En avril 2026, la police espagnole a démantelé à Grenade un réseau qui avait escroqué environ 300 personnes de plus de 400 000 euros. Le point de départ : une employée d'une boutique de téléphonie qui copiait les cartes d'identité des clients. Deux téléphones saisis contenaient plus de 1 000 photos de pièces d'identité ; elles servaient à obtenir des cartes SIM prépayées, puis des crédits à la consommation. « Casi nadie es consciente de que con su DNI se pueden hacer este tipo de negocios », presque personne n'a conscience qu'on peut faire ce genre d'affaires avec sa carte d'identité, a commenté le chef de la police provinciale de Grenade, Rafael Rodríguez (Vozpópuli).
L'Espagne est sans doute le pays européen où la photocopie de la carte d'identité, le DNI, est la plus débattue. Son autorité de protection des données a pris position, a sanctionné, et le pays a déployé une alternative numérique. Le tout sur fond de contradiction : l'État lui-même exige toujours plus de données des voyageurs.
Que dit l'autorité espagnole de protection des données ?
L'AEPD, l'équivalent de la CNIL, répond sans détour : « No, generalmente no es necesario proporcionar una copia del DNI para realizar una contratación », en général, il n'est pas nécessaire de fournir une copie du DNI pour conclure un contrat. L'identité peut être vérifiée autrement, par exemple par une signature électronique. Exception notable : une législation sectorielle peut imposer cette copie, comme les règles de lutte contre le blanchiment, qui s'appliquent notamment aux banques (AEPD). Même règle pour exercer ses droits sur ses données (accès, effacement…) : en règle générale, pas de copie du DNI, sauf doute raisonnable sur l'identité du demandeur (AEPD).
Son service juridique va plus loin. Dans un avis de 2023 sur les coursiers qui photographient le DNI à la remise d'un colis, d'une carte SIM ou d'un téléphone, il conclut que demander le DNI et en prendre copie serait « en principio, un tratamiento excesivo », un traitement excessif, qui ne peut pas être instauré par système mais doit s'apprécier au cas par cas (AEPD, rapport 0048/2023). En juin 2025, l'AEPD a précisé que les hébergements touristiques ne pouvaient pas exiger de copie de la pièce d'identité : sur place, « bastaría con una verificación visual del documento », une vérification visuelle suffit ; une copie « no permite verificar con certeza la identidad de la persona que lo remite », ne permet pas de vérifier avec certitude l'identité de celui qui l'envoie (AEPD). Pour un enregistrement en ligne, elle suggère un certificat numérique, un rapprochement avec le moyen de paiement ou un code envoyé par SMS ou courriel.
Des entreprises ont-elles été sanctionnées ?
Oui. Parmi les cas rappelés par Maldita.es (Maldita.es) et la presse spécialisée :
- l'opérateur Orange, 100 000 euros en juin 2022 : un coursier avait photographié le DNI d'un client lors d'une livraison ;
- un hôtel, 30 000 euros en 2022, pour avoir scanné en entier la page d'identité du passeport d'un client (Andersen) ;
- une entreprise, 20 000 euros en avril 2023, qui avait refusé de supprimer les données d'un client parce qu'il ne lui fournissait pas la copie de DNI demandée ;
- une entreprise de dépannage, 11 000 euros en mars 2024 : un employé avait photographié le DNI d'un client avec son téléphone personnel.
Attention aux titres qui annoncent, depuis l'été 2026, de « nouvelles amendes jusqu'à 100 000 euros » : selon Maldita.es, qui a interrogé l'AEPD, aucune règle n'a changé, et le montant n'est pas fixé par la loi, l'Agence appréciant chaque cas. La logique, elle, est constante : une copie de pièce d'identité n'est licite que si elle est nécessaire, et une simple vérification suffit le plus souvent.
Qu'est-ce que MiDNI ?
C'est le DNI dans le téléphone. Le décret royal 255/2025 du 1er avril 2025 a créé une version numérique de la carte d'identité, dont l'utilisation « tendrá la misma eficacia jurídica a efectos de identificación », aura la même valeur juridique pour l'identification. Toutes les personnes publiques ou privées doivent reconnaître le DNI, et les entités des secteurs public et privé avaient douze mois pour prendre les mesures nécessaires au bon fonctionnement de la version numérique (BOE, Real Decreto 255/2025).
Son intérêt tient à la minimisation. L'application permet de choisir ce qu'on montre, en trois niveaux (ministère de l'Intérieur) :
- DNI Edad (âge) : photo, nom et indication de la majorité ;
- DNI Simple : photo, nom et prénoms, sexe, validité du document (le portail MiDNI y ajoute la date de naissance) ;
- DNI Completo : toutes les données du document physique.
Le vérificateur scanne un QR code généré par la Police nationale, valable peu de temps ; les données s'affichent quelques instants et ne restent pas stockées sur son téléphone. MiDNI ne sert qu'en présence physique et avec une connexion de données : pas pour s'identifier en ligne ni signer, pas comme document de voyage, pas hors d'Espagne (MiDNI).
Sur le papier, l'acceptation est obligatoire depuis le 2 avril 2026, ce que le ministère de l'Intérieur a confirmé la veille. Dans les faits, aucune sanction spécifique n'est prévue, et, quelques jours avant l'échéance, 80 % des hôtels et commerces n'étaient pas prêts à la lire, selon une étude de Logalty citée par la presse (Xataka Móvil). Pour aller plus loin sur l'identité numérique européenne, voir Le portefeuille européen d'identité arrive.
L'État espagnol, lui, collecte-t-il moins ?
Non, et c'est le paradoxe : le registre des voyageurs. Depuis le 2 décembre 2024, le décret royal 933/2021 impose aux hébergements (hôtels, campings, locations, mais aussi plateformes et opérateurs qui servent d'intermédiaires) et aux loueurs de véhicules d'enregistrer et de transmettre au ministère de l'Intérieur bien plus de données qu'avant : jusqu'à 42 champs par client selon le secteur hôtelier, contre 9 auparavant (le gouvernement n'en compte que 13 obligatoires), dont le moyen de paiement, et de les conserver trois ans (BOE, Real Decreto 933/2021, Economist & Jurist). Des associations de consommateurs, dont l'OCU, et des professionnels du tourisme en ont demandé la suspension (OCU). Le 4 juin 2026, la Commission européenne a ouvert une procédure d'infraction contre l'Espagne : elle juge excessives certaines catégories de données, dont le paiement, et disproportionnée la conservation pendant trois ans (Xataka). Le décret reste en vigueur.
L'État qui demande aux entreprises de ne pas photocopier le DNI exige donc d'elles, au même moment, une collecte massive.
Et pour créer une société en Espagne ?
La création est largement dématérialisée : le dossier électronique unique est transmis par le système CIRCE aux organismes concernés et, avec des statuts types, la loi prévoit un rendez-vous de signature chez le notaire dans les douze heures ouvrables et l'inscription au registre du commerce dans les six heures ouvrables (BOE, loi 14/2013). Depuis la loi « Crea y Crece » de 2022, une société à responsabilité limitée peut être créée avec un capital de 1 euro (BOE, loi sur les sociétés de capitaux, art. 4). Les sociétés communiquent ensuite avec l'administration par voie électronique, généralement avec un certificat numérique de représentant, qui coûte 14 euros hors taxes pour deux ans (FNMT). Le parcours français est décrit dans Créer son entreprise, côté papiers.
Le Bulletin officiel du registre du commerce (BORME) publie les nominations des dirigeants avec leur seul nom. Le numéro de DNI n'y est pourtant pas absent : dans l'édition de Madrid du 16 octobre 2026, nous l'avons trouvé en clair dans des mentions libres, par exemple quand un dirigeant remplace son numéro d'étranger par un numéro de DNI (BORME).
Que peut en retenir un entrepreneur français ?
Une copie de carte d'identité n'est pas anodine. Le cas de Grenade le montre : un millier de photos de pièces d'identité ont suffi à obtenir des crédits au nom de 300 personnes. En France aussi, les pièces d'identité volées servent à ouvrir des comptes (voir Ouvrir un compte pro sans tout envoyer).
Demandez-vous si une copie est vraiment nécessaire. La doctrine espagnole applique le principe de minimisation du RGPD, qui vaut aussi en France. Une présentation sur place, une vérification par application ou un justificatif à usage unique valent mieux qu'une photocopie.
Quand la copie est inévitable, marquez-la. Un filigrane qui indique le destinataire, l'objet et la date rend la copie plus difficile à réutiliser ailleurs. L'État français le recommande (voir Filigraner sa pièce d'identité) ; Filigrane PDF l'ajoute dans votre navigateur, sans téléverser la carte. Si vous n'avez qu'une photo, convertissez-la d'abord avec JPG en PDF.
PDFKami ne vérifie pas d'identité et ne remplace ni MiDNI ni France Identité ; il sert à préparer et marquer les copies qu'on doit envoyer.
Lexique
DNI (Documento Nacional de Identidad) : la carte nationale d'identité espagnole.
AEPD (Agencia Española de Protección de Datos) : l'autorité espagnole de protection des données personnelles.
MiDNI : application officielle de la Police nationale qui permet de présenter son DNI sur son téléphone, en ne partageant que les données nécessaires.
Minimisation des données : principe du RGPD selon lequel on ne collecte que les données strictement nécessaires.
CIRCE : système électronique espagnol de création d'entreprise, qui transmet un dossier unique aux organismes concernés.
BORME (Boletín Oficial del Registro Mercantil) : bulletin officiel où sont publiés les actes inscrits au registre du commerce.
Filigraner la copie de pièce d'identité qu'on ne peut pas éviter d'envoyer : PDFKami, dans votre navigateur.