Exposition des données : quelles informations une plateforme KYC collecte vraiment sur toi

6 mai 2026

Quand tu passes un KYC sur une plateforme crypto, tu ne fournis pas seulement une photo de ta pièce d’identité. Tu remets un ensemble de données suffisamment complet pour t’identifier précisément dans le monde réel : identité, adresse, biométrie, habitudes de transaction, parfois informations financières.

Où ces données sont-elles stockées ? Qui peut y accéder ? Que se passe-t-il en cas de fuite ? Décryptage.

Ce que les règles KYC obligent les plateformes à collecter

Les lignes directrices de FinCEN exigent des prestataires de services sur actifs virtuels régulés, ou VASP, qu’ils mettent en place un CIP, c’est-à-dire un programme d’identification client. Les éléments de base incluent généralement : nom, date de naissance, adresse et numéro d’identification, comme un passeport, une carte d’identité ou un numéro fiscal.

Dans l’Union européenne, le règlement MiCA et les textes associés disponibles sur EUR-Lex imposent aussi des contrôles renforcés pour les clients considérés comme à risque élevé. Cela peut inclure une déclaration sur l’origine des fonds, l’objectif des transactions et, si nécessaire, des informations financières plus détaillées.

Le cadre de supervision des crypto-actifs de l’ESMA prévoit également que les plateformes conservent les dossiers d’identification client pendant au moins cinq ans. Dans certaines juridictions, cette durée peut être plus longue.

En pratique, cela signifie que tes données peuvent rester conservées pendant des années, même après la fermeture de ton compte, au titre des obligations de conformité.

De quoi se compose un dossier KYC typique

Selon le niveau de vérification demandé par la plateforme, un dossier KYC peut contenir plusieurs couches de données.

Niveau de base, ou Tier 1

Nom complet, identique au document officiel
Date de naissance
Nationalité
Adresse e-mail
Numéro de téléphone

Niveau d’identité, ou Tier 2

Photo du recto du passeport ou de la carte d’identité
Photo du verso, si applicable
Selfie avec pièce d’identité
Vidéo de preuve de vie, sur certaines plateformes
Données biométriques faciales extraites des photos ou vidéos

Niveau adresse, ou Tier 2–3

Adresse de résidence complète
Justificatif de domicile : facture, relevé bancaire, courrier officiel

Niveau financier, ou Tier 3 / clients à risque élevé

Explication de l’origine des fonds
Profession et employeur
Volume de transaction prévu et objectif d’utilisation
Informations de compte bancaire, selon les plateformes
Numéro d’identification fiscale

Couche liée aux données on-chain

Historique des adresses de dépôt
Adresses de retrait utilisées
Données de clustering de wallets partagées avec des outils d’analyse on-chain tiers

Données biométriques : la catégorie la plus sensible

Les données de reconnaissance faciale sont parmi les plus difficiles à “révoquer”. Un mot de passe se change. Un numéro de téléphone peut être remplacé. Ton visage, lui, ne peut pas être réinitialisé.

Beaucoup de plateformes délèguent la vérification faciale à des prestataires KYC tiers, comme Jumio, Onfido ou Sumsub. Tes données biométriques peuvent donc être traitées et stockées en dehors de l’infrastructure directe de l’exchange.

Le niveau de sécurité, les règles de conservation et les pratiques internes de ces prestataires peuvent différer de celles de la plateforme que tu utilises. En tant qu’utilisateur, tu as rarement accès aux détails contractuels qui encadrent ce traitement.

Comment les plateformes utilisent ces données

Usages de conformité, généralement indiqués dans la politique de confidentialité

Surveillance des transactions et contrôles AML
Réponse aux demandes des régulateurs, assignations ou requêtes d’information
Comparaison avec les listes de sanctions, comme OFAC ou ONU
Scoring de risque et segmentation des comptes

Usages secondaires possibles, souvent moins visibles

Partage avec des prestataires d’analyse de données au titre de “l’amélioration du service”
Marketing et ciblage publicitaire, si la politique de confidentialité le permet
Analyse de clusters d’adresses on-chain pour relier plusieurs wallets à un même utilisateur

Le règlement européen sur les transferts de fonds, ou TFR, impose aussi la transmission d’informations sur l’émetteur et le bénéficiaire lors de certains transferts entre plateformes. Cela signifie que certaines données KYC peuvent voyager avec les flux de fonds vers d’autres institutions.

Le risque réel en cas de fuite de données

Les recherches de Chainalysis sur les attaques dans l’écosystème crypto montrent que les campagnes d’ingénierie sociale ciblant des utilisateurs d’exchanges s’appuient souvent sur des informations d’identité réelles. Les bases KYC concentrent précisément ce type de données.

L’analyse d’OWASP sur le phishing souligne qu’une attaque efficace inclut souvent des détails crédibles : vrai nom, fragments d’historique de transaction, informations de compte. Ces éléments proviennent fréquemment de fuites de données.

Si une base KYC d’exchange est compromise, un attaquant peut obtenir tout ce qu’il faut pour lancer des attaques de phishing très personnalisées : identité, adresse, numéro de téléphone, documents, habitudes de retrait, parfois informations bancaires.

Des fuites majeures ont déjà exposé des données d’utilisateurs d’exchanges, notamment noms, adresses, numéros de documents et dossiers KYC complets. Une fois ces données diffusées sur le dark web, elles deviennent pratiquement permanentes. Contrairement à un mot de passe, elles ne peuvent pas simplement être remplacées.

Comparaison avec un modèle self-custody sans KYC

Avec un wallet self-custodial comme OneKey, tu n’as pas besoin de soumettre ton identité pour créer ou gérer un portefeuille. La génération du wallet et la gestion des clés privées se font localement, sur ton appareil. Le code open source de OneKey permet aussi à la communauté de vérifier ce fonctionnement.

Pour trader des contrats perpétuels via OneKey Perps, le workflow est différent d’un exchange centralisé classique : tu gardes ton wallet en self-custody, tu te connectes à des protocoles on-chain pris en charge et tu n’as pas à déposer un dossier KYC auprès d’un intermédiaire centralisé. Ce qui est visible côté protocole, ce sont des adresses et des transactions on-chain, pas une copie de ton passeport.

Cela ne rend pas l’activité anonyme. Une adresse blockchain est pseudonyme, et elle peut être reliée à ton identité si tu l’as déjà utilisée sur une plateforme KYC. Mais cela réduit fortement la quantité de données personnelles sensibles que tu remets à des tiers.

Comment évaluer ton exposition actuelle aux risques KYC

Commence par lister les plateformes KYC sur lesquelles tu as ou as eu un compte. Chacune d’elles représente un point potentiel d’exposition.

Lis ensuite les politiques de confidentialité pour vérifier :

La durée de conservation des données
Les prestataires tiers impliqués
Les conditions de partage avec d’autres entités
Les droits dont tu disposes en tant que personne concernée
La procédure de suppression ou de fermeture de compte

Dans l’Union européenne, le RGPD donne un droit à l’effacement, souvent appelé “droit à l’oubli”. Mais ce droit n’est pas absolu : les obligations AML et de conservation réglementaire peuvent obliger une plateforme à garder certains éléments pendant plusieurs années.

Pour les comptes que tu n’utilises plus, il est préférable de demander officiellement la fermeture du compte et la suppression des données personnelles, puis de conserver la confirmation écrite de la plateforme.

Bonnes pratiques pour réduire ton risque

Tu ne peux pas effacer toutes les traces KYC déjà transmises, mais tu peux réduire ton exposition future.

Ferme les comptes KYC que tu n’utilises plus
Demande la suppression des données lorsque c’est possible
Utilise un mot de passe unique et robuste pour chaque plateforme
Active une clé de sécurité matérielle pour la double authentification plutôt que les SMS
Évite de réutiliser les mêmes adresses on-chain entre plateformes KYC et wallets privés
Sépare clairement tes adresses liées à des exchanges centralisés de tes adresses self-custody
Vérifie régulièrement si ton e-mail apparaît dans des fuites, par exemple via haveibeenpwned.com
Pour tes futurs usages, privilégie un wallet self-custodial comme OneKey et, si tu trades des perps, un accès via OneKey Perps plutôt qu’un compte centralisé nécessitant un nouveau KYC

FAQ

Q1 : Après un KYC, puis-je demander à la plateforme de supprimer mes données ?

Oui, dans les régions couvertes par le RGPD, tu peux déposer une demande d’effacement. Mais les plateformes conservent souvent une partie des données KYC pour respecter leurs obligations AML, généralement pendant plusieurs années. Même après la clôture du compte, les documents d’identité et l’historique de transaction peuvent rester archivés jusqu’à la fin de la période légale.

Q2 : Les prestataires KYC tiers sont-ils contrôlés ?

Ils sont généralement soumis aux lois de protection des données de leur juridiction, comme le RGPD en Europe, et peuvent détenir des certifications de sécurité telles qu’ISO 27001. Mais ces certifications ne signifient pas absence de risque. Elles indiquent un cadre de conformité minimal, pas une garantie que les données ne seront jamais compromises.

Q3 : Que se passe-t-il si mes données biométriques fuitent ?

Le risque est plus durable qu’avec un mot de passe. Les données faciales ne peuvent pas être modifiées. Elles pourraient être utilisées dans des tentatives de contournement de vérification faciale ou combinées avec d’autres données pour des fraudes d’identité plus sophistiquées.

Q4 : Les transactions on-chain ne conservent vraiment aucune donnée d’identité ?

Une transaction on-chain ne contient pas ton nom ou ton passeport. Mais une adresse blockchain est pseudonyme, pas anonyme. Si tu as utilisé cette adresse pour déposer ou retirer depuis une plateforme KYC, elle peut être reliée à ton identité réelle. Garder une séparation stricte entre adresses KYC et adresses self-custody est une pratique de base pour protéger ta confidentialité on-chain.

Q5 : Comment réduire le risque lié à mes anciens KYC ?

Priorise les actions simples : ferme les comptes inutilisés, demande l’effacement des données quand c’est possible, renforce l’authentification de chaque compte, surveille les notifications de fuite et évite de créer de nouveaux liens entre tes wallets privés et des plateformes KYC. Pour tes nouveaux usages, tu peux créer un wallet OneKey sans fournir d’identité, puis utiliser OneKey Perps si tu veux accéder à un workflow de trading perpétuel en self-custody.

Conclusion : comprends ce que tu as réellement donné

Passer un KYC n’est pas une simple case à cocher. C’est une décision qui lie ton identité réelle à une partie de ton activité crypto, souvent pendant plusieurs années.

Comprendre la composition de ce dossier et les risques associés te permet de faire des choix plus informés : quelles plateformes utiliser, quelles adresses connecter, quelles données éviter de transmettre inutilement.

Si tu veux réduire ce lien entre identité réelle et activité crypto, tu peux commencer par télécharger OneKey et créer un wallet self-custodial sans soumettre de pièce d’identité. Pour le trading de contrats perpétuels, OneKey Perps offre un workflow pratique centré sur la self-custody, sans transformer ton passeport en donnée stockée chez un exchange centralisé.

Avertissement : cet article est fourni à titre informatif uniquement. Il ne constitue pas un conseil juridique, réglementaire ou financier. Les obligations KYC et les règles de protection des données varient selon les juridictions. Consulte les règles applicables dans ton pays et, si nécessaire, un professionnel qualifié.