Faire les démarches d’un autre : le mot de passe n’est pas un droit

1. Un Français sur deux le fait déjà, et presque personne n’a de cadre

Le Baromètre du numérique 2026, publié le 1^er février 2026 par le CRÉDOC pour l’Arcep, l’Arcom et le Conseil général de l’économie auprès de 4 145 personnes, livre deux résultats passés inaperçus. Le premier : « Près de six Français sur dix ont déjà aidé un proche dans ses usages numériques. » Le second, plus engageant : s’agissant des démarches administratives en ligne, « un Français sur deux a déjà aidé un membre de sa famille à les réaliser ». Et quatre sur dix déclarent encore rencontrer des freins, dont le premier n’est ni l’équipement ni le réseau, mais « un sentiment de manque de maîtrise des outils ».

L’entraide numérique n’est donc pas un supplément d’âme : c’est le mode de fonctionnement par défaut de l’administration française. Et elle passe presque toujours par le même geste : la personne accompagnée donne son identifiant et son mot de passe, et quelqu’un d’autre se connecte à sa place. Ce geste paraît anodin. Il ne l’est pas.

2. Ce geste a un nom, et ce n’est pas « prêter son mot de passe »

Agir au nom d’un autre est une opération juridique balisée. Le Code civil l’appelle le mandat : son article 1984 le définit comme l’acte « par lequel une personne donne à une autre le pouvoir de faire quelque chose pour le mandant et en son nom ». L’article suivant précise que la forme est libre : acte notarié, écrit signé, simple lettre, voire accord verbal, à charge d’en rapporter la preuve.

Retenons l’essentiel : la loi n’interdit pas de faire une démarche pour autrui, elle prévoit même le contraire. Ce qui pose problème, ce n’est pas l’acte, c’est l’absence de trace. Et c’est là que le mot de passe échoue : il ne nomme pas qui agit, ne délimite aucun périmètre, ne fixe pas de durée, n’exclut rien, ne se révoque pas et, surtout, il reste actif après. Le fils qui a payé la taxe foncière de sa mère en mars peut encore consulter ses revenus en novembre.

Dans un cadre familial bienveillant, cette imprécision ne se voit jamais. Elle se voit le jour où la relation se tend : une succession, une séparation, une mesure de protection, un héritier qui découvre des opérations qu’il n’explique pas. Le texte existe alors aussi : l’article 226-4-1 du Code pénal punit l’usurpation d’identité d’un an d’emprisonnement et de 15 000 € d’amende, peines identiques en ligne et portées à deux ans et 30 000 € entre conjoints, concubins ou partenaires pacsés. Personne ne poursuit un enfant qui aide son père à déclarer ses revenus. Mais le mandat écrit, lui, coûte cinq minutes et ferme le débat par avance.

3. Le risque que personne ne voit venir : la banque

C’est le point le plus concret de l’article, et le moins connu. Le Code monétaire et financier impose à l’utilisateur d’un service de paiement de prendre « toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées » (article L. 133-16), et son article L. 133-19 tire la conséquence du manquement : en cas de négligence grave, le payeur « supporte toutes les pertes occasionnées par des opérations de paiement non autorisées ». Le mot « toutes » est à prendre au pied de la lettre : dans le régime normal, le titulaire d’une carte perdue ou volée ne supporte au maximum que 50 € avant opposition. La négligence grave fait disparaître ce plafond.

La règle pratique tient en une phrase : on peut accompagner quelqu’un sur ses impôts, sa caisse de retraite ou son dossier logement ; on ne se connecte pas à sa banque à sa place. Et si la fraude a déjà eu lieu, les toutes premières heures décident du reste — nous l’avons détaillé dans notre article sur ce qui se joue dans la première heure d’une arnaque bancaire.

4. Pour les professionnels : Aidants Connect, ce que c’est vraiment

L’État a construit exactement l’outil qui manquait : une plateforme qui permet à un aidant professionnel d’agir sur les services publics en ligne sans jamais connaître le mot de passe de la personne, sur la base d’un mandat dématérialisé. C’est Aidants Connect, porté par l’Agence nationale de la cohésion des territoires. Les chiffres publics de la plateforme, arrêtés à septembre 2026, donnent la mesure du dispositif.

La répartition par domaine est instructive : le travail arrive largement en tête (234 297 démarches), devant le social et la santé (121 331) et les questions d’argent (98 875). Ce ne sont pas des démarches accessoires : ce sont celles dont dépendent un revenu, un droit, un logement.

Le dispositif est volontairement contraignant. L’habilitation se demande une fois par structure, pas aidant par aidant ; chaque aidant suit une formation et passe un test Pix avant activation. La connexion exige une double authentification par carte OTP ou par une application générant un code à six chiffres, valable soixante secondes. Le mandat couvre dix domaines (papiers-citoyenneté, famille, social-santé, travail, logement, transports, argent, justice, étranger, loisirs), se signe pour une durée choisie — 62 % pour un an, 15 % pour six mois, 14 % pour une seule journée — et reste révocable : « Je peux annuler mon autorisation à tout moment », dit la copie remise à la personne.

5. L’angle mort : l’entreprise qui dépanne sans y penser

Entre le proche sans cadre et le professionnel habilité, il existe un troisième cercle que personne ne regarde : l’entreprise. Le garagiste qui aide un client à télécharger sa carte grise, le comptable qui se connecte à l’espace Urssaf de son client avec les codes de celui-ci, le gérant qui crée le compte France Travail d’un salarié, l’organisme de formation qui monte un dossier CPF « pour gagner du temps ». Tous agissent comme mandataires, et presque aucun ne le formalise.

La CNIL a pourtant posé, pour les professionnels du secteur social, des règles directement transposables. Un professionnel ne peut demander les identifiants d’un usager que si celui-ci n’est pas en capacité de se connecter seul. Il doit disposer d’un mandat écrit, « signé par le bénéficiaire (le mandant) et par vous-même (le mandataire) », précisant le champ d’action. Il ne doit rien conserver après la séance : ni identifiant, ni mot de passe, ni adresse e-mail. L’enregistrement des mots de passe dans le navigateur est exclu ; seuls un gestionnaire de mots de passe ou un carnet papier en coffre sont admis. Et si le mandat est donné oralement dans l’urgence, la demande doit être horodatée, confirmée par écrit, et l’identité de l’agent consignée.

L’enjeu n’est pas théorique. Le fichier Excel « codes clients » posé sur un poste de travail est un traitement de données personnelles dépourvu de mesures de sécurité appropriées. S’il fuite, deux conséquences s’enchaînent : une violation de données à documenter et, le plus souvent, à notifier — nous avons détaillé qui déclare quoi, et dans quels délais — et une exposition pénale au titre du défaut de mesures de sécurité, que le Code pénal sanctionne de cinq ans d’emprisonnement et 300 000 € d’amende, quintuplée pour une personne morale.

6. Le mandat minimal, en six lignes

Il n’existe aucune obligation de forme : un mandat tient sur une demi-page, et c’est tout son intérêt. Voici le contenu minimal, calqué sur ce que la CNIL exige des professionnels et sur ce que le mandat Aidants Connect fait signer.

7. Cette quinzaine, une fenêtre à saisir

Le calendrier tombe bien. Du 5 au 17 octobre 2026 se tient la sixième édition des Journées France services : plus de 2 800 structures labellisées ouvrent leurs portes, avec près de 5 000 événements sur tout le territoire — ateliers de prévention des arnaques en ligne dans le cadre du Cybermois, rencontres sur l’intelligence artificielle, « cafés France services », permanences de partenaires locaux. En parallèle, le Cybermois 2026 déploie depuis le 1^er octobre la campagne « Se Cyber Protéger, ce n’est pas si bête », portée par sept mascottes animales et le mot-dièse #CyberEngagés. Son constat de départ décrit exactement le mot de passe prêté : « Nous avons tous entendu parler de cybersécurité… et pourtant, les bons réflexes ne sont pas toujours appliqués. »

Pour une TPE, une association ou une collectivité, les deux semaines qui viennent sont donc le moment le plus simple de l’année pour faire trois choses : repérer la France services la plus proche, pour savoir vers qui orienter un client ou un salarié en difficulté ; vérifier, si l’on emploie des agents d’accueil ou des travailleurs sociaux, que la structure est bien habilitée Aidants Connect ; et sortir du tiroir le mandat de six lignes de la section 6. Le sujet de fond, lui, ne se referme pas avec octobre : la difficulté avec l’écrit et l’écran concerne un salarié sur douze, et c’est souvent l’écran qui la révèle.

Un mandat de six lignes, une règle de fin de séance, la bonne orientation vers une structure habilitée : ces trois réflexes suffisent à transformer un geste d’entraide fragile en accompagnement solide. Encore faut-il que celles et ceux qui accueillent, dépannent et forment au quotidien les connaissent.

Num Compagny accompagne les TPE, PME, associations et collectivités sur ces sujets : cadrage des pratiques d’accompagnement numérique, procédures écrites, formation des équipes d’accueil à la protection des données des usagers, et montée en compétences numériques des publics eux-mêmes. Découvrez nos parcours sur notre page formation professionnelle.