On vous demande une pièce d’identité pour valider une commande
Service d’information indépendant. Assistancesav.fr est édité par Optico SAS. Nous ne sommes le service client d’aucune entreprise et ne sommes affiliés à aucune des sociétés ou marques citées sur cette page.
Une demande de copie de pièce d’identité n’est licite que si elle est nécessaire à une finalité déterminée : le RGPD limite toute collecte à ce qui est « adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités » (article 5, paragraphe 1, point c). Elle n’est ni interdite en bloc, ni acquise d’avance. Un repère tranche à lui seul : la CNIL a recommandé qu’une copie de la carte de paiement ne soit jamais demandée, même partiellement masquée. Pour le reste, le canal d’arrivée du message permet d’écarter une demande, jamais de la valider.
Ce que cette page ne peut pas dire
Elle ne peut pas établir qu’une demande précise est légitime, et elle ne le fera nulle part ci-dessous. Elle n’a ni le message que vous avez reçu, ni le domaine qui l’a expédié, ni l’historique de votre commande. Ce qu’elle peut faire est différent : exposer la règle applicable, nommer le seul repère qui tranche seul, et dire lesquelles des variables restées entre vos mains décident du reste. Une page qui délivrerait un quitus de légitimité rendrait un verdict qu’elle n’a pas les moyens de rendre.
La règle : nécessaire, pas systématique
Deux articles du RGPD commandent tout le sujet, et ils ne disent pas la même chose. L’article 6 règle le droit de traiter une donnée : il faut une base légale, et celle qu’invoque un contrôle antifraude est l’intérêt légitime du responsable de traitement, qui suppose une mise en balance avec « les intérêts ou les libertés et droits fondamentaux de la personne concernée ». L’article 5, paragraphe 1, point c règle ensuite la quantité : les données doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Une demande peut donc être permise dans son principe et excessive dans son contenu.
Sur le cas voisin des données de carte de paiement, la CNIL a posé que l’identité du titulaire de la carte, dès lors que cette donnée n’est pas requise pour la réalisation d’une transaction en ligne, « ne doit pas être collectée par le système de paiement sauf lorsqu’elle est justifiée pour la poursuite d’une finalité déterminée et légitime, telle que la lutte contre la fraude » (délibération n° 2018-303 du 6 septembre 2018, article 3). Le raisonnement est celui à retenir : la lutte contre la fraude peut justifier une vérification d’identité, à ce titre et à condition qu’elle soit nécessaire — jamais par défaut.
Reste que ce texte ne traite pas directement de la production d’un titre d’identité, et qu’il s’agit d’une recommandation de l’autorité de contrôle : elle interprète le RGPD, elle ne crée pas par elle-même une incrimination. Nous écrivons donc partout « la CNIL a recommandé » ou « l’autorité de contrôle considère », et jamais « c’est illégal ». C’est aussi ce qui vous permet d’opposer le texte sans être repris sur sa portée.
Qui est tenu de vérifier votre identité — et qui ne l’est pas
Les obligations de vérification d’identité sont sectorielles, pas générales. L’article L. 561-5 du code monétaire et financier impose aux personnes mentionnées à l’article L. 561-2 — banques, établissements de paiement, assureurs, notaires, opérateurs de jeux, négociants en métaux et pierres précieuses ou en œuvres d’art, prestataires sur actifs numériques — d’identifier leur client et de « vérifier ces éléments d’identification sur présentation de tout document écrit à caractère probant ». Le renvoi à L. 561-2 est ce qui délimite le périmètre, et il ne s’escamote pas : cité seul, L. 561-5 donnerait l’impression exactement inverse de la réalité.
Un site marchand qui vend un bien courant ne relève d’aucune de ces catégories : il n’a aucune obligation légale de vérifier votre identité, et ce qu’il fait relève de sa politique antifraude, pas d’un texte qui l’y contraindrait. Mais — et c’est l’un des cas les plus fréquents — si le paiement passe par un portefeuille, une cagnotte de place de marché ou un paiement fractionné, c’est ce prestataire-là qui est assujetti, et la vérification lui est alors imposée par la loi. De même pour les produits dont la vente suppose de vérifier la majorité.
Ce qui est demandé, et ce que dit la règle
| Ce que le message réclame | Ce que dit la règle |
|---|---|
| Une photo de la carte de paiement | Jamais, et sans discussion possible. « Le responsable de traitement, ou son prestataire, ne peut demander la transmission de la photocopie ou de la copie numérique du recto et/ou du verso de la carte de paiement, même si le cryptogramme visuel et une partie des numéros sont masqués » (délibération CNIL n° 2018-303, art. 3). L’autorité le redit dans sa page grand public : « Un commerçant en ligne ne peut pas demander la transmission d’une copie de la carte de paiement même si le cryptogramme visuel et une partie des numéros sont masqués. » Les données strictement nécessaires à un paiement sont, par défaut, le numéro de la carte, sa date d’expiration et le cryptogramme visuel. |
| Un mot de passe, ou un code reçu par message | Aucun contrôle antifraude n’en a besoin. Cybermalveillance.gouv.fr rappelle qu’« aucune administration ou société commerciale sérieuse ne vous demandera vos données bancaires ou vos mots de passe par message électronique ou par téléphone ». Cette phrase vise les données bancaires et les mots de passe : elle ne dit rien des demandes de justificatifs, et elle ne doit pas être étendue à celles-ci. |
| Une copie de pièce d’identité | Aucun test binaire ne décide. La demande n’est pas interdite en bloc ; sa licéité dépend de la finalité, de la base légale et de la proportion (RGPD, art. 6 et 5.1.c). Interrogée sur un hôtelier, la CNIL répond « Non. » à la question de savoir s’il peut faire une copie du titre, et ne réserve que les cas prévus par la loi — fiche individuelle de police pour les personnes de nationalité étrangère, justification d’identité en cas de paiement par chèque. La méthode est là : on cherche le texte qui autorise, on ne présume pas l’autorisation. Et présenter un titre n’est pas en laisser une copie. |
| Un justificatif de domicile en plus | Chaque pièce ajoutée déplace le curseur de la proportionnalité, sans qu’aucun texte ne fixe de seuil. Le raisonnement de la CNIL sur l’exercice des droits éclaire l’ordre dans lequel les choses se posent : à la question de savoir s’il faut fournir une copie de sa pièce d’identité, elle répond « En principe, non ! », un numéro de client avec les nom et adresse ou un compte en ligne authentifié suffisant le plus souvent. Elle réserve toutefois le cas du doute raisonnable, où « une copie de votre pièce d’identité peut alors s’avérer nécessaire ». Cette fiche porte sur l’exercice des droits, pas sur l’achat : elle montre une méthode, elle ne tranche pas votre cas. |
Le canal : ce qu’il permet d’écarter, ce qu’il ne prouve pas
Le repère utile n’est pas la qualité du texte, c’est le chemin par lequel il est arrivé. Cybermalveillance.gouv.fr rappelle que les attaques par hameçonnage sont « de mieux en mieux réalisées », et invite, en cas de doute, à s’adresser directement à l’organisme concerné pour confirmer le message reçu — pas à suivre le lien ou le numéro qu’il contient. En pratique : ne pas cliquer, et revenir soi-même sur le site que l’on connaît en tapant son adresse, pour voir si la demande s’y trouve aussi.
Ce test écarte, il ne valide pas, et c’est sa limite la plus importante. Un message arrivé « par le bon canal » ne prouve pas que la collecte soit justifiée ; et l’absence de la demande dans votre espace client ne prouve pas davantage une fraude, beaucoup de contrôles antifraude réels ne transitant que par courriel. Il n’existe pas, sur cette question, de méthode qui rende un verdict.
Un dernier repère, souvent confondu avec le précédent : le contrôle antifraude que la banque applique est l’authentification forte, et il se déroule dans le flux de paiement. L’article L. 133-44 du code monétaire et financier l’impose notamment lorsque le payeur initie une opération de paiement électronique, et exige, pour les opérations à distance, des éléments « qui établissent un lien dynamique entre l’opération, le montant et le bénéficiaire donnés » ; l’article L. 133-4, f) définit cette authentification par au moins deux éléments indépendants relevant de la connaissance, de la possession et de l’inhérence. Elle n’est pas systématique — le règlement délégué (UE) 2018/389 prévoit des cas d’exemption, dont les faibles montants et l’analyse du risque de transaction. Une demande de documents par courriel n’en fait donc jamais partie : c’est un contrôle propre au vendeur, ce qui ne le rend ni illégitime ni obligatoire à satisfaire.
Deux régimes distincts, deux calendriers
C’est la confusion la plus coûteuse sur ce sujet. Une commande retenue et un débit contesté ne relèvent ni des mêmes textes, ni des mêmes délais : c’est ce qui s’est réellement passé sur votre compte qui décide duquel des deux vous relevez.
| Votre situation | Les textes | Le calendrier, et sa limite |
|---|---|---|
| La commande est retenue dans l’attente de documents | Le professionnel « délivre le bien ou fournit le service à la date ou dans le délai indiqué au consommateur » ; à défaut d’indication ou d’accord, « sans retard injustifié et au plus tard trente jours après la conclusion du contrat » (art. L. 216-1 du code de la consommation). Puis l’article L. 216-6 ouvre deux voies : notifier au professionnel la suspension du paiement de tout ou partie du prix, dans les conditions des articles 1219 et 1220 du code civil, ou résoudre le contrat après une mise en demeure assortie d’un délai supplémentaire raisonnable — immédiatement s’il refuse de délivrer ou s’il est manifeste qu’il ne le fera pas. | Les trente jours sont un filet, pas la règle : c’est la date annoncée qui vaut, et elle est souvent bien plus courte. La suspension est largement théorique quand le prix a été débité à la commande ; reste la résolution, écrite, qui compte en semaines et n’aboutit que si le vendeur est identifiable et établi. Aucun de ces textes n’oblige le vendeur à délivrer : ils défont le contrat. Ces dispositions valent pour les contrats conclus à compter du 1er janvier 2022. |
| Un débit non autorisé est apparu sur le compte | Lorsque l’utilisateur l’a signalé dans les conditions de l’article L. 133-24, « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France » (art. L. 133-18). | Le délai pour signaler est enfermé par l’article L. 133-24 : treize mois à compter de la date de débit, sous peine de forclusion — à moins que le prestataire n’ait pas fourni ni mis à disposition les informations relatives à cette opération. Ce délai ne se raccourcit pas par contrat lorsque l’utilisateur est une personne physique agissant pour des besoins non professionnels : le texte réserve aux autres cas la faculté de convenir d’un délai distinct. Contrepoids à connaître : l’article L. 133-19 écarte le remboursement en cas d’agissement frauduleux du payeur ou de manquement par négligence grave à ses obligations — dont celle de l’article L. 133-16. C’est au prestataire d’établir cette négligence, pas à vous de prouver le contraire : raison de plus pour signaler sans attendre. |
Une précision qui sépare nettement les deux lignes : une copie de pièce d’identité ne permet pas de débiter une carte. Elle expose à l’usurpation d’identité, qui relève d’un autre traitement. Le régime de l’article L. 133-18 suppose que des données de carte aient circulé.
Neuf idées reçues, et ce que disent les textes
| Ce qu’on lit partout | Ce que dit la règle |
|---|---|
| « Pour que ce soit légal, le site doit avoir déclaré son fichier à la CNIL et afficher un numéro d’enregistrement. » | Régime disparu. La déclaration préalable a été remplacée par le principe de responsabilité du responsable de traitement à l’entrée en application du RGPD, le 25 mai 2018. Cette condition figure pourtant en bonne place dans plusieurs pages qui se positionnent encore sur cette question : c’est du contenu daté qui survit. |
| « C’est le “doute raisonnable” du RGPD qui autorise le marchand à demander une pièce d’identité pour une commande. » | Contresens de texte. « Sans préjudice de l’article 11, lorsque le responsable du traitement a des doutes raisonnables quant à l’identité de la personne physique présentant la demande visée aux articles 15 à 21, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l’identité de la personne concernée » (art. 12, paragraphe 6). Les articles 15 à 21 organisent l’accès, la rectification, l’effacement, la limitation, la notification, la portabilité et l’opposition — pas l’achat. |
| « Les vendeurs en ligne sont soumis au “KYC” comme les banques. » | Non. L’obligation de l’article L. 561-5 du code monétaire et financier ne vise que les personnes énumérées à l’article L. 561-2, où un vendeur de biens courants ne figure pas. Le sigle est employé parce qu’il fait autorité, pas parce qu’un texte l’impose. Attention toutefois : un portefeuille, une cagnotte de place de marché ou un paiement fractionné, eux, y figurent. |
| « Une photo de la carte est acceptable si une partie des chiffres est masquée. » | Non, la CNIL vise expressément ce cas : « même si le cryptogramme visuel et une partie des numéros sont masqués » (délibération n° 2018-303, art. 3). Elle rattache la position à l’obligation de sécurité de l’article L. 133-16 du code monétaire et financier, qui met à la charge de l’utilisateur de services de paiement de « prendre toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées ». |
| « Un message bien écrit, avec le bon logo et le bon numéro de commande, vient forcément du vendeur. » | Non : les attaques sont « de mieux en mieux réalisées », et des références de commande réelles circulent après des fuites de données. Le corollaire vaut aussi dans l’autre sens : un message arrivé par un canal cohérent ne prouve rien non plus. |
| « Tant que je n’envoie pas les documents, la commande peut rester bloquée sans limite de temps. » | Non. Le délai de délivrance de l’article L. 216-1 du code de la consommation continue de courir, et l’article L. 216-6 ouvre la suspension notifiée du paiement ou la résolution après mise en demeure. Ces textes défont le contrat ; ils ne forcent pas la délivrance. |
| « Le commerçant n’a pas le droit de demander une pièce d’identité. » | Trop absolu, et faux. Il peut la demander. Ce qui est encadré, c’est la base légale de la collecte, sa nécessité, sa proportion et sa durée de conservation (RGPD, art. 6 et 5.1.c). Et vous pouvez refuser. |
| « Le commerçant peut conditionner la vente à ce qu’il veut. » | Faux en sens inverse : « Est interdit le fait de refuser à un consommateur la vente d’un produit ou la prestation d’un service, sauf motif légitime » (art. L. 121-11 du code de la consommation). Deux réserves d’honnêteté : ce qu’est un motif légitime, le juge l’apprécie au cas par cas, et nous n’avons trouvé aucune décision publiée tranchant le refus opposé à qui décline de transmettre une copie de son titre ; et une fois la commande acceptée, le terrain utile n’est plus le refus de vente mais l’inexécution. Ce texte fonde un signalement, il n’ouvre pas d’action pour contraindre à délivrer. |
| « Ce n’est qu’une photocopie, ce n’est pas grave. » | C’est le matériau de base de l’usurpation d’identité : « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. Cette infraction est punie des mêmes peines lorsqu’elle est commise sur un réseau de communication au public en ligne » (art. 226-4-1 du code pénal). Selon l’usage fait des documents, d’autres qualifications peuvent être retenues, notamment l’escroquerie ou le faux et l’usage de faux : c’est au procureur de la République de qualifier les faits. |
Ce qui décide de la réponse, et où cela se lit
Aucune page ne peut trancher les lignes qui suivent. La variable est chez vous : dans le message, dans la commande, sur le relevé. Les nommer, c’est déjà la moitié du chemin.
| La variable | Pourquoi elle change la réponse | Où elle se lit |
|---|---|---|
| Qui demande, exactement | C’est la variable maîtresse. Un vendeur de biens courants n’est tenu à rien ; un portefeuille, une cagnotte de place de marché ou un paiement fractionné relèvent de l’article L. 561-2 et la vérification leur est imposée. Deux acheteurs identiques n’ont donc pas le même cadre. | Le nom porté par le message, et l’intermédiaire qui apparaît sur le relevé. |
| Le canal par lequel la demande est arrivée | Courriel non sollicité avec lien, message dans une messagerie tierce, ou demande retrouvée dans l’espace client en tapant soi-même l’adresse. Le même texte, mot pour mot, ne se juge pas pareil selon le chemin — et le test écarte sans jamais valider. | L’en-tête du message, et votre espace client atteint par vos propres moyens. |
| La concordance du domaine expéditeur | Sous-domaine cohérent, domaine voisin à une lettre près, ou domaine sans rapport avec celui où la commande a été passée. La page ne voit pas cette adresse ; vous l’avez sous les yeux. | L’adresse réelle de l’expéditeur, et celle vers laquelle pointent les liens. |
| La nature exacte des pièces réclamées | Chaque élément ajouté déplace le curseur, et le dernier tiers de la liste tranche à lui seul : pièce d’identité, justificatif de domicile, relevé d’identité bancaire, photo de la carte, mot de passe, code reçu par message. | La liste littérale du message reçu. |
| Le moment de la demande dans le parcours | Avant le paiement, après le paiement mais avant le débit, après un débit effectif, ou après une validation dans l’application bancaire. Une demande qui suit une authentification déjà réalisée invite à en demander la raison — mais cette authentification n’existe pas sur toutes les transactions, et son absence ne signifie rien à elle seule. | L’horodatage du message, rapproché de votre relevé. |
| Le montant, le produit, et l’écart entre adresses | Un article à 40 € et un article revendable immédiatement n’appellent pas le même contrôle. Une adresse de livraison différente de l’adresse de facturation, ou une carte qui n’est pas au nom de la personne livrée, est l’un des déclencheurs les plus courants — cela explique pourquoi la demande vous est parvenue, cela ne la justifie pas à soi seul. | Votre commande, et l’adresse que vous y avez portée. |
| Ce que les conditions générales de vente annoncent | La vérification est-elle prévue ? un prestataire tiers est-il nommé ? une durée de conservation est-elle indiquée ? Un contrôle documenté et un contrôle surgi de nulle part ne se lisent pas de la même façon. Cela reste une indication : des conditions générales ne rendent pas licite une collecte qui ne l’est pas. | Les conditions générales du site où la commande a été passée. |
| Le produit et l’âge requis | La vente de certains produits suppose de vérifier la majorité de l’acheteur : le contrôle est alors imposé au vendeur ordinaire, ce qui déplace tout le raisonnement précédent. | La nature de ce que vous avez commandé. |
| Si les documents sont déjà partis | Le sujet bascule : on ne raisonne plus sur la licéité d’une demande, mais sur la prévention d’une usurpation. Ce sont deux régimes distincts, et le second a ses propres gestes. | Vos messages envoyés. |
| Le pays d’établissement du vendeur | France, autre État de l’Union, ou hors Union : la voie amiable et l’autorité compétente ne sont pas les mêmes. Hors de l’Union, ni médiateur, ni centre européen des consommateurs, ni signalement à la répression des fraudes n’ont de prise ; il ne reste que la banque et la plainte. | Les mentions légales du site, et l’adresse d’expédition annoncée. |
| Si un débit a eu lieu, et si vous le contestez | Une commande simplement retenue relève des articles L. 216-1 et L. 216-6 du code de la consommation ; un débit non autorisé relève des articles L. 133-18 et L. 133-24 du code monétaire et financier, avec un calendrier tout autre. C’est un fait de votre dossier qui décide lequel s’applique. | Votre relevé bancaire. |
Si vous décidez de refuser, et si vous décidez de transmettre
Décliner n’expose ni à une dette, ni à une pénalité. La commande n’est alors pas exécutée, et le contrat se dénoue dans les conditions de l’article L. 216-6 du code de la consommation. C’est une information qui manque presque partout, et sans elle la page décrirait un droit que personne n’ose exercer.
Si une copie doit malgré tout partir, deux dispositifs existent — présentés ici pour ce qu’ils sont, et non comme une marche à suivre recommandée :
- Marquer le document. Cybermalveillance.gouv.fr recommande de « marque[r] les copies des documents d’identité que vous transmettez en inscrivant par-dessus le motif de l’envoi, la date et le destinataire », et renvoie au service gratuit Filigrane Facile, « un service numérique gratuit, proposé par l’État », qui « ne conserve aucun fichier : les documents sont supprimés immédiatement après téléchargement ». Deux limites à connaître : un filigrane n’empêche pas un usage frauduleux, il le dissuade et permet d’identifier l’origine d’une fuite ; et certains destinataires refusent les documents marqués.
- Le justificatif d’identité à usage unique. L’application gratuite France Identité génère un document PDF signé électroniquement par le ministère de l’Intérieur, qui prouve l’identité sans diffuser le visuel du titre : on y précise un destinataire et une durée de validité, et le justificatif porte ce destinataire, sa date de génération, sa date limite d’utilisation et un QR code permettant d’en vérifier l’authenticité. Il faut la carte nationale d’identité au format carte bancaire et un téléphone compatible NFC. Aucun texte n’impose à un commerçant de l’accepter, et très peu le font : c’est une possibilité à proposer, pas un droit à opposer.
- Après coup, la conservation. Le RGPD limite la durée de conservation à ce qui est nécessaire au regard des finalités (art. 5, paragraphe 1, point e) et ouvre un droit à l’effacement (art. 17). C’est le seul levier concret une fois la copie transmise — et son exercice est aussi le préalable obligatoire à une plainte auprès de l’autorité de contrôle.
- Si un débit non autorisé apparaît, le signaler sans attendre à sa banque. Le délai de l’article L. 133-24 court à compter de la date de débit, et c’est au prestataire de paiement d’établir une éventuelle négligence grave (art. L. 133-19), pas au client de prouver le contraire.
Sources : RGPD, chapitre II (art. 5 et 6) et chapitre III (art. 12 et 17), texte publié par la CNIL ; délibération CNIL n° 2018-303 du 6 septembre 2018 et CNIL — le paiement à distance par carte bancaire ; CNIL — copie d’une pièce d’identité par un hôtelier et CNIL — faut-il fournir une copie de sa pièce d’identité ; art. L. 133-16, L. 133-44, L. 133-18 et L. 561-5, ainsi que les art. L. 133-4, L. 133-19, L. 133-24 et L. 561-2, du code monétaire et financier ; art. L. 121-11, L. 216-1 et L. 216-6 du code de la consommation ; art. 226-4-1 du code pénal ; Cybermalveillance.gouv.fr — hameçonnage et usurpation d’identité ; France Travail — Filigrane Facile, un service de l’État ; France Identité — le justificatif d’identité ; règlement délégué (UE) 2018/389. Vérifié le 13 août 2026.
Trois précautions de méthode, parce qu’elles changent la portée de ce qui précède. Sur la nature des textes CNIL : la délibération n° 2018-303 porte « adoption d’une recommandation ». C’est la doctrine de l’autorité de contrôle interprétant le RGPD, opposable à ce titre, et non une incrimination autonome : nous écrivons donc « la CNIL a recommandé », jamais « hors la loi ». Sur l’absence de décision de justice : nous n’avons trouvé aucune décision publiée tranchant le refus de vente opposé à un consommateur qui décline de transmettre une copie de son titre d’identité. Ce que nous en disons est présenté comme une appréciation, pas comme un état du droit. Sur ce que nous avons retiré : une durée de conservation chiffrée et une fiche pratique sur la vérification de la fiabilité d’un site marchand figuraient dans nos notes de travail ; ni l’une ni l’autre n’a pu être relue directement à la source, l’une des pages ayant renvoyé une erreur d’accès. S’y ajoute un délai de soixante-dix jours, souvent présenté comme s’appliquant lorsque le prestataire du bénéficiaire est établi hors de l’Espace économique européen : l’article L. 133-24 ne le porte pas, et nous ne l’écrivons donc nulle part. En cas de doute, nous retirons — nous n’atténuons pas.
Les voies officielles de ce dossier sont gratuites, et il faut savoir ce que chacune fait — et ne fait pas. La CNIL se saisit gratuitement de la licéité d’une collecte : copie réclamée sans nécessité, conservée sans durée, ou demande de copie de carte de paiement. Préalable à connaître : « Avant de demander l’intervention de la CNIL, vous devez d’abord exercer vos droits Informatique et Libertés », et l’organisme doit répondre sous un mois — délai que le RGPD lui permet de prolonger de deux mois pour une demande complexe, à condition de vous en informer. Elle annonce un premier retour dans un délai d’au moins trois mois, et elle ne rend ni remboursement ni dommages et intérêts. SignalConso est « un service public gratuit pour permettre aux consommateurs de signaler les problèmes rencontrés avec les entreprises », édité par la DGCCRF : le signalement remonte à la répression des fraudes et l’entreprise peut être invitée à répondre ou à se corriger — c’est un signalement, pas une procédure individuelle. Cybermalveillance.gouv.fr, gratuit, porte les fiches réflexes « hameçonnage » et « usurpation d’identité » et la marche à suivre si des documents sont déjà partis. Filigrane Facile et l’application France Identité sont l’un et l’autre gratuits. Le médiateur de la consommation dont relève le vendeur est gratuit pour le consommateur : il suppose une demande écrite préalable restée sans effet, compte environ trois mois, et rend un avis que le professionnel n’est pas tenu de suivre ; ses coordonnées figurent dans les conditions générales de vente. Le Centre européen des consommateurs France est gratuit, mais uniquement pour un vendeur établi dans un autre État de l’Union. Enfin le dépôt de plainte est gratuit si une pièce transmise a été réutilisée (art. 226-4-1 du code pénal). Pour un vendeur non identifiable ou établi hors de l’Union, aucune de ces voies n’a de prise : il ne reste que la banque et la plainte.
Dans quels cas nous appeler
La règle générale se lit ci-dessus. Ce qui la fait basculer d’un régime à l’autre est dans vos documents, et c’est là qu’une page atteint sa limite :
- vous ne savez pas qui vous demande vraiment ces pièces — le vendeur lui-même, ou un portefeuille, une cagnotte de place de marché ou un paiement fractionné qui, eux, relèvent d’une obligation légale de vérification ;
- la liste des pièces réclamées mélange plusieurs natures de documents et vous voulez comprendre lesquelles sortent du cadre et lesquelles ne s’apprécient qu’en proportion ;
- votre commande est retenue depuis des semaines et vous ne savez pas quel texte s’applique, ni ce que « notifier la suspension du paiement » veut dire concrètement par rapport à une mise en demeure ;
- le vendeur est établi hors de l’Union européenne, ou vous ne parvenez pas à identifier la société derrière le site : la plupart des voies décrites plus haut n’ont alors aucune prise, et mieux vaut le savoir avant d’y consacrer des semaines ;
- un délai court en ce moment : les treize mois de l’article L. 133-24 depuis un débit que vous contestez, ou les documents déjà envoyés à un destinataire dont vous doutez.
Notre assistance vous explique quelle règle s’applique à votre situation, quel texte fonde une demande de documents et lequel la borne. Personne ne peut apprécier à votre place la légitimité d’un message que vous seul avez sous les yeux.
Un même message, mot pour mot, ne se juge pas de la même façon selon qu’il émane d’un vendeur de biens courants, tenu à rien, ou d’un prestataire de paiement soumis par la loi à la vérification d’identité — et cette page ne peut lire ni l’adresse réelle de l’expéditeur, ni la liste exacte des pièces réclamées, ni ce que votre relevé bancaire porte déjà.
Contactez notre service d’assistance
Appeler le 3240
Service facturé 3 € par appel + prix d’un appel, après diffusion du message tarifaire gratuit en début d’appel. Disponible 24 h/24, 7 j/7.
Ce que fait — et ne fait pas — le 3240. Nous vous expliquons la règle applicable à une demande de documents d’identité formulée pour valider une commande. Nous n’accédons à aucun dossier, ne contactons ni le vendeur, ni sa banque, ni la vôtre à votre place et n’engageons aucune démarche pour vous. Nous n’examinons aucun message reçu et ne certifions la légitimité d’aucune demande.
Questions fréquentes
Un site marchand a-t-il le droit de demander une copie de ma pièce d’identité ?
Il peut la demander : aucune interdiction générale n’existe. Mais la collecte n’est licite que si elle est nécessaire à une finalité déterminée, le RGPD limitant les données à ce qui est « adéquat, pertinent et limité à ce qui est nécessaire au regard des finalités » (article 5, paragraphe 1, point c), et exigeant en outre une base légale (article 6). La lutte contre la fraude est une finalité que la CNIL admet. Vous pouvez refuser ; refuser ne crée ni dette ni pénalité.
Peut-on me demander une photo de ma carte bancaire ?
Non, et c’est le seul repère qui tranche à lui seul. La CNIL a recommandé que « le responsable de traitement, ou son prestataire, ne peut demander la transmission de la photocopie ou de la copie numérique du recto et/ou du verso de la carte de paiement, même si le cryptogramme visuel et une partie des numéros sont masqués ». Elle rattache cette position à l’obligation de sécurité de l’article L. 133-16 du code monétaire et financier, qui pèse sur vous.
Ma commande peut-elle rester bloquée tant que je n’envoie rien ?
Le calendrier continue de courir. Le professionnel délivre le bien à la date indiquée et, à défaut d’indication ou d’accord, « sans retard injustifié et au plus tard trente jours après la conclusion du contrat » (art. L. 216-1 du code de la consommation). Passé ce terme, l’article L. 216-6 ouvre la notification d’une suspension du paiement, ou la résolution après mise en demeure assortie d’un délai supplémentaire raisonnable. Ces textes n’obligent pas le vendeur à délivrer : ils défont le contrat.
Pourquoi la réponse dépend-elle de mon cas ?
Parce que les textes applicables changent selon des éléments que seule la personne concernée a sous les yeux. Un vendeur ordinaire n’est soumis à aucune obligation de vérification d’identité ; un portefeuille, une cagnotte de place de marché ou un paiement fractionné y sont tenus par l’article L. 561-5 du code monétaire et financier. Une commande simplement retenue relève du code de la consommation ; un débit contesté relève des articles L. 133-18 et L. 133-24, avec d’autres délais.
Mis à jour le