Droit pénalGuides pratiquesPeut-on vous demander une copie de votre pièce d’identité en Espagne ? Ce que dit l’Agence de protection des données

Le document national d’identité espagnol (DNI) est l’un des éléments les plus courants de la vie quotidienne. On le présente pour ouvrir un compte, signer un contrat ou s’enregistrer dans un hôtel. Mais est-il légal qu’une entité en demande une copie dans tous ces cas ? Selon l’Agence espagnole de protection des données (AEPD), la réponse est claire : pas toujours. Le même raisonnement vaut pour les passeports et les titres de séjour des résidents étrangers.

Bien que le DNI ne figure pas parmi les catégories particulières de données définies par le Règlement général sur la protection des données (RGPD), son contenu, nom, photographie, signature, numéro d’identification, date de naissance, nationalité, en fait un document à très forte charge d’informations personnelles. Son utilisation et sa copie sont donc soumises à des limites strictes que de nombreuses entreprises et organisations ignorent encore.

Le cadre juridique applicable

En Espagne, la délivrance et l’utilisation du DNI sont régies par le décret royal 255/2025 du 1er avril, qui le définit comme un document personnel et intransmissible, protégé comme tout document public officiel. Ni le RGPD ni la loi organique 3/2018 sur la protection des données personnelles et la garantie des droits numériques (LOPDGDD) ne prévoient de réglementation spécifique sur les copies du DNI. L’AEPD a donc pris un rôle central en fixant des critères sur les cas où une copie peut être demandée et conservée, et ceux où il s’agit d’un traitement disproportionné.

Quand une copie peut être demandée

Dans certains cas, la réglementation oblige expressément les entreprises ou institutions à identifier les personnes au moyen de documents probants. La copie peut alors être justifiée.

Prévention du blanchiment de capitaux et du financement du terrorisme. La législation sectorielle impose aux banques, notaires, avocats ou assureurs de vérifier l’identité de leurs clients. Même dans ces cas, la norme privilégie les méthodes alternatives (signature électronique ou authentification numérique) et réserve la copie du document aux situations sans autre voie viable.

Obligations d’enregistrement dans les hébergements. La loi organique 4/2015 sur la protection de la sécurité citoyenne oblige les hébergements touristiques à enregistrer certaines données de leurs clients. Mais l’AEPD a rappelé qu’il n’est pas nécessaire de conserver une copie du document, seulement de noter les données exigées (nom, prénoms, numéro et type de document, date de naissance, nationalité, etc.).

Dans tous les autres cas, en l’absence de norme l’exigeant expressément, demander ou conserver une copie de la pièce d’identité constitue un traitement excessif et illicite au regard de l’article 5, paragraphe 1, point c), du RGPD (principe de minimisation des données).

Quand elle ne peut pas être demandée

Il est fréquent qu’une photocopie soit demandée par simple commodité administrative : inscription dans une salle de sport, réservation, souscription d’un service ou même exercice des droits en matière de données. L’AEPD a été catégorique : la collecte de copies de pièces d’identité ne peut pas être instaurée comme pratique générale. Chaque demande doit être justifiée au cas par cas, avec une base légale claire, une finalité légitime et un traitement proportionné au risque. Le responsable du traitement doit en outre réaliser une analyse des risques et documenter les mesures de sécurité adoptées conformément aux articles 24 et 32 du RGPD.

Principes clés à respecter

Minimisation : seules les données indispensables à la finalité concrète peuvent être traitées. Proportionnalité : on ne peut pas collecter plus d’informations que nécessaire. Sécurité : la copie doit être conservée avec des mesures adéquates contre les accès non autorisés et les fuites. Alternatives moins intrusives : il faut privilégier la vérification visuelle, la numérisation partielle (en masquant les données inutiles) ou l’identification électronique.

La position de l’AEPD

Dans ses décisions les plus récentes, l’AEPD a souligné que le numéro de la pièce d’identité est une donnée particulièrement sensible, car son usage abusif peut faciliter des fraudes, des usurpations d’identité ou des accès non autorisés à des services numériques. L’Agence limite donc la licéité du traitement des copies aux cas où existe une habilitation normative expresse. Dans tout autre scénario, le traitement est considéré comme disproportionné et inutile. Fonder la demande sur l’intérêt légitime du responsable est, en pratique, difficile à soutenir : réussir le test de mise en balance entre les intérêts de l’entreprise et les droits de la personne est très complexe lorsque la donnée traitée présente un risque élevé pour la vie privée.

Le message est clair : tout n’est pas permis pour vérifier une identité. Les entités doivent évaluer soigneusement si elles ont réellement besoin de conserver une copie du document ou s’il existe des alternatives moins intrusives. Le respect du principe de minimisation évite non seulement des sanctions, mais renforce la confiance dans une gestion responsable des informations personnelles.

Si votre document a été utilisé sans votre autorisation

La remise indue d’une copie de pièce d’identité est souvent le premier maillon d’une usurpation d’identité. Si votre document a servi à ouvrir des comptes, souscrire des services ou effectuer des prélèvements, il s’agit d’une usurpation d’identité pénalement poursuivable, souvent liée à l’escroquerie sur internet et à d’autres infractions informatiques. Les premières heures sont décisives : il faut préserver la preuve, bloquer les prélèvements et déposer plainte avec la documentation adéquate.

Résidents étrangers : passeport, NIE et titre de séjour

Les critères de l’Agence de protection des données s’appliquent de la même façon aux documents des résidents étrangers : le passeport, le certificat de NIE et la carte de séjour (TIE). Tous contiennent les mêmes catégories de données personnelles, et le passeport y ajoute la signature et la nationalité, de sorte que leur copie sans base légale est tout aussi disproportionnée. En pratique, les résidents étrangers se voient demander des copies plus souvent, parce que les organisations supposent à tort qu’un document étranger exige davantage de vérification. La règle est la même : l’organisation peut contrôler le document et noter les données dont elle a besoin, mais ne peut conserver une copie que lorsqu’une norme spécifique l’exige, comme pour les banques et les autres entités soumises aux obligations de prévention du blanchiment.

Comment s’opposer et où se plaindre

Lorsqu’une copie est demandée sans justification, la personne peut demander quelle norme l’exige et à quelle finalité elle répond, et proposer les alternatives admises par l’Agence : présenter le document, permettre une vérification visuelle ou fournir une copie partielle avec les données inutiles masquées. Si l’organisation insiste, il est possible de déposer une réclamation auprès de l’Agence espagnole de protection des données, qui a sanctionné des entreprises pour avoir conservé des copies de pièces d’identité sans base légale. Le Règlement général sur la protection des données permet des amendes allant jusqu’à vingt millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial pour la violation des principes de base du traitement, dont la minimisation des données.

Lorsque la copie a déjà été détournée

Lorsqu’une copie du document a servi à ouvrir des comptes bancaires, souscrire des crédits ou des contrats téléphoniques ou effectuer des achats, la personne est confrontée à une usurpation d’identité combinée à une escroquerie. Les démarches sont les suivantes : obtenir des entités concernées la confirmation écrite qu’un contrat existe à son nom, demander copie de la documentation présentée, déposer plainte auprès de la Police nationale ou de la Guardia Civil avec toutes les preuves, et informer les fichiers d’information sur la solvabilité afin que la dette ne lui soit pas imputée. La plainte pénale est ce qui permet aux autorités de retracer qui a utilisé le document et où, et elle fonde la demande de nullité des contrats frauduleux.

Questions fréquentes

Un hôtel en Espagne peut-il conserver une copie de mon passeport ?

Non. L’hébergement doit enregistrer les données exigées du client, mais l’AEPD a indiqué qu’il n’est pas nécessaire de conserver une copie du document.

Une salle de sport ou un commerce peut-il demander une photocopie de ma pièce d’identité ?

Seulement si une norme légale l’exige expressément, ce qui n’est pas le cas des services ordinaires. À défaut, la demande viole le principe de minimisation des données.

Que faire si ma pièce d’identité a servi à ouvrir des comptes ou souscrire des services ?

Conservez toutes les preuves, contactez votre banque pour bloquer les opérations et déposez plainte au pénal pour usurpation d’identité et escroquerie dans les meilleurs délais, avec l’appui d’un avocat.

Un hôtel doit-il voir mon passeport si je suis un client étranger ?

Oui, l’hébergement doit enregistrer les données exigées par les règles de sécurité publique, mais cette obligation n’inclut pas la conservation d’une copie du passeport.

Quelles amendes une entreprise risque-t-elle pour conserver des copies sans base légale ?

Selon le Règlement général sur la protection des données, la violation du principe de minimisation peut être sanctionnée d’une amende allant jusqu’à vingt millions d’euros ou quatre pour cent du chiffre d’affaires annuel mondial.

Guides associés

• Avocat pour escroquerie sur internet en Espagne
• Avocat pour phishing en Espagne
• Politique de confidentialité

Cet article a un caractère informatif et ne constitue pas un conseil juridique. Pour un cas concret, consultez un avocat.