Loi narcotrafic : ce qui change pour le KYC des opérateurs télécom

En France, un client qui ouvre une ligne mobile donne son nom, son prénom et son adresse. L'opérateur les enregistre, sans aucune obligation de les vérifier. La loi française du 13 juin 2025 "visant à sortir la France du piège du narcotrafic" change la règle. Son article 29 impose aux opérateurs de communications électroniques de vérifier l'identité civile de leurs utilisateurs, y compris sur les offres prépayées. Le principe est acté. Les modalités, elles, dépendent d'un décret encore attendu. C'est précisément le moment de préparer ses parcours.

‍

D'où vient cette obligation

‍

La mesure est née d'un constat de la commission d'enquête du Sénat sur le narcotrafic, publié en mai 2024 : les réseaux de trafic s'appuient massivement sur des cartes SIM prépayées pour rester indétectables, souvent achetées en nombre par des prête-noms qui ignorent l'identité réelle des utilisateurs finaux. La commission recommandait de sanctionner les vendeurs qui ne vérifient pas l'identité des acheteurs (recommandation n° 19).

‍

Lors de l'examen de la proposition de loi, le Sénat a adopté un amendement imposant d'identifier toute personne acquérant un service de communications prépayé, en s'inspirant des dispositifs en place en Belgique depuis 2016 et au Luxembourg depuis 2017. L'Assemblée nationale a ensuite précisé que cette identification passerait par la présentation d'un document officiel d'identité. Le texte final, devenu l'article 29 de la loi n° 2025-532, a été inscrit directement dans le Code des postes et des communications électroniques. Le Conseil constitutionnel, saisi sur la loi, ne l'a pas censuré.

‍

Ce que dit le texte

‍

L'article 29 modifie l'article L. 34-1, II bis, 1° du CPCE. Cet article imposait déjà aux opérateurs de conserver les informations relatives à l'identité civile de chaque utilisateur jusqu'à 5 ans après la fin de son contrat. La loi y ajoute 2 éléments :

• les services de communications interpersonnelles avec prépaiement sont explicitement visés ;
• les opérateurs doivent vérifier ces données d'identité civile, dans des conditions fixées par décret en Conseil d'État. Ce décret doit aussi préciser quels services de l'État ne sont pas soumis à cette vérification.

‍

Autrement dit, la conservation d'une identité déclarée ne suffit plus : l'opérateur devra être en mesure de démontrer qu'il a contrôlé l'identité de la personne derrière la ligne.

‍

Prépayé seulement, ou tous les abonnés ?

‍

C'est la principale question ouverte, et elle change l'ampleur du chantier.

‍

Lecture stricte. Tout au long des débats parlementaires, la mesure a été présentée comme ciblant les cartes SIM prépayées, principal outil d'anonymat des réseaux criminels.

‍

Lecture large. Le texte final s'insère dans une disposition qui concerne l'identité de tous les utilisateurs, et le décret doit prévoir des exemptions pour certains services de l'État. Une telle liste d'exemptions n'a de sens que si l'obligation dépasse le seul prépayé. Certains observateurs, comme La Quadrature du Net, estiment même que la rédaction pourrait englober des services de messagerie payants.

‍

Tant que le décret n'est pas publié, la prudence consiste à préparer l'ensemble des canaux de souscription, et pas uniquement l'offre prépayée.

‍

Où en est le décret

‍

Le 13 janvier 2026, devant la commission des lois du Sénat, le ministre de l'Intérieur a indiqué que le décret relatif à l'identification des acheteurs de cartes SIM prépayées devait être publié d'ici juin 2026. Le bilan de l'application des lois publié par le Sénat au 31 mars 2026 confirmait qu'il n'était pas encore pris. Tant qu'il ne l'est pas, l'obligation de vérification n'est pas applicable dans ses modalités concrètes : documents acceptés, méthodes de contrôle à distance, preuves à conserver.

La publication peut intervenir à tout moment. Un opérateur qui attend le texte pour lancer ses travaux disposera de peu de temps pour adapter ses parcours en boutique, en ligne et chez ses revendeurs.

‍

Ce que font déjà nos voisins

‍

Aucun texte européen n'harmonise l'identification du prépayé : chaque pays fixe ses propres règles. 2 voisins donnent une idée assez précise de ce que pourrait contenir le décret français.

‍

La Belgique impose l'identification des utilisateurs de cartes prépayées depuis 2017. L'arrêté royal du 27 novembre 2016, modifié en mai 2024, admet 5 familles de méthodes : présentation de la pièce en point de vente, lecture à distance de la carte d'identité électronique avec code PIN, comparaison faciale automatique entre la photo du document et le client, authentification via une application publique d'identité numérique, ou identification par un paiement électronique. La révision de 2024 a étendu la comparaison faciale aux documents étrangers et rendu systématique le contrôle du statut de la pièce (volée, périmée, invalide).

‍

L'Allemagne encadre ces vérifications à travers le §172 de sa loi télécom (TKG). Les procédés doivent contrôler l'authenticité du document, vérifier la correspondance entre la personne et la pièce, et garantir une traçabilité complète (horodatage, document utilisé, consentement). Chaque procédé d'identification à distance doit obtenir une attestation de conformité délivrée par un organisme accrédité : le régulateur a repoussé l'échéance de mise en conformité au 1er mai 2027.

Dans les 2 cas, la logique est la même : une pièce d'identité authentifiée, une preuve que le client est bien le titulaire, et une trace exploitable par les autorités.

‍

Ce que ça change concrètement pour un opérateur

‍

La vérification d'identité devient un sujet transverse à tous les canaux de distribution.

• En boutique et chez les revendeurs : le contrôle visuel d'une pièce par un vendeur ne permet ni de détecter une falsification de qualité, ni de prouver a posteriori que la vérification a eu lieu. Le sujet est encore plus sensible pour les réseaux de distribution indirecte (buralistes, relais presse, grande distribution), où le prépayé se vend en volume.
• À distance et en eSIM : l'activation d'une ligne en quelques minutes, via un QR code, est devenue la norme. Il faudra y intégrer une vérification documentaire et biométrique sans faire exploser l'abandon de parcours.
• Pièces étrangères : une part importante des utilisateurs de prépayé sont des touristes, des étudiants ou des résidents étrangers. Le parcours doit reconnaître des documents du monde entier, pas seulement la carte d'identité française.
• Prête-noms et identités usurpées : vérifier qu'une pièce est authentique ne suffit pas si elle appartient à quelqu'un d'autre. Avec la multiplication des fuites de données, les fraudeurs disposent de vraies identités complètes. La correspondance entre la personne et le document, et la détection des schémas de revente en masse, deviennent centrales.
• Traçabilité : l'opérateur doit pouvoir démontrer, pendant 5 ans, comment et quand l'identité a été vérifiée.

‍

Comment se préparer dès maintenant

‍

1. Cartographier les canaux de souscription : boutiques en propre, revendeurs, site, application, eSIM, offres prépayées, offres touristes. Pour chacun, identifier comment l'identité est collectée aujourd'hui.
2. Choisir un standard de preuve unique : vérification de l'authenticité du document, contrôle du titulaire (biométrie, liveness), conservation d'une preuve horodatée.
3. Privilégier la lecture NFC quand le document le permet : les données de la puce sont signées par l'État émetteur, ce qui offre le niveau de garantie le plus élevé, en boutique comme sur smartphone.
4. Prévoir un parcours international pour les documents hors Union européenne.
5. Mutualiser avec eIDAS 2.0 : les opérateurs télécom devront accepter le Portefeuille européen d'identité numérique d'ici fin 2027. Un parcours d'identification orchestré (wallet, NFC, documentaire) répond aux 2 échéances avec une seule intégration.

En conclusion

‍

La loi narcotrafic fait passer les opérateurs d'une identité déclarée à une identité vérifiée. Le décret précisera les méthodes admises, mais les grandes lignes sont déjà connues grâce aux exemples belge et allemand : authentification du document, contrôle du titulaire, traçabilité. Les opérateurs qui anticipent pourront intégrer ces contrôles sans dégrader leurs parcours, et en tirer un bénéfice direct sur la fraude à la souscription.

‍

Meelo équipe les opérateurs télécom d'une vérification d'identité qui fonctionne en boutique, chez les revendeurs et à distance : scan documentaire et lecture NFC sur smartphone, biométrie, score de fraude en moins de 2 secondes et détection continue du SIM swap. Demandez une démo pour évaluer vos parcours avant la publication du décret.

‍

FAQ

‍

La vérification d'identité est-elle déjà obligatoire pour les opérateurs ?Le principe est inscrit dans la loi du 13 juin 2025 (article 29, qui modifie l'article L. 34-1 du CPCE). Ses modalités concrètes dépendent d'un décret en Conseil d'État, annoncé pour 2026.

‍

La loi s'applique-t-elle en dehors de la France ?Non. C'est une loi française : elle vise les opérateurs qui commercialisent des offres en France, quelle que soit leur nationalité.

‍

Quelles offres sont concernées ?Les offres prépayées sont explicitement visées. La rédaction du texte laisse ouverte une application à l'ensemble des abonnés : le décret devra trancher.

‍

Combien de temps les données d'identité doivent-elles être conservées ?Jusqu'à 5 ans après la fin du contrat ou de l'utilisation du service, comme le prévoit déjà l'article L. 34-1 II bis du CPCE.

‍

Quelles méthodes de vérification pourraient être admises ?Le décret n'est pas publié. Les dispositifs belge et allemand admettent la présentation de la pièce en point de vente, la lecture de la puce du document, la comparaison faciale et l'identification à distance par des procédés certifiés.

‍

Quel lien avec eIDAS 2.0 ?Les opérateurs télécom devront accepter le Portefeuille européen d'identité numérique d'ici fin 2027. Un parcours d'identification unique peut répondre aux 2 obligations.

‍

Sources : Loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic, art. 29 ; Code des postes et des communications électroniques, art. L. 34-1 ; Sénat, rapport de la commission d'enquête sur l'impact du narcotrafic en France (mai 2024) ; Sénat, amendement n° 194 (2024-2025) ; Sénat, compte rendu de la commission des lois du 13 janvier 2026 ; Sénat, bilan de l'application des lois au 31 mars 2026 ; Arrêté royal belge du 27 novembre 2016 modifié le 3 mai 2024 ; Bundesnetzagentur, procédés d'identification pour le prépayé (§172 TKG).

‍