Achat d’or et carte d’identité : risques, RGPD et protection

Achat Or et Argent, Contenu Educatif, Sécurité Or et Argent

25 mars 2026

En résumé : En France, acheter de l’or ou de l’argent chez un professionnel implique obligatoirement de fournir une pièce d’identité. C’est la loi — pas un caprice des boutiques. Mais cette obligation crée des bases de données sensibles qui, en cas de piratage, pourraient exposer les acheteurs à des risques physiques réels : cambriolages ciblés, extorsions, séquestrations. Le piratage de Ledger en 2020 a montré ce que cela donne dans le monde des cryptomonnaies. Ce guide explique pourquoi votre carte est exigée, ce que les boutiques doivent mettre en place pour la protéger, et comment exercer vos droits RGPD — avec un modèle de lettre prêt à l’emploi.

Pourquoi les boutiques d’or exigent votre carte d’identité

Ce n’est pas de la curiosité. Trois obligations légales contraignent les professionnels des métaux précieux à vérifier et enregistrer votre identité :

La lutte contre le blanchiment (LCB-FT). Le Code monétaire et financier impose aux professionnels le KYC (Know Your Customer — Connaissance du client). Les métaux précieux sont des actifs extrêmement liquides et par nature anonymes une fois en main. La loi exige donc une identification formelle de chaque acheteur et vendeur pour s’assurer que les fonds ne sont pas d’origine frauduleuse.

La traçabilité fiscale. En France, la revente de métaux précieux est soumise à taxation — soit la taxe forfaitaire de 11,5 %, soit le régime des plus-values avec abattement. L’administration fiscale exige une traçabilité complète des transactions, ce qui implique une identification nominative à chaque opération.

L’interdiction des paiements en espèces. Depuis 2011, il est strictement interdit d’acheter des métaux précieux en liquide en France, quel que soit le montant. Le paiement doit se faire par carte bancaire, chèque ou virement. La pièce d’identité permet de vérifier que la personne au comptoir est bien le titulaire du compte bancaire utilisé.

Les boutiques sont donc légalement tenues de conserver une copie de votre pièce d’identité, votre adresse, votre email, votre numéro de téléphone et le détail exact de ce que vous avez acheté. Et elles doivent garder ces données entre 5 et 10 ans selon les obligations. Toutes les boutiques en ligne référencées appliquent ces règles — c’est une condition sine qua non pour avoir le droit de vendre de l’or.

Le risque réel : le scénario Ledger appliqué à l’or

En 2020, l’entreprise Ledger — fabricant de portefeuilles physiques pour cryptomonnaies — a été piratée. Plus de 270 000 adresses physiques, noms et numéros de téléphone de clients se sont retrouvés en libre accès sur le dark web. Les conséquences n’ont pas été virtuelles : des familles ont subi des extorsions, des menaces de mort et de véritables séquestrations à domicile par des criminels qui savaient exactement où ils habitaient et ce qu’ils possédaient.

Le parallèle avec le marché de l’or est direct et inquiétant. Les boutiques d’or en ligne détiennent des bases de données contenant votre carte d’identité, votre adresse de livraison et l’historique détaillé de vos achats. Un pirate qui accède à ces données sait exactement combien de kilos d’argent ou d’onces d’or se trouvent potentiellement chez vous.

Et le risque est potentiellement plus grave avec l’or qu’avec les cryptomonnaies. Voler du Bitcoin nécessite de forcer la victime à effectuer un transfert numérique complexe et traçable. Voler de l’or physique est dramatiquement simple : les agresseurs prennent le métal, le fondent ou le revendent au marché noir. L’or au porteur ne laisse aucune trace une fois volé. La liquidité de l’or — son plus grand avantage pour l’investisseur — est aussi ce qui en fait une cible de choix pour les criminels.

Rappelons une règle absolue en cybersécurité : aucune base de données n’est inviolable. La question n’est pas de savoir si un piratage aura lieu, mais quand.

Ce que les boutiques doivent mettre en place (RGPD)

Pour avoir le droit de scanner et de conserver vos pièces d’identité, les boutiques doivent respecter le Règlement Général sur la Protection des Données (RGPD). Ce n’est pas optionnel — c’est la loi européenne. Voici leurs obligations concrètes :

L’information claire du client. La boutique doit vous informer — via un affichage en magasin, sur la facture ou dans ses Conditions Générales de Vente — de la raison de la collecte, de la durée de conservation et de vos droits. Si aucune information n’est visible, c’est un premier manquement.

La sécurité des données. Votre carte d’identité numérisée ne doit pas traîner sur un coin de bureau ni dans un dossier non protégé sur un ordinateur. Si elle est en format papier, elle doit être conservée dans un meuble verrouillé. Si elle est numérisée, elle doit être stockée sur un serveur sécurisé, chiffré, avec des accès restreints — seul le personnel strictement autorisé peut la consulter.

La minimisation des données. La boutique ne doit collecter que ce qui est strictement nécessaire par la loi : nom, prénom, date de naissance, adresse, copie de la pièce d’identité. Elle n’a pas le droit de demander des informations superflues (situation familiale, revenus, etc.).

Le registre des traitements. La boutique doit tenir un document interne prouvant à la CNIL qu’elle sait exactement quelles données personnelles elle détient, où elles sont stockées, pendant combien de temps, et comment elles sont protégées. Ce registre est obligatoire et doit être présentable en cas de contrôle.

Le piège du droit à la suppression

C’est ici qu’il y a une idée reçue importante à corriger : on ne peut pas exiger la suppression immédiate de sa carte d’identité après un achat d’or.

L’article 17 du RGPD prévoit le « droit à l’effacement » (ou droit à l’oubli). Cependant, ce même article précise que ce droit ne s’applique pas si le traitement est nécessaire au « respect d’une obligation légale ». Or, la LCB-FT impose aux professionnels de conserver les documents d’identité pendant 5 ans minimum à compter de la transaction. Pour des raisons de contrôle fiscal et comptable, les documents liés à la facturation peuvent même être conservés jusqu’à 10 ans.

Tant que ce délai légal n’est pas écoulé, la boutique refusera la suppression — et elle sera dans son bon droit.

En revanche, vous avez un levier puissant : exiger la preuve que la boutique sécurise correctement vos données. Si elle ne peut pas démontrer qu’elle respecte ses obligations RGPD en matière de sécurité, la conservation de vos données devient illégitime — et vous pouvez exiger leur suppression sur ce fondement. C’est exactement l’objet du modèle de lettre que nous mettons à votre disposition plus bas.

4 stratégies pour réduire les risques

Puisqu’on ne peut pas acheter de l’or anonymement en France sans enfreindre la loi, la protection doit se concentrer sur la sécurité opérationnelle (OpSec) — ce que vous contrôlez en aval de l’achat.

1. Ne pas stocker l’or à son domicile

Si votre adresse fuite, la meilleure défense est que l’or ne s’y trouve tout simplement pas. Optez pour un stockage externalisé : coffres privés en France ou en Suisse, sociétés de gardiennage spécialisées. Si des criminels se présentent chez vous, ils ne trouveront rien. C’est la stratégie la plus radicale mais la plus efficace.

2. Dissocier l’adresse d’achat et l’adresse de stockage

Si vous tenez à conserver votre or vous-même, ne le faites jamais livrer chez vous par La Poste ou un transporteur (dont les bases de données peuvent aussi être piratées). Privilégiez l’achat au comptoir en boutique physique : prenez le métal en main propre. Votre carte d’identité sera scannée avec votre adresse de résidence, mais une fois sorti de la boutique, la base de données ne sait plus où va l’or. Stockez-le ailleurs : résidence secondaire, lieu connu de vous seul, ou chez un tiers de confiance.

3. La stratégie du coffre leurre

C’est un principe de sécurité opérationnelle classique. Si malgré tout votre adresse est compromise et que vous subissez une intrusion sous la contrainte, les agresseurs ne vous croiront pas si vous dites « je n’ai rien » — ils ont la base de données piratée qui prouve le contraire.

Installez un petit coffre-fort visible (entrée de gamme, 100-200 €) dans un endroit évident (chambre, bureau). Mettez-y quelques centaines d’euros en liquide, quelques pièces d’argent, éventuellement une ou deux petites pièces d’or. C’est votre « pot de miel ». Les agresseurs prendront ce butin en pensant avoir réussi et partiront rapidement, car le temps joue contre eux. Votre véritable stock, lui, doit être totalement invisible — dans un coffre lourd et dissimulé dont l’existence même est indétectable.

4. Le nettoyage numérique RGPD

Prenez le contrôle de vos données dans la durée. À chaque achat, notez dans votre calendrier un rappel à 5 ans et à 10 ans. Dès que le délai légal de conservation est expiré, envoyez une demande formelle de suppression au DPO (Délégué à la Protection des Données) de la boutique. Moins vos données stagnent sur de vieux serveurs, moins vous êtes exposé aux fuites futures.

Bonnes pratiques complémentaires : utilisez une adresse email dédiée (un alias) pour vos achats de métaux précieux — pas votre adresse personnelle quotidienne. Ne créez pas de compte client si la boutique propose l’achat en « invité ». Et surtout, ne parlez jamais de vos achats d’or — ni aux proches éloignés, ni sur les réseaux sociaux, ni à votre banquier.

Modèle de lettre RGPD : demander des comptes à votre boutique

Voici un modèle d’email que vous pouvez adapter et envoyer à n’importe quelle boutique d’or chez laquelle vous avez effectué un achat. Ce courrier utilise le RGPD comme levier : il reconnaît l’obligation légale de collecte (LCB-FT), mais exige la preuve que la sécurité est à la hauteur. Si la boutique ne peut pas prouver qu’elle protège correctement vos données, vous demandez la suppression.

Objet : Demande de transparence sur le traitement de mes données personnelles (RGPD) et demande d’effacement sous conditions
À l’attention du Délégué à la Protection des Données (DPO) ou du Responsable de Traitement.
Madame, Monsieur,
En tant que client(e) de votre établissement, j’ai été amené(e) à vous fournir une copie de ma pièce d’identité et diverses informations personnelles dans le cadre de la réglementation LCB-FT (Lutte Contre le Blanchiment d’argent et le Financement du Terrorisme).
Je suis parfaitement conscient(e) que le Code monétaire et financier et l’administration fiscale vous imposent des délais de conservation incompressibles pour ces documents (de 5 à 10 ans selon la finalité). Cependant, cette exception au droit à l’effacement prévue par l’article 17 du RGPD ne vous dispense en rien de vos obligations strictes en matière de sécurité et de minimisation des données.
Compte tenu des risques grandissants de cyberattaques et de fuites de données, je vous prie de bien vouloir m’apporter les garanties suivantes concernant le traitement de mes données personnelles :
1. Sécurité des données : Pouvez-vous me confirmer et me justifier que ma pièce d’identité numérisée est stockée sur des serveurs sécurisés et chiffrés ? Quelles sont les mesures techniques mises en place pour garantir que seul le personnel strictement autorisé y a accès ?
2. Minimisation des données : Pouvez-vous me confirmer que vous ne conservez aucune information superflue me concernant, au-delà de ce qui est strictement exigé par la loi ?
3. Conformité légale : Pouvez-vous m’attester que ce traitement de données figure bien dans votre registre des traitements, document interne obligatoire à présenter à la CNIL en cas de contrôle ?
Demande de suppression :

Si vous n’êtes pas en mesure de m’apporter des réponses claires et de me prouver que des mesures de sécurité conformes aux exigences de la CNIL et du RGPD sont effectivement mises en place pour protéger la copie de ma pièce d’identité, je considérerai que son maintien dans vos bases de données me fait courir un risque disproportionné.
Dans cette hypothèse, et malgré l’obligation légale initiale de collecte, je vous demande de procéder à la suppression immédiate et définitive de la copie de ma pièce d’identité ainsi que de l’ensemble de mes données personnelles de vos serveurs, la faille ou l’opacité de sécurité rendant leur conservation illégitime.
Si ma période légale de conservation (5 ou 10 ans selon la transaction) est d’ores et déjà échue, je vous demande d’appliquer purement et simplement mon droit à l’effacement immédiat (Article 17 du RGPD).
Conformément à l’article 12.3 du RGPD, je vous rappelle que vous disposez d’un délai d’un mois pour répondre à cette demande. À défaut, je me réserve le droit d’adresser une plainte officielle auprès de la CNIL.
Dans l’attente de votre retour précis et documenté, je vous prie d’agréer, Madame, Monsieur, l’expression de mes salutations distinguées.
[Prénom] [Nom]

[Adresse postale]

[Adresse e-mail associée au compte client]

[Numéro client / Numéro de la dernière commande]

⚠️ Avertissement : Ce modèle est un outil d’information et de pression légitime fondé sur vos droits RGPD. Il ne constitue pas un conseil juridique. Les boutiques peuvent légalement refuser la suppression tant que le délai légal de conservation (5 à 10 ans) n’est pas écoulé. En revanche, elles sont tenues de répondre sous un mois et de justifier leurs mesures de sécurité. En cas de non-réponse ou de réponse insatisfaisante, vous pouvez saisir la CNIL.

Retours d’expérience : les réponses réelles des boutiques

Nous avons envoyé ce type de demande RGPD à plusieurs boutiques d’or en France. Voici les réponses réelles obtenues — preuve que la démarche fonctionne et que les professionnels sérieux prennent le sujet au sérieux. Ces retours illustrent aussi les limites juridiques du droit à l’effacement face aux obligations légales.

Réponse de Godot & Fils

Monsieur,

Votre message relatif au traitement de vos données personnelles et à leur éventuel effacement a bien été reçu. Merci sincèrement pour la confiance que vous nous accordez et pour la vigilance que vous manifestez sur ces sujets, qui sont également au cœur de nos préoccupations.

Dans le cadre de la réglementation LCB‑FT et de nos obligations légales (Code monétaire et financier, obligations fiscales, article 17 du RGPD), notre établissement est tenu de conserver certaines données, notamment la copie de votre pièce d’identité, pendant une durée incompressible pouvant aller jusqu’à 5 ans. Ces obligations de conservation sont fixées par la loi et limitent, pendant cette période, la possibilité de procéder à un effacement complet de ces données, même en cas de demande de suppression. C’est pour cette raison que nous conserverons les éléments de votre pièce d’identité (nom, prénom, date et lieu de naissance) dans nos bases de données.

Soyez rassuré, sur le plan de la sécurité, vos documents d’identité et l’ensemble de vos données personnelles sont conservés sur des infrastructures sécurisées, avec des dispositifs techniques et organisationnels dédiés (contrôles d’accès stricts, journalisation des accès, gestion des habilitations, politiques de sécurité internes). Notre dispositif de protection des données et de conformité est régulièrement audité, tant en interne que par des intervenants externes, afin de garantir un niveau de sécurité élevé et conforme aux exigences réglementaires et aux bonnes pratiques du secteur. Seul un personnel dûment autorisé, formé à la confidentialité et à la protection des données, peut accéder à vos informations.

Pour votre information, nous avons pour objectif d’obtenir prochainement les normes ISO 27001, et ISO 27701. Ainsi, notre dispositif de protection des données et nos systèmes informatiques respectent les normes les plus strictes.

En matière de minimisation, nous veillons à ne collecter et ne conserver que les données strictement nécessaires au respect de nos obligations légales et à la gestion de la relation client. Aucune information n’est conservée à titre « de confort » ou sans finalité clairement justifiée ; à l’issue des durées légales de conservation, les données sont supprimées automatiquement.

Le traitement de vos données, incluant la conservation de la copie de votre pièce d’identité dans le cadre de la LCB‑FT, est dûment recensé dans notre registre des traitements, tenu conformément au RGPD et aux recommandations de la CNIL. Ce registre documente les finalités, les bases légales, les durées de conservation et les mesures de sécurité associées, et peut être présenté à l’autorité de contrôle en cas de vérification.

S’agissant de votre demande d’effacement, deux situations doivent être distinguées :

Lorsque la durée légale de conservation n’est pas encore échue, la loi nous impose de conserver certaines données, ce qui ne nous permet pas de les supprimer immédiatement.
Lorsque cette durée est arrivée à son terme et qu’aucune autre obligation légale ou nécessité de défense de nos droits ne justifie leur maintien, nous procédons à la suppression, conformément à l’article 17 du RGPD.

La présente réponse intervient dans le délai prévu par l’article 12.3 du RGPD et a pour objectif de vous apporter une information claire et transparente sur notre dispositif. Notre volonté est de concilier strict respect des obligations légales et haut niveau de protection de vos données, dans une relation fondée sur la confiance et la transparence.

Notre analyse : Réponse exemplaire. Godot & Fils détaille précisément ses mesures de sécurité (contrôles d’accès, journalisation, audits internes et externes), confirme la minimisation des données, mentionne son registre des traitements et annonce même un objectif de certification ISO 27001/27701. Ils confirment aussi la suppression automatique à l’expiration des délais légaux. C’est exactement le niveau de transparence qu’un investisseur est en droit d’attendre.

Réponse d’Or et Change

Monsieur,

En réponse à votre demande tendant à l’effacement de vos données (carte d’identité), vous trouverez notre réponse ci-après :

1. Durée légale de conservation imposée

Selon l’article L. 561-12 du Code monétaire et financier, les changeurs manuels doivent conserver les documents et informations relatifs à leurs relations d’affaires ou clients occasionnels, ainsi qu’aux opérations effectuées, pendant cinq ans à compter de la clôture des comptes ou de la cessation de la relation d’affaires.

2. Exigences du RGPD – Droit à l’effacement

Le RGPD consacre à son article 17 le droit à l’effacement, permettant à toute personne concernée d’obtenir du responsable du traitement l’effacement de ses données dans les meilleurs délais, notamment lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées, ou lorsque la personne retire son consentement.

3. Articulation des obligations – Prévalence des obligations légales

L’article L. 561-12 du Code monétaire et financier impose une conservation de cinq ans pour les documents des changeurs manuels. L’article 17 du RGPD précise que le droit à l’effacement ne s’applique pas lorsque le traitement est nécessaire pour respecter une obligation légale. Ainsi, l’obligation légale de conservation prime sur le droit à l’effacement tant que la durée de conservation imposée par la loi n’est pas expirée.

4. Gestion des demandes d’effacement

Nous vous informons par les présentes que votre demande d’effacement ne peut être satisfaite en raison de l’obligation légale de conservation des données pendant cinq ans. Ce refus est conforme au RGPD, qui prévoit explicitement cette exception au droit à l’effacement.

Références citées : Art. L. 561-12 du Code monétaire et financier ; Art. 17 du RGPD ; CJUE, 04-10-2024, aff. C-200/23 ; Art. D. 224-25-5 du Code de la consommation.

Notre analyse : Réponse juridiquement structurée, avec des références précises au Code monétaire et financier et à la jurisprudence européenne. Or et Change confirme le délai de 5 ans imposé par l’article L. 561-12 et refuse logiquement la suppression immédiate. En revanche, contrairement à Godot & Fils, la réponse ne détaille pas les mesures de sécurité mises en place (chiffrement, accès restreints, audits). C’est un point que vous pouvez relancer par un second courrier en demandant spécifiquement quelles mesures techniques protègent vos données.

Ce que ces réponses nous apprennent

Deux enseignements concrets pour les investisseurs :

La démarche fonctionne. Les deux boutiques ont répondu dans le délai d’un mois imposé par le RGPD, avec des réponses argumentées. Envoyer ce type de courrier n’est pas inutile — cela oblige les professionnels à se positionner clairement sur la protection de vos données et crée une trace écrite de leurs engagements.

Le niveau de transparence varie. Godot & Fils fournit un détail complet de ses mesures de sécurité et annonce une certification ISO. Or et Change se cantonne aux fondements juridiques du refus sans détailler la sécurité opérationnelle. En tant qu’investisseur, ce type de différence est une information utile pour choisir chez qui acheter — au-delà du seul prix affiché sur le comparateur.

Ce qu’il faut retenir

La carte d’identité est obligatoire pour acheter de l’or chez un professionnel en France — c’est la loi (LCB-FT), pas un choix des boutiques
Le risque de piratage est réel : les bases de données des boutiques contiennent votre identité, votre adresse et l’historique de vos achats — une carte au trésor pour les criminels
Le précédent Ledger (2020) a montré les conséquences concrètes d’une fuite : extorsions, séquestrations, cambriolages ciblés
Les boutiques doivent respecter le RGPD : serveurs chiffrés, accès restreints, minimisation des données, registre des traitements
Vous avez des droits : exigez la preuve que vos données sont correctement protégées — utilisez le modèle de lettre ci-dessus
Protégez-vous en aval : stockage externalisé, dissociation adresse/stockage, coffre leurre, nettoyage RGPD programmé
La discrétion est votre armure : ne parlez jamais de vos stocks d’or — à personne

👉 Investir dans l’or en toute connaissance de cause : comparez les prix de l’or parmi 14 boutiques en temps réel sur Rankor.fr, consultez notre guide complet pour acheter de l’or en France, et apprenez à stocker votre or en sécurité.

Questions fréquentes

Peut-on acheter de l’or sans donner sa carte d’identité en France ?

Non. La loi française (Code monétaire et financier, réglementation LCB-FT) impose à tout professionnel des métaux précieux de vérifier l’identité de ses clients. L’achat en espèces est interdit quel que soit le montant. Il n’existe aucune stratégie légale pour acheter de l’or de manière anonyme chez un professionnel en France. Les achats entre particuliers ne sont pas soumis au KYC, mais comportent des risques de contrefaçon et ne fournissent pas de facture nominative — indispensable pour la fiscalité avantageuse à la revente.

Combien de temps une boutique d’or peut-elle garder ma carte d’identité ?

La réglementation anti-blanchiment (LCB-FT) impose une conservation de 5 ans minimum à compter de la transaction ou de la fin de la relation d’affaires. Pour des raisons de contrôle fiscal et comptable, les documents liés à la facturation peuvent être conservés jusqu’à 10 ans. Passé ces délais, la boutique n’a plus de base légale pour conserver vos données et vous pouvez exiger leur suppression en invoquant l’article 17 du RGPD.

Que faire si une boutique d’or refuse de répondre à ma demande RGPD ?

L’article 12.3 du RGPD impose au responsable du traitement de répondre à toute demande dans un délai d’un mois. Si la boutique ne répond pas ou fournit une réponse insatisfaisante, vous pouvez déposer une plainte officielle auprès de la CNIL (Commission Nationale de l’Informatique et des Libertés). La CNIL peut diligenter un contrôle et sanctionner les manquements au RGPD par des amendes significatives.

Le risque de piratage concerne-t-il aussi les achats en boutique physique ?

Oui. Que vous achetiez en ligne ou en boutique physique, votre carte d’identité est numérisée et stockée dans la base de données du professionnel. Le risque de piratage est le même. La différence est que l’achat en boutique physique vous permet de repartir avec le métal en main propre, sans laisser de trace d’adresse de livraison. C’est un avantage en termes de sécurité opérationnelle : la base de données sait ce que vous avez acheté, mais pas où vous l’avez stocké.

Comment protéger son or en cas de fuite de données ?

Quatre stratégies complémentaires : ne pas stocker l’or à votre domicile (optez pour un stockage externalisé), dissocier votre adresse légale de votre lieu de stockage réel, installer un coffre leurre visible contenant un petit montant pour dissuader les agresseurs, et programmer le nettoyage RGPD de vos données dès l’expiration du délai légal. La règle d’or reste la discrétion : ne parlez jamais de vos stocks de métaux précieux.