L’opérateur ORANGE sanctionné pour avoir exigé des photos de la carte d’identité des clients lors de la livraison de matériel

L’autorité espagnole de protection des données (AEPD) a sanctionné la société ORANGE ESPAGNE, le 16 mars 2023, pour ne pas avoir limité la collecte de données personnelles conformément aux exigences du RGPD.

Lorsqu’un client d’ORANGE passait commande, l’opérateur demandait au transporteur GLS de livrer l’appareil commandé au client en suivant une procédure bien particulière. Au moment de la livraison, le livreur avait pour consigne de vérifier que le numéro de la carte d’identité présentée par le client corresponde bien avec le numéro présent dans le système puis, si les numéros correspondaient, de prendre une photo recto-verso de la carte d’identité.

Les photos étaient prises à partir d’une application dédiée sur l’appareil du livreur, qui les envoyait à ORANGE. Ces données étaient ensuite conservées pendant quatre ans « dans le seul but de vérifier que la procédure s’est déroulée correctement ».

L’opérateur a expliqué avoir un « intérêt légitime » à procédé de la sorte, mais l’autorité espagnole n’a pas été du même avis.

L’AEPD a rappelé que le principe de « minimisation des données » du RGPD indiquait que les données devaient être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités »^[1].

En l’espèce, l’AEPD a jugé que « le traitement des images des cartes d’identité est excessif dans le but de vérifier et de déterminer que le destinataire des marchandises est la même personne que celle qui a conclu le contrat », car « il existe d’autres procédures permettant de vérifier l’identité du destinataire et de s’assurer qu’il s’agit bien de la personne à laquelle le produit est destiné, sans qu’il soit nécessaire de photographier sa carte d’identité au moyen de l’application contenue dans le téléphone portable du livreur de l’entreprise de distribution ».

Ce jugement est également motivé par le fait que les cartes d’identité contiennent « non seulement le nom et le prénom, le numéro et la photographie du destinataire, mais aussi de nombreuses autres données : signature, adresse, lieu et date de naissance, mot de passe pour accéder aux informations qu’il contient, date de délivrance, date de validité, code alphanumérique, équipe et bureau de délivrance, etc. », c’est-à-dire « des données qui ne sont ni adéquates, ni pertinentes, ni limitées à l’objectif de la livraison des biens ».

Un autre moyen « moins attentatoire à la vie privée des personnes » aurait, par conséquent, dû être utilisé.

L’AEPD a, par ailleurs noté, qu’une copie de la carte d’identité était déjà demandée au client au moment de passer commande. Cette procédure était donc peut-être destinée à vérifier non pas l’identité du client, mais si le livreur effectue bien les contrôles nécessaires avant de transmettre le colis : « quel besoin ORANGE a-t-il de photographier un document qu’il a déjà en sa possession ? ».

Une amende de 100 000 € a été prononcée contre ORANGE ESPAGNE, soit 0,00023% du chiffre d’affaires du groupe ORANGE.

Lire :

• La décision de l’AEPD n° PS/00413/2021 du 16 mars 2023 concernant la société ORANGE ESPAGNE (en espagnol)

Ma réaction à cette décision

Au moment de passer commande, ORANGE demandait au client de fournir le numéro de sa carte d’identité ainsi qu’une photo. Lors de la livraison, le livreur était donc en mesure de s’assurer que la personne à qui il transmettait le colis était bien physiquement en possession de la carte d’identité utilisée au moment de la commande.

Le fait de prendre une photo de la carte, en plus, n’apportait pas de garantie supplémentaire. Cela ne permettait pas de s’assurer que la personne qui réceptionnait le colis était bien celle de la carte d’identité. Si une personne transmettait sa carte à un tiers, la personne en possession de la carte pouvait toujours réceptionner le colis.

En réalité, ORANGE a mis cette procédure en place, non pas pour se protéger d’une fraude du client, mais d’une fraude du livreur. En exigeant de prendre une photo, l’opérateur voulait une preuve que le livreur avait bien sous les yeux la carte d’identité de la personne qui a passé commande.

ORANGE a donc choisi de faire peser le poids de la lutte contre l’éventuelle fraude d’un livreur en collectant davantage de données personnelles sur ses clients. Ce n’est pas juste.

Pour justifier sa sanction, l’autorité espagnole s’est contentée d’indiquer à ORANGE que des alternatives plus respectueuses des données des clients existent, sans donner d’exemples. En voici un :

ORANGE aurait très bien pu communiquer un code au client, à 4 chiffres par exemple, soit au moment de la commande, soit dans un e-mail envoyé avant la livraison. Ce code n’est pas transmis au livreur. Au moment de la livraison, ORANGE demande à la personne qui réceptionne le colis de saisir ce code sur l’appareil du livreur. Si le code correspond, ORANGE a la preuve que le livreur a bien été à la rencontre de la bonne personne, c’est-à-dire celle en possession du code. Bien sûr, on pourrait bloquer la saisie de code au bout de quelques tentatives pour ne pas permettre au livreur d’essayer de nombreux codes à la recherche du vrai code.

Cette procédure nécessite probablement moins d’effort de la part d’ORANGE que celle qui a été mise en place. Surtout, cette procédure ne traite pas de données personnelles supplémentaires.

D’autres procédures peuvent être imaginées, surtout quand on a les moyens humains et financiers d’ORANGE. Je crois cependant que ce n’est pas une question de moyens, mais de volonté. L’amende devrait, par conséquent, être bien plus élevée pour faire comprendre à la société qu’elle devrait se soucier des données de ses clients.