Après la vérification d'identité : que devient la pièce d'identité, et qui est responsable en cas de fuite
Une fois que la vérification d'identité tourne réellement sur votre annuaire, on a l'impression que le plus dur est fait. Le widget de téléversement fonctionne, les taux de réussite et d'échec semblent cohérents, les annonceurs qui comptent sont passés. Ce que personne ne vous remet à ce stade, c'est un plan pour la pile de documents que ce contrôle vient de produire, car un système de vérification ne consomme pas une pièce d'identité pour la faire disparaître. Il produit une photo de visage et une photo de pièce d'identité officielle, et les deux existent désormais quelque part, sur les serveurs de quelqu'un, pour une durée que personne n'a réellement décidée de façon délibérée.
Ce n'est pas un argument contre la vérification. La loi a déjà tranché cette question, et se dispenser du contrôle est de loin l'erreur la plus coûteuse. C'est un argument sur ce qui se passe juste après la coche verte, la partie qui a fait mal à plusieurs entreprises en 2025 et 2026, alors qu'aucune d'entre elles n'avait fait l'impasse sur la vérification. Elles l'avaient fait correctement, puis avaient laissé le fichier qui en résultait traîner quelque part, jusqu'à ce que la mauvaise personne finisse par le trouver.
Le document ne disparaît pas une fois le contrôle validé
Du point de vue de l'annonceur, le parcours de vérification paraît simple : prendre un selfie, photographier une pièce d'identité, patienter quelques secondes, être validé. En coulisses, cette opération crée un artefact, les images elles-mêmes, qui voyage d'un formulaire de téléversement jusqu'à un moteur de comparaison, puis revient avec un résultat. Que cet artefact soit supprimé au moment même où la comparaison se termine, ou conservé un jour, un mois, ou indéfiniment, relève d'un choix de conception, et la plupart des systèmes penchent par défaut vers la conservation, car supprimer selon un calendrier est une fonctionnalité que quelqu'un doit construire et maintenir, alors que ne rien faire ne coûte rien.
Le coût réel de ce choix par défaut est devenu public en juillet 2025, lorsqu'une fuite de données chez l'application de sécurité pour rencontres Tea a exposé environ 72 000 images, dont environ 13 000 photographies de pièces d'identité officielles et de selfies de vérification soumis avant février 2024. La politique de confidentialité de Tea affirmait pourtant que les photos de vérification étaient supprimées immédiatement après usage. Ce n'était pas le cas : les images étaient restées stockées dans un espace de stockage cloud non sécurisé, un système hérité que personne n'avait pris la peine de vider une fois le produit passé à un système plus récent.
La leçon n'a rien à voir avec les applications de rencontres en particulier et tout à voir avec le mécanisme, qui est générique à toute entreprise externalisant un contrôle derrière un simple widget. Une politique de confidentialité est une promesse, pas un fait établi sur votre infrastructure. Si vous êtes incapable de citer le nombre exact de jours entre le moment où un annonceur téléverse une pièce d'identité et celui où cette pièce a disparu de tous les systèmes qui l'ont touchée, sauvegardes comprises, vous ne savez pas réellement ce qu'est votre politique, seulement ce qu'elle affirme.
Un second incident survenu la même année a illustré l'autre façon habituelle dont les choses tournent mal : faire transiter une donnée sensible par un système généraliste plutôt que par un système dédié. La fuite de données chez Discord en octobre 2025 remontait à un prestataire externe de support client compromis, car les recours en matière de vérification d'âge, y compris les photos de pièces d'identité téléversées, avaient été acheminés via le même système de tickets que celui utilisé pour les réclamations ordinaires. Discord a confirmé qu'environ 70 000 images de pièces d'identité et selfies avaient été exposés, ainsi que des noms, des identifiants, des adresses e-mail et des informations de facturation limitées, et l'entreprise a depuis cessé complètement de faire transiter des documents par le support généraliste.
Pourquoi perdre une pièce d'identité liée à votre annuaire coûte plus cher que perdre la pièce seule
Une pièce d'identité officielle qui fuite à elle seule est déjà un vrai problème pour la personne sur la photo, mais une pièce d'identité que le jeu de données étiquette en plus comme appartenant à un annonceur vérifié sur un site d'annonces pour adultes relève d'un problème d'un tout autre ordre, car c'est l'étiquette elle-même qui fait le dommage. Cette étiquette rattache à la vie de cette personne un fait qu'elle n'avait pas choisi de rendre public, et c'est cette combinaison qui transforme une notification de fuite banale en action en justice, ou, dans certains cas documentés, en extorsion visant la personne dont les données ont fuité plutôt que l'entreprise qui les a perdues.
Les régulateurs traitent déjà ce type d'association comme sensible en tant que tel, indépendamment de toute photo ou de tout message pris isolément. Au titre du RGPD, les données révélant la vie sexuelle ou l'orientation sexuelle d'une personne font partie du petit ensemble de catégories particulières qui exigent un seuil juridique bien plus élevé pour être traitées, quel que soit le cas. L'autorité norvégienne de protection des données a infligé à l'application de rencontres Grindr une amende d'environ six millions et demi d'euros en décembre 2021, confirmée en appel en 2025, précisément parce que le simple fait de partager avec des partenaires publicitaires l'information qu'une personne était utilisatrice de Grindr a été jugé lui-même susceptible de révéler son orientation sexuelle. Aucun message ni aucune photo n'a eu besoin de fuiter pour que l'amende s'applique ; c'est l'appartenance elle-même qui constituait le fait sensible.
Le même raisonnement s'applique presque sans adaptation à un annuaire de petites annonces. Une pièce d'identité officielle qu'un jeu de données piraté marque en outre comme appartenant à un annonceur vérifié sur votre plateforme constitue une donnée personnelle assortie d'un fait de vie déduit que la personne concernée n'a jamais accepté de rendre public, et tous les cadres de responsabilité construits autour des violations de données traitent cette combinaison comme plus grave qu'une fuite ordinaire de numéros de carte bancaire chez un commerçant. C'est en grande partie ce qui explique que les amendes et les procès dans ce coin d'internet soient plus élevés que ce que laissent penser les gros titres de fuites de données, dont la plupart des entreprises pensent à tort qu'ils ne les concernent pas.
Concrètement, cela devrait changer ce qui compte comme une sécurité adéquate de votre côté, même si c'est le prestataire qui détient le fichier. Une base de données de mots de passe et une base de données qui associe une pièce d'identité officielle à l'appartenance à une plateforme n'engagent pas le même devoir de vigilance, et ni un régulateur ni un journaliste ne les traiteront de la même façon après un incident. Il vaut mieux décider, avant que quoi que ce soit n'arrive, que cette seconde catégorie mérite un niveau d'exigence supérieur à celui que votre politique générale applique actuellement aux données clients, car ce n'est pas après un incident que cette décision se prend bien.
Le piège de la conservation : sanctionné pour ce que vous avez gardé, que cela ait fuité ou non
Les affaires Tea et Discord impliquent toutes deux une fuite de données, c'est-à-dire qu'un attaquant extérieur a dû agir. L'autorité espagnole de protection des données a montré l'autre chemin menant au même résultat en mars 2026, en infligeant à Yoti, l'un des prestataires spécialisés dans la vérification d'identité et d'âge, une amende de neuf cent cinquante mille euros sans qu'il y ait eu la moindre fuite. Yoti a été sanctionnée pour ce qu'elle conservait simplement dans ses dossiers, en attendant que personne ne le demande.
Le détail de cette amende mérite d'être lu attentivement, car chaque ligne décrit une pratique commerciale ordinaire et bien intentionnée plutôt qu'une faute manifeste. Cinq cent mille euros concernaient la façon dont les données biométriques étaient traitées au regard des règles du RGPD sur les catégories particulières de données. Deux cent mille euros concernaient la conception du recueil du consentement : les utilisateurs pouvaient passer l'écran de la politique de confidentialité sans jamais l'ouvrir, et étaient par défaut inscrits à la réutilisation de leurs données biométriques à des fins de recherche interne, à moins qu'ils ne trouvent et ne décochent une case. Les deux cent cinquante mille euros restants concernaient une conservation jugée excessive, notamment des données de géolocalisation conservées cinq ans après avoir rempli leur unique rôle, à savoir déterminer quelle règle d'âge s'appliquait lors de l'inscription, et des gabarits biométriques conservés aussi longtemps qu'un compte restait actif, plus trois années supplémentaires après la dernière utilisation.
Chacun de ces choix de conservation reposait sur une justification qui semblait défendable : la géolocalisation au cas où une règle devrait être revérifiée, les gabarits biométriques au cas où un annonceur revenant devrait être revérifié, l'accès à des fins de recherche pour améliorer le produit. Or, une justification qui semble défendable n'est pas la même chose qu'une durée de conservation rattachée à une finalité précise et déclarée, et le régulateur a sanctionné une entreprise construite justement autour d'une vérification bien menée pour avoir confondu les deux. Yoti a fait appel, et l'exécution de la sanction aurait été suspendue en avril 2026 dans l'attente de cet appel ; il faut donc considérer cette affaire comme un avertissement en cours plutôt que comme un dossier clos, mais le principe selon lequel le compteur de conservation doit suivre une finalité, et non une simple commodité, ne fait pas partie de ce qui est contesté en appel.
La conséquence pratique est simple à énoncer et facile à négliger : votre contrat avec le prestataire doit préciser une durée de conservation en jours, rattachée à une finalité déclarée, pour chaque catégorie de données que produit le contrôle. Si un prestataire est incapable de vous fournir ce chiffre par écrit, c'est qu'il ne l'a pas non plus décidé, et ni lui ni vous ne pourrez le justifier plus tard, que ce soit devant un régulateur ou face à un annonceur demandant ce qu'est devenue sa pièce d'identité.
Les questions à poser réellement à un prestataire de vérification avant de signer
Dans la plupart des configurations, ce n'est pas vous qui faites tourner le logiciel de vérification. C'est un prestataire spécialisé qui s'en charge, et c'est la bonne répartition des tâches : les contrôles d'identité qui repèrent réellement les fausses annonces relèvent d'une discipline étroite et lourde en responsabilité, qu'une petite équipe ne devrait pas construire elle-même à partir de rien. Mais au regard du droit de la protection des données, l'exploitant qui a décidé de mettre en place ce contrôle reste généralement le responsable du traitement, tandis que le prestataire n'est qu'un sous-traitant, et l'erreur d'un sous-traitant retombe malgré tout sur la responsabilité de l'exploitant envers la personne dont le document a fuité. C'est pourquoi c'est le contrat avec le prestataire, et non un ticket de support envoyé une fois le problème survenu, qui doit régler ces questions.
Demandez d'abord si le contrôle ne renvoie qu'un résultat de réussite ou d'échec assorti d'un score de confiance, ou si l'image elle-même transite et séjourne, à un moment donné, sur votre propre infrastructure. Un prestataire conçu autour d'un principe de vérification suivie d'une suppression immédiate, comparant le document puis le supprimant dans la même opération plutôt que de le stocker pour plus tard, élimine l'essentiel de ce risque par la conception même du système, plutôt que par une promesse contractuelle qu'il faut croire sur parole et revérifier sans cesse.
Demandez le délai exact de suppression en jours, inscrit dans le contrat plutôt que cité depuis une page marketing, et demandez ce qu'il advient des sauvegardes. Un système qui supprime la copie active selon un calendrier donné mais conserve une sauvegarde de quatre-vingt-dix jours a, dans les faits, une durée de conservation de quatre-vingt-dix jours, quel que soit le chiffre annoncé en façade, et c'est exactement dans cet interstice que les images de Tea ont survécu bien au-delà de leur suppression supposée.
Demandez qui notifie qui, et dans quel délai en heures, si le prestataire lui-même subit une fuite de données. C'est vous, et non le prestataire, qui devrez peut-être rendre compte à un régulateur, et un délai de notification de soixante-douze heures ne peut pas être respecté pour une fuite dont vous apprenez l'existence trois semaines plus tard. Ayez la réponse prête avant d'en avoir besoin : c'est à peu près le même dossier qu'un prestataire de paiement exige déjà avant d'approuver votre compte, donc le mettre par écrit une fois sert les deux objectifs. Imposez au prestataire, par contrat, un délai plus court que celui que vous devez vous-même respecter envers votre régulateur, afin d'avoir le temps d'agir avant que le vôtre n'expire.
Demandez, enfin, ce que le prestataire fait de l'image pour des finalités qui dépassent le contrôle lui-même : entraînement de modèles, bases de données antifraude partagées avec ses autres clients, recherche interne. Exigez une réponse écrite claire, par oui ou par non, plutôt que d'accepter le silence comme une réponse, car c'est précisément un silence déguisé en inscription par défaut qui a permis à la conception du consentement à la recherche chez Yoti de tenir aussi longtemps avant qu'un régulateur ne s'y penche de près.
Ce qu'il faut vraiment faire ce trimestre
Rien de tout cela n'est une raison de vérifier avec moins de rigueur. C'est une raison d'être aussi méthodique sur la façon dont les données sortent de vos systèmes, et de ceux de votre prestataire, que vous avez déjà dû apprendre à l'être sur la façon dont elles entrent. Les exploitants qui seront touchés lors de la prochaine vague d'amendes et de fuites très médiatisées ne seront pas ceux qui n'ont jamais vérifié de pièce d'identité ; ce seront ceux qui l'ont fait correctement sans jamais se demander ce qu'il advenait ensuite.
Commencez ce mois-ci en demandant par écrit à votre prestataire actuel son calendrier de conservation, en jours, pour chaque catégorie de données que produit le contrôle, et non sous forme d'adjectifs vagues comme brièvement ou selon les besoins. S'il est incapable de produire ce chiffre, cette incapacité à répondre constitue en elle-même un résultat, et elle en dit plus long sur le risque que vous portez que n'importe quelle brochure commerciale.
Fermez tout circuit dans lequel un agent du support, une personne chargée d'examiner les recours, ou vous-même, finit par recevoir une photo de pièce d'identité par e-mail ou via un système de tickets généraliste, au lieu du circuit de vérification dédié. Si un tel circuit existe quelque part dans votre activité, il constitue presque certainement votre plus grande exposition au risque, et contrairement à la plupart des corrections dans ce métier, le fermer ne coûte rien d'autre que la décision de le faire.
Intégrez, par écrit, une durée de conservation maximale et un délai de notification en cas de fuite dans le prochain renouvellement de contrat, et planifiez tous les deux trimestres une vérification de la pratique réelle du prestataire, pas seulement de sa page de politique. Une promesse vraie le jour où vous avez signé n'est pas garantie de l'être encore un an plus tard, et les entreprises sanctionnées ou victimes de fuites en 2025 et 2026 l'ont surtout appris par un régulateur ou un pirate informatique plutôt que par leur propre contrôle interne.
