Quelqu'un utilise une carte de crédit volée dans votre magasin. Le titulaire s'en rend compte, dépose une plainte auprès de la police et vous envoie une demande écrite : veuillez m'envoyer des copies des relevés de transactions relatifs à l'achat frauduleux. Vous disposez de 30 jours pour les lui remettre, gratuitement. Pas 30 jours ouvrables. Pas 30 jours après que votre avocat l'aura décidé. Trente jours à compter de la réception, en vertu de la loi fédérale — et les « raisons de confidentialité » ne sont pas une excuse, car le texte de loi le dit explicitement.
C'est la règle qu'Amazon a violée si profondément que la Federal Trade Commission a obtenu une amende civile de 2,25 millions de dollars contre l'entreprise en juin 2026, la plus lourde jamais infligée au titre de cette disposition. Et cette disposition s'applique à votre entreprise exactement comme elle s'appliquait à Amazon. Si vous vendez des biens ou des services contre rémunération — c'est-à-dire si vous dirigez une entreprise — l'article 609(e) du Fair Credit Reporting Act vous concerne déjà.
Ce qu'Amazon a réellement fait de mal
D'abord, une mise au point qui s'impose, car plusieurs résumés de cette affaire se sont trompés : l'amende n'avait rien à voir avec les vérifications d'antécédents professionnels ou l'évaluation de solvabilité. Amazon a été sanctionnée au titre de l'article 609(e) du FCRA, la partie de la loi qui donne aux victimes de vol d'identité le droit d'obtenir les documents de demande et de transactions commerciales à l'origine de la fraude commise en leur nom.
Selon la plainte déposée par le Department of Justice pour le compte de la FTC devant un tribunal fédéral de Washington, D.C., Amazon a violé la loi « en toute connaissance de cause ». Les consommateurs qui contactaient l'entreprise au sujet d'une fraude sur leurs comptes ou cartes de paiement se voyaient répondre par le service client que les documents ne pouvaient être fournis pour des raisons de « sécurité » ou de « confidentialité ». Dans ce que le directeur du Bureau de la protection des consommateurs de la FTC a qualifié de « calvaire kafkaïen », Amazon exigeait des victimes qu'elles identifient le voleur qui avait dérobé leurs informations avant de communiquer les documents — allant jusqu'à dire à une consommatrice qu'elle ne pouvait pas partager de documents sur un compte frauduleux à moins que celle-ci ne devine le nom figurant sur le compte, c'est-à-dire le nom utilisé par le voleur d'identité. La consommatrice a essayé 30 fois, en vain. Amazon a également refusé les documents aux services de police enquêtant sur la fraude.
Deux détails de l'affaire devraient frapper l'esprit de tout dirigeant de petite entreprise. Premièrement, le personnel de la FTC avait averti les avocats d'Amazon dès juin 2023 de revoir leur conformité à cette disposition précise après avoir reçu une plainte de consommateur. Les violations ont continué. Deuxièmement, Amazon n'avait aucune procédure écrite pour traiter ces demandes avant début 2025 — après avoir appris que la FTC avait ouvert une enquête. L'absence de processus n'était pas une défense ; elle faisait partie de l'histoire. Dans le cadre de l'accord, Amazon doit publier un avis public sur son site web expliquant comment les victimes de vol d'identité peuvent demander des documents.
Avec plus de 1,1 million de signalements de vol d'identité déposés auprès de la FTC en 2024, et 2025 en passe de faire pire, la demande d'une victime qui atterrit dans votre boîte de réception relève du quand, pas du si. Voici ce que la loi exige de vous lorsqu'elle arrive.
La règle des 30 jours que toute entreprise devrait connaître
L'article 609(e) est bref et d'une clarté frappante pour un texte fédéral :
Qui est concerné. Toute entité commerciale qui a accordé un crédit à, vendu des biens ou des services à, accepté un paiement de, ou autrement conclu une transaction commerciale contre rémunération avec une personne qui aurait utilisé sans autorisation l'identité d'autrui. Notez bien « aurait » : vous n'avez pas à juger si le vol d'identité a réellement eu lieu avant de vous conformer. La déclaration d'une victime, étayée par les documents décrits ci-dessous, déclenche votre obligation.
Ce que vous devez fournir. Une copie de la demande et des relevés de transactions commerciales en votre possession qui attestent la transaction prétendument frauduleuse — que vous conserviez ces documents vous-même ou qu'un tiers les conserve pour votre compte. Pensez aux bons de commande, aux demandes de compte, aux factures, aux reçus, aux autorisations de paiement, aux adresses de livraison liées à la transaction. La loi inclut expressément les documents détenus par un tiers pour votre compte, ce qui, dans la pratique moderne, signifie que les documents qui se trouvent dans votre processeur de paiement, votre plateforme e-commerce ou votre système de point de vente comptent comme les vôtres à cet effet.
Qui peut les recevoir. La victime, tout organisme ou agent des forces de l'ordre fédérales, étatiques ou locales que la victime désigne dans la demande, ou un organisme des forces de l'ordre enquêtant sur le vol que la victime a autorisé à recevoir les documents. Le refus d'Amazon de communiquer avec les forces de l'ordre constituait une violation distincte.
Le délai. Au plus tard 30 jours après réception de la demande.
Le prix. Rien. La loi dispose que les documents « sont fournis sans frais ».
La forme de la demande. Elle doit être écrite, envoyée par courrier à une adresse que vous avez désignée si vous en avez désigné une — une raison de plus de désigner un point de contact dès maintenant plutôt qu'après réception d'une demande. Si vous le demandez, la victime doit inclure des informations pertinentes sur la transaction pour vous aider à la retrouver : la date, un numéro de compte ou de transaction, ou d'autres détails identifiants, mais uniquement s'ils sont connus de la victime ou facilement obtenables. Lisez attentivement cette restriction : « si connus » joue un vrai rôle. Vous pouvez demander de l'aide pour localiser les documents. Vous ne pouvez pas faire de la capacité de la victime à fournir des détails une condition préalable, et vous ne pouvez certainement pas exiger qu'elle nomme le voleur, comme l'a fait Amazon.
Ce que la victime doit vous présenter
La loi ne vous laisse pas la porte grande ouverte. Avant de remettre quoi que ce soit, la victime doit fournir deux éléments, dans la forme que vous choisissez :
-
Une preuve d'identité. À votre choix : une pièce d'identité officielle, des informations permettant d'identifier la personne du même type que celles fournies par le tiers non autorisé, ou le type d'informations identifiantes que vous demandez habituellement aux nouveaux demandeurs ou pour de nouvelles transactions.
-
Une preuve de la déclaration de vol d'identité. À votre choix : une copie d'un rapport de police attestant la déclaration, accompagnée d'une déclaration de vol d'identité standardisée dûment remplie — du type de celles générées via le processus IdentityTheft.gov de la FTC — ou d'une autre déclaration sur l'honneur que vous jugez acceptable.
L'unique exception : si vous êtes déjà fortement convaincu de connaître l'identité de la victime, vous pouvez vous passer de la vérification. En pratique, demandez le dossier standard à chaque fois et conservez une copie de ce qui a été reçu avec la demande elle-même. Une liste de contrôle cohérente protège dans les deux sens : elle vous évite de divulguer des informations à un imposteur et documente que chaque demandeur a reçu le même traitement.
Les excuses qui ne fonctionnent pas
L'affaire Amazon est utile précisément parce qu'elle démontre, au prix de 2,25 millions de dollars, quels refus échouent :
« La confidentialité et la sécurité nous empêchent de partager. » La loi anticipe cette objection et la rejette par avance : les dispositions relatives à la confidentialité financière qui limitent normalement la communication d'informations clients à des tiers ne peuvent pas être invoquées pour refuser la divulgation à la victime. Le Congrès a décidé, dès 2003, que le droit de la victime à consulter les documents relatifs à une fraude commise en son nom l'emporte sur les réflexes de confidentialité de l'entreprise. Formez spécifiquement toute personne qui répond aux courriels ou aux appels des clients sur ce point, car « je ne peux pas partager les détails du compte pour des raisons de confidentialité » est sinon exactement le bon réflexe.
« Dites-nous d'abord qui a volé votre identité. » La victime est, presque par définition, la personne qui ne sait pas qui a volé son identité. Conditionner la divulgation à l'identification du voleur transforme une obligation de 30 jours en obligation impossible, ce qui explique la façon dont les régulateurs l'ont décrite.
« Il nous faut plus de temps. » Trente jours à compter de la réception, c'est le délai. Les rétrofacturations, les litiges avec le processeur et les examens internes de fraude suivent leurs propres horloges ; aucun d'eux ne suspend celle-ci.
« Il y a des frais de documents. » Les copies sont gratuites. Pas de frais de recherche, pas de frais de copie, pas de frais administratifs.
« C'est notre processeur qui détient ces documents, pas nous. » Les documents conservés par un tiers pour votre compte sont expressément couverts. Si vos données de transaction se trouvent dans Stripe, Square, Shopify ou le portail marchand de votre banque, c'est à vous de les récupérer.
Quand vous êtes autorisé à dire non
La loi n'est pas absolue, et connaître ses limites importe autant que connaître l'obligation. Une entreprise peut refuser, de bonne foi, lorsque la disposition n'exige pas réellement la divulgation, lorsque l'identité du demandeur laisse encore l'entreprise sans forte conviction après examen des pièces de vérification, lorsque la demande repose sur une déclaration mensongère de faits, ou lorsque le document demandé est constitué de données de navigation internet — l'historique de consultation d'un site web ou d'un service en ligne par une personne — plutôt que de relevés de transactions.
La loi prévoit également une défense affirmative : en cas de procédure de contrôle, vous pouvez faire échec à la réclamation en démontrant que vous avez effectué une recherche raisonnablement diligente dans vos documents commerciaux disponibles et que les documents demandés n'existent pas ou ne sont pas raisonnablement accessibles. Notez ce que cette défense récompense : une recherche réelle et documentée. « Nous n'avons jamais cherché » et « nous n'avons aucun processus pour chercher » en sont l'exact opposé.
Deux protections couvrent les entreprises qui se conforment de bonne foi. Premièrement, aucune entreprise ne peut être tenue civilement responsable au titre d'une loi quelconque pour une divulgation faite de bonne foi en vertu de cette disposition — la crainte liée à la confidentialité va donc exactement dans le mauvais sens. Se conformer est protégé ; refuser est sanctionné. Deuxièmement, la disposition ne crée aucune nouvelle obligation de conservation : elle ne vous oblige pas à obtenir, conserver ou tenir des documents que vous ne garderiez pas déjà dans le cours normal de vos affaires ou en vertu d'une autre loi. Elle ne régit que les documents que vous détenez déjà.
Mettez en place votre processus avant qu'une demande n'arrive
La leçon la plus transposable d'Amazon est la moins coûteuse : écrivez la procédure maintenant. Un processus d'une page vaut mieux qu'une improvisation à 2,25 millions de dollars. Le vôtre devrait couvrir, au minimum :
- Une adresse et un responsable désignés. Publiez où doivent être envoyées les demandes écrites — une adresse postale ou une boîte de réception surveillée — et nommez la personne responsable de leur traitement. La loi vous permet de préciser l'adresse à laquelle les demandes doivent être envoyées par courrier, mais uniquement si vous en avez réellement précisé une.
- Un dossier de vérification. Une pièce d'identité officielle avec photo, un rapport de police et une déclaration de vol d'identité dûment remplie, demandés de la même manière à chaque fois.
- Une horloge de 30 jours. Consignez la date d'arrivée de chaque demande et notez l'échéance. Jours calendaires, pas jours ouvrables.
- Une carte de localisation. Notez, système par système, où se trouvent vos relevés de transactions : tableau de bord du processeur, back-office e-commerce, export du point de vente, fichier comptable. C'est la carte de localisation qui transforme une course paniquée en une tâche de dix minutes.
- Un registre des réponses. Ce qui a été demandé, ce qui a été vérifié, ce qui a été envoyé, quand, et à qui. Si un régulateur pose un jour la question, ce registre est votre preuve de diligence raisonnable.
- Une règle de non-condition. Pas de frais, pas d'exigence que la victime identifie le voleur, pas de refus « pour confidentialité » opposé à la victime vérifiée ou aux forces de l'ordre qu'elle a désignées.
Révisez la page une fois par an, comme vous révisez votre routine de sauvegarde. Les volumes de vol d'identité ne cessent de grimper, et la FTC a désormais montré qu'elle portera une affaire 609(e) jusqu'à une sanction record.
Vos livres comptables sont votre dossier de conformité
Voici la partie qui touche directement votre tenue de comptabilité : la carte de localisation ci-dessus ne vaut que ce que valent vos documents sous-jacents. Une demande 609(e) vous oblige à produire chaque document attestant une transaction précise — ce qui signifie que vos données de transaction doivent être consultables par commande, par compte, par client et par date, des mois après les faits. Les entreprises dont les livres se résument à une boîte de reçus de versements du processeur sans lien avec les commandes individuelles ne peuvent pas répondre en 30 jours, quelle que soit leur bonne volonté.
C'est l'un des arguments discrets en faveur de la tenue de votre propre grand livre plutôt que du traitement du tableau de bord du processeur comme vos livres. Lorsque chaque vente est enregistrée avec son identifiant de commande et son canal comme métadonnées, extraire le dossier complet d'une transaction contestée devient une simple requête au lieu d'une excavation. Dans Beancount, les métadonnées de transaction remplissent exactement ce rôle :
2026-01-02 open Assets:Checking:Operating USD
2026-01-02 open Income:Sales:Online USD
2026-01-02 open Expenses:Chargebacks:Fraud USD
2026-03-14 * "Online order #48210" "Card payment - J. Rivera"
order-id: "48210"
channel: "online-store"
Assets:Checking:Operating 189.99 USD
Income:Sales:Online -189.99 USD
2026-03-20 * "Chargeback - order #48210" "Issuer fraud dispute"
order-id: "48210"
Assets:Checking:Operating -189.99 USD
Expenses:Chargebacks:Fraud 189.99 USDAvec l'identifiant de commande à la fois sur la vente et sur la rétrofacturation ultérieure, une seule requête fait ressortir la piste documentaire complète — la vente, l'annulation, les dates, les montants — en quelques secondes. C'est la forme que doit prendre un dossier prêt pour une demande 609(e) : chaque transaction traçable jusqu'à son document source, chaque annulation reliée à son originale. Si vos livres actuels ne permettent pas cela, le remède est un projet de tenue de comptabilité avec un bénéfice de conformité, et non l'inverse. Les lecteurs qui veulent les mécanismes trouveront la documentation sur les requêtes sous /docs/.
Une autre obligation FCRA : les vérifications d'antécédents professionnels
Comme cette affaire est si souvent mal décrite, une brève mise au point pour les employeurs qui effectuent des vérifications d'antécédents ou de solvabilité sur les candidats à un emploi : c'est une véritable obligation FCRA, mais elle relève d'une autre partie de la loi et ne fonctionne pas du tout comme l'article 609(e). Selon les orientations conjointes de la FTC et de l'EEOC à l'intention des employeurs, avant d'obtenir un rapport auprès d'une entreprise dont l'activité consiste à compiler des informations d'antécédents, vous devez remettre au candidat une divulgation écrite claire — dans un document distinct — indiquant qu'un rapport peut être obtenu, et recueillir son autorisation écrite. Si vous prenez ensuite une mesure défavorable fondée sur le rapport, comme ne pas embaucher le candidat, vous devez d'abord fournir une notification préalable à la mesure défavorable accompagnée d'une copie du rapport et d'un résumé des droits au titre du FCRA, attendre une période raisonnable, puis envoyer une notification finale de mesure défavorable contenant les coordonnées de l'entreprise de reporting et une déclaration des droits de contestation du candidat.
Deux obligations, une seule loi, des directions opposées : l'article 609(e) concerne les documents que vous remettez aux victimes de fraude ; les dispositions relatives à l'emploi concernent les rapports que vous recevez sur les candidats. Ne satisfaites pas l'une en invoquant l'autre.
Erreurs à éviter
- Traiter la demande d'une victime comme une réclamation client. C'est une demande fondée sur la loi fédérale avec une échéance de 30 jours, pas un ticket de support. Transmettez-la au responsable désigné le jour de son arrivée.
- Laisser le personnel de première ligne improviser la réponse. « Nous ne pouvons pas partager cela pour des raisons de confidentialité » est la réponse naturelle et la réponse illégale. Donnez au personnel un script : accuser réception, demander le dossier de vérification, consigner la date.
- Ne chercher que dans vos propres systèmes. Les documents du processeur, de la plateforme et du point de vente détenus pour votre compte sont couverts. Votre carte de localisation doit les inclure.
- Rester inactif face aux demandes des forces de l'ordre. Un organisme désigné par la victime ou autorisé par elle se met dans les pas de la victime. Le refuser, c'est refuser la victime.
- Croire que les petites entreprises sont exemptées. Rien dans l'article 609(e) ne dépend de la taille de l'entreprise. Le commerce du coin qui accepte les cartes doit la même obligation que le géant de la distribution — qui, cette fois, est la partie qui a payé pour le démontrer.
Votre dernier pas utile est modeste : ouvrez une page blanche, écrivez les six points du processus en y insérant les noms et adresses réels de votre entreprise, et enregistrez-la là où vous la trouverez quand l'enveloppe arrivera. Les trente jours commencent à la réception, et les entreprises qui peinent ne sont jamais celles qui se sont préparées.
