techniquement accéder à ces fichiers aujourd’hui ?
• Quel est le coût d’une notification à la CNIL et d’une information des personnes sur mon volume actuel ?
• Que se passe-t-il si cette base fuite demain : quels comptes, chez moi et ailleurs, deviennent ouvrables ?

Si la réponse à la deuxième question est « oui », le projet ne relève plus de la sécurisation d’un entrepôt de justificatifs mais de sa suppression. C’est le seul scénario où le coût d’incident tend vers zéro, parce que la donnée n’existe plus.

FAQ

Peut-on conserver une copie de carte d’identité en toute légalité ?

Oui, mais seulement si une finalité précise le justifie et pour une durée déterminée, conformément aux articles 5 et 6 du RGPD. Les obligations LCB-FT constituent le cas le plus clair. En dehors de ces situations, la conservation d’une copie de pièce d’identité est généralement disproportionnée au regard du principe de minimisation.

Combien coûte réellement une fuite de pièces d’identité ?

Le coût se décompose en investigation technique, notification à la CNIL sous 72 heures, information des personnes concernées, gestion des demandes et du contentieux, et exposition à une sanction pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. À ces montants s’ajoute un préjudice de réputation et une exposition durable des personnes au phishing ciblé, puisqu’un document d’identité reste exploitable jusqu’à son expiration.

Qu’est-ce que le double anonymat en vérification d’âge ?

C’est une architecture dans laquelle le service consulté ne connaît pas l’identité de l’internaute, tandis que le fournisseur de preuve d’âge ne sait pas quel service est consulté. Recommandée par la CNIL et cohérente avec le cadre issu de la loi SREN du 21 mai 2024 et du référentiel de l’ARCOM, elle permet d’attester la majorité sans créer de base de données d’identité.

Le PVID dispense-t-il de stocker les justificatifs ?

Le référentiel PVID de l’ANSSI encadre le niveau de garantie du contrôle d’identité à distance, il ne crée pas d’obligation de conservation côté donneur d’ordre. Contractuellement, il est possible de ne recevoir qu’un résultat de vérification horodaté, sans image de document ni gabarit biométrique dans votre système d’information.

Par où commencer pour réduire le stock existant ?

Cartographier les formulaires et parcours qui demandent une pièce justificative, identifier pour chacun le texte ou la règle métier qui l’exige, supprimer les collectes non justifiées, puis purger l’historique avec un journal d’effacement exportable incluant les sauvegardes. Les parcours restants sont les seuls à devoir être industrialisés et audités.