Jean-Marc utilise sa carte d’identité comme carte de fidélité: "Y a-t-il un risque?"

De nombreux Belges possèdent des cartes de fidélité, souvent gardées dans leur portefeuille. Ces cartes peuvent également être numériques et herbergées sur leurs smartphones grâce à une application. Mais les cartes d'identité peuvent aussi se muer en carte de fidélité.

Jean-Marc, un habitant de Beaumont, a déjà utilisé la sienne pour garder ses tickets et garanties. L'ancien informaticien a contacté notre rédaction via le bouton orange Alertez-nous car il se pose à présent des questions sur l'utilisation de ses données personnelles. 

"J’ai déjà utilisé ma carte d’identité comme carte de fidélité dans des magasins ou à l'hôpital. En faisant mes courses, je me suis demandé quelles informations étaient récoltées. Au début, ça ne m’a pas trop interpellé, comme plusieurs magasins le faisaient… C’est par après que je me suis quand même posé la question. Pourquoi la carte d’identité?", s'interroge-t-il. 

Et de poursuivre: "Quand on reçoit notre carte d'identité, nous devons par ailleurs mettre un code secret. Comme certains magasins demandent la carte d'identité afin de remplacer la carte de fidélité, à quoi sert ce code secret ? Y a-t-il un risque d'usurpation d'identité ?", s'interroge Jean-Marc.

Nous avons posé ces questions à Freedelity, une société belge spécialisée dans l’utilisation des cartes d’identité comme support aux cartes de fidélité. Freedelity travaille actuellement avec nombreuses enseignes comme Intermarché, Trafic ou encore Mediamarkt.

Quelles données sont collectées dans les magasins ?"D'un point de vue général, les données collectées sont souvent réduites aux données d'identification (nom, prénom, genre, date de naissance, adresse), ainsi que des clés techniques pour assurer une unicité des profils (hors registre national). La carte ne contient pas d'autres informations accessibles publiquement, et n'ont aucun intérêt pour un commerce. C'est ni plus ni moins que ce qu'on remplirait dans un formulaire classique, mais plus rapide", détaille Freedelity.

A quoi sert le code secret de la carte d'identité ?"Le code secret n'est utile sur la carte d'identité que pour prouver son identité (authentification) pour rentrer sur un portail, type gouvernemental, ou pour une signature (chez le notaire par exemple). La carte a trois mode d'utilisation, l'identification (qui suis-je?), l'authentification (je certifie être cette personne de manière légale), et la signature."

Comment peut-on contrôler ce que les magasins ou sites ont récolté ?"Pour les magasins qui travaillent avec Freedelity, tout est consultable sur MyFreedelity, les données peuvent y être consultées, corrigées et supprimées. Pour les enseignes qui ne travaillent pas avec nous, c'est au cas par cas, mais comme je le disais en première réponse, les données sur la carte sont assez limitées", nous dit l'entreprise.

Qu'en pense l'autorité de protection des données personnelles ? 

En Belgique, l’Autorité de Protection des Données (l’APD) vérifie le respect des normes légales et notamment du Règlement Général de Protection des Données (RGPD). Et voici les limites de l’utilisation de la carte d’identité comme carte de fidélité.

"Les opérateurs du secteur privé sont amenés, dans certaines circonstances, à demander à une personne de présenter sa carte d’identité. Dans certaines hypothèses, ils doivent en effet identifier la personne pour laquelle ils prestent ou vont prester un service. Ce n’est que si votre identification est nécessaire pour une raison claire et précise qui vous a été communiquée qu’une telle demande peut vous être faite", indique l'APD sur son site internet.

Comme ce ne sont pas des autorités publiques ou des officiers de police, les acteurs du secteur privé ne peuvent pas vous obliger à présenter votre carte d’identité (sauf habilitation légale expresse). Deux situations peuvent permettent aux acteurs du secteur privé (commerçant, bibliothèque privée, bailleur, banquier…) de lire votre carte d’identité : obtenir votre consentement préalable, libre, spécifique et éclairé, et l’existence d’une disposition légale (voir plus bas), qui les oblige à collecter vos données d’identification à l’aide de votre carte d’identité.

Que se passe-t-il si vous refuser que votre carte d'identité soit lue comme une carte de fidélité? 

"Des informations claires et précises sur les détails du traitement qui sera fait de vos données, si vous y consentez, doivent vous avoir été communiquées. Si vous refusez que votre carte d’identité soit lue, de manière électronique ou non, le service pour lequel une telle demande vous est faite doit, tout de même, vous être fourni. Aucune conséquence négative pour vous ne peut résulter de votre refus", souligne l'Autorité de Protection des Données. "De plus, lorsqu’un avantage ou un service vous est proposé, par le biais d’une application informatique qui requiert l’utilisation de votre carte, une alternative ne nécessitant pas le recours à votre carte d’identité doit vous être proposée (comme une version papier de la carte de fidélité)." 

Quelles dispositions légales peuvent imposer que l'on vous demande votre carte d'identité? 

La loi peut imposer à des acteurs du secteur privé de demander vos données d'identification via votre carte d'identité ou en prenant une photocopie ou une copie électronique de votre carte d'identité. Deux situations sont évoquées par l'Autorité de Protection des Données: 

• La loi anti-blanchiment oblige divers professionnels tels que les banques, les institutions de crédit ou les assureurs à prendre une copie, sur support papier ou électronique, de la carte d’identité de leurs nouveaux clients. Le but est d’empêcher l’ouverture de comptes ou les transferts de sommes d’argent importantes sous de faux noms ou des pseudonymes ; ce qui faciliterait le blanchiment d’argent.
• L'arrêté royal du 14 mars 2022 relatif aux services postaux habilite le prestataire de services postaux à vérifier l'identité des destinataires d'un envoi enregistré (tel qu'un envoi recommandé) ou de leur mandataire. Pour pouvoir prouver que l'identité du destinataire ou de son mandataire a bien été vérifiée, le prestataire de services postaux procède à une capture manuscrite, photographique ou électronique de la preuve d'identité.

Un commerçant sanctionné en 2019

En novembre 2019, l'Autorité de Protection des Données a sanctionné un commerçant qui demandait uniquement la présentation d'une carte d'identité pour créer une carte de fidélité. Cet acteur du secteur privé aurait dû proposer une alternative pour être en conformité avec le Règlement Général de Protection des Données (RGPD). La Chambre Contentieuse avait estimé que " la lecture et l’utilisation de toutes les données présentes sur la carte d’identité électronique dans un cadre commercial sont des traitements de données disproportionnés au regard de l’objectif de création d’une carte de fidélité. " L’amende administrative s’élevait à 10.000 €.

Le commerçant s'est toutefois défendu devant les tribunaux et l'amende a été "cassée" car "elle aurait dû être précédée d’une réprimande". Le client avait par ailleurs refusé de montrer sa carte d’identité, le commerçant ne l’avait donc pas utilisée. L’infraction n'a pas pu être clairement définie, mais l’affaire n'est pas encore conclue car l’Autorité de Protection des Données a introduit un recours en cassation.