Prouver son identité pour valider un achat : est-ce légal ?

Votre vendeur en ligne italien vous demande une copie de votre carte d’identité pour valider votre commande ? C'est ce qu'on appelle le KYC pour "Know Your Customer" ("connais ton client"). Certains vendeurs, français ou européens, cherchent juste à éviter les usurpations d’identité ou les fraudes au paiement. D'autres par contre, se servent de vos informations pour évaluer votre solvabilité, mieux vous cibler ou mieux connaître votre comportement d'achat. Comment faire face à ces techniques de marketing digital ? Comment sont-elles réglementées en Europe ? Explications et conseils dans cet article.

Il n'est pas rare qu'un e-commerçant vous demande certaines informations dès le début de la commande ou avant de confirmer votre abonnement à un service. 

Il s'agit généralement de données classiques telles que votre nom, vos coordonnées postales, votre adresse email ou un numéro de téléphone. Le vendeur en ligne peut également vérifier votre adresse IP voire analyser le type de matériel utilisé (PC, smartphone, quel système d’exploitation etc.) via des logiciels. 

Certains vendeurs demandent également une copie de votre carte d'identité ou de votre passeport, ou tout autre document prouvant votre identité.

L'objectif de ces contrôles est de minimiser le risque de fraude au paiement ou l'usurpation d'identité.

Les réseaux sociaux, certaines banques... peuvent également vous demander de vous filmer en selfie, afin de s’assurer que votre compte n'est pas un faux compte ou un compte robot.

Dans le domaine financier, bancaire et des assurances, la vérification de l'identité du client est courante et permet de lutter contre le blanchiment d’argent et le financement du terrorisme. Mais dans ce secteur, les pratiques du KYC ("Know your customer"/"Connais ton client") sont très encadrées en Europe. Plus d'informations dans notre article sur les comptes bancaires bloqués.

Pour un paiement par carte, les commerçants en ligne peuvent demander (et non exiger) une preuve d’identité. Mais le client a le droit de refuser de la donner. La Commission nationale Informatique et libertés a en effet clairement indiqué que si la collecte de l’identité du titulaire de la carte n’est pas nécessaire à la transaction, elle ne doit pas être demandée. 

C'est souvent pour éviter les fraudes, que les commerçants en ligne demandent des informations personnelles aux acheteurs. Ils doivent cependant respecter les principes de protection des données du RGPD (règlement européen sur la protection des données). 

Les informations récoltées ne peuvent par exemple, être utilisées que dans un but légal et légitime. Le vendeur en ligne, les réseaux sociaux ne peuvent pas utiliser vos données pour d'autres finalités. Ils ne peuvent pas non plus les conserver au-delà d’une durée justifiée et proportionnée. Vos données doivent être mises à jour et corrigées, et effacées après un certain temps. Et seules les personnes autorisées doivent avoir accès aux informations demandées dans le cadre du "Know your customer". 

Vous devez bien sûr être informés si vos données sont inscrites dans des listes clients, vous devez y consentir et pouvoir faire opposition, y accéder et les rectifier.

Plus d’informations sur la protection de vos données personnelles dans l’Union européenne.

Les informations que vous donnez au vendeur peuvent aussi lui servir à interroger en temps réel un service dit de "scoring".  Le scoring est une technique de marketing qui consiste à analyser vos données et à vous affecter une note, un score qui vous classe selon votre probabilité d'achat, votre solvabilité, le gain ou le risque que vous pouvez générer.

Si votre scoring est bon, c'est à dire, si le pronostic sur votre comportement de paiement est bon, le vendeur en ligne pourrait vous proposer par exemple plus de moyens de paiement. Et si vous devenez un client régulier, il pourrait même vous proposer des modes de paiement plus "risqués" (cartes de crédit, paiement sur facture, prélèvements SEPA, ...) .

A contrario, si votre scoring est mauvais, vous n'aurez pas d'autres choix que de payer votre commande par anticipation.  

Pour réserver un hébergement dans l’Union européennene, certains hôteliers ou propriétaires de logement demandent de leur envoyer une copie d'un pièce d’identité. Mais, en principe, vous ne devez la produire qu’à votre arrivée.

En France, comme en Bulgarie, l’hôtelier n’a en principe pas le droit de copier votre carte d’identité ou votre passeport, ni aucun autre justificatif d’identité. Si vous êtes étranger (européen ou non), vous devrez présenter un document d'identité et remplir une "fiche individuelle de police". Et ce à des fins de préventions des troubles à l’ordre public, d’enquêtes judiciaires et de recherches dans l’intérêt des personnes. Cette fiche doit rester à la disposition des services de police/gendarmerie pendant 6 mois. Au delà, cette fiche doit être détruite de façon définitive et sécurisée. 

En Allemagne, la carte d’identité ne peut pas être copiée ou enregistrée, contrairement à la Hongrie par exemple. 

Après un achat, un voyage, un séjour, un service en ligne, vous avez certainement reçu une invitation à "faire part de votre expérience", noter le produit, le restaurant, l'hôtel, le livreur, le taxi… Et bien sûr, vos commentaires sur les réseaux sociaux, vos avis en ligne, seront partagés, "likés" etc.

Ce système de notation permanente demandée à un consommateur dans tous ses comportements dans l’espace public ou en ligne, s'appelle la notation sociale (ou "social scoring" en anglais). Elle fait l'objet de débats au niveau européen. 

Le Parlement européen a adopté le 6 octobre 2021 une résolution non contraignante demandant entres autres l'interdiction des systèmes de notation sociale.

Dans son projet d’avis sur la proposition de règlement européen sur l’intelligence artificielle, la commission de la culture et de l’éducation du Parlement européen propose "d’interdire les systèmes d'intelligence artificielle permettant la notation sociale et qui peuvent conduire à des résultats discriminatoires et à l’exclusion de certains groupes".

Vous n’arrivez plus à vous connecter sur votre réseau social ? Vous ne pouvez plus accéder à votre compte sur une plateforme de partage de contenu vidéo, et ne comprenez pas pourquoi votre compte a été bloqué ? Une vidéo que vous aviez publié a été retirée, mais vous n’avez pas reçu d’explications ?

Un blocage peut avoir diverses raisons, mais est souvent causé par un non-respect des conditions d’utilisation du service, telle que la publication d’un contenu illicite par exemple (contenu haineux par exemple).

Ce blocage peut avoir été effectué en toute légalité, d’autant plus que le règlement européen Digital Services Act (DSA)qui s’applique aux très grandes plateformes en ligne et moteurs de recherche depuis le 25 août 2023 et s’appliquera aux autres plateformes en ligne européennes ou visant des consommateurs européens à compter du 17 février 2024, renforce les règles en matière de modération de contenu.

Ce règlement prévoit qu’en cas de publication de contenus illicites ou d’usage de la plateforme incompatible avec ses conditions générales, la plateforme peut retirer un contenu que vous auriez publié par son biais, suspendre votre compte ou du moins suspendre votre accès à ses services, après avoir émis un avertissement préalable.

La plateforme doit avoir énoncé de manière claire et détaillées dans ses conditions générales, sa politique relative aux utilisations abusives en donnant des exemples de faits et circonstances permettant de comprendre ce qu’est une utilisation abusive et les durées de suspension fixées.

Elle peut parfois aller plus loin en fonction de la gravité des contenus publiés ou de l’utilisation abusive de ses services, et décider de clôturer définitivement votre compte ou de restreindre définitivement votre accès à un ou plusieurs de ses services.

Elle doit par contre dans tous les cas vous faire part de façon claire et compréhensible des éléments suivants :

• les faits et circonstances qui l’ont amené à prendre cette décision ;
• l’éventuelle existence de moyens automatisés utilisés pour prendre cette décision ou détecter le contenu illicite ;
• les raisons pour lesquelles les contenus concernés sont considérés comme illicites ;
• en cas de décision prise du fait d’un non-respect de ses conditions générales,  vous indiquer quelle est la clause qui n’aurait pas été respectée.

Enfin, la plateforme doit vous informer de vos possibilités de recours (mécanisme interne de traitement, règlement extrajudiciaire du litige, recours judiciaire).

Elle doit en effet prévoir un système interne de traitement des réclamations vous permettant de contester toute décision vous concernant.  

Vous devez pouvoir avoir accès à ce système durant une durée de 6 mois à compter de la notification de suspension ou de résiliation de votre compte ou du retrait du contenu que vous aviez publié.

Vous devez ensuite pouvoir obtenir une réponse en temps opportun et non discriminatoire, et être informé de la possibilité d’accéder à un médiateur certifié et des autres possibilités de recours disponibles.

Le défaut de mise en place d’un tel système interne de traitement des réclamations est notamment passible d’une amende allant jusqu’à 6% du chiffre d’affaire mondial annuel de la plateforme concernée.