Un petit bouclier gris sur un profil LinkedIn. En apparence, c’est anodin. En coulisses, c’est une tout autre histoire et elle dérange.
Le principe : se faire “certifier” sur LinkedIn
Depuis quelques années, LinkedIn pousse ses utilisateurs à vérifier leur identité pour obtenir un badge visible sur leur profil. La promesse : plus de crédibilité, plus de visibilité algorithmique, moins de faux comptes. La vérification est gratuite et ne dépend pas d’un abonnement Premium. Pour ça, LinkedIn s’est associé à Persona, une société américaine spécialisée dans la vérification d’identité numérique.
Concrètement : tu fournis une photo de ton passeport biométrique (avec puce NFC), Persona scanne la puce, prend un selfie pour s’assurer que le visage correspond, et transmet le résultat à LinkedIn. Simple ? Trop simple, selon certains.
Ce que Persona collecte vraiment
C’est là que ça coince. Un chercheur en sécurité a épluché les conditions d’utilisation et la documentation technique de Persona, et a découvert que la plateforme collecte bien plus que ce qu’on imagine : nom complet, géométrie faciale, données de la puce NFC du passeport, numéro d’identité nationale, email, téléphone, adresse IP, géolocalisation…
Une enquête publiée début 2026 par des chercheurs en cybersécurité a confirmé que les systèmes d’identification automatisée de Persona sont capables de réaliser un grand nombre de contrôles au moment de la validation d’une identité, bien au-delà de la simple vérification biométrique.
La réponse de Persona (et ses limites)
Le CEO de Persona, Rick Song, a publiquement démenti, affirmant que les données biométriques sont supprimées immédiatement après traitement, et toutes les autres données dans les 30 jours. Il précise également que la liste de sous-traitants mentionnée dans les CGU est trompeuse, car chaque client choisit les modules activés, ce qui conditionne les accès des partenaires.
LinkedIn, de son côté, insiste : il ne reçoit ni photos, ni données biométriques, ni numéros ou dates associés au passeport, seulement un identifiant haché et le nom de l’utilisateur.
Sauf que la confiance, une fois ébranlée, ne se restaure pas en un communiqué. Discord a mis fin à son test de Persona en réponse à la polémique. D’autres partenaires ont demandé des explications détaillées sur les pratiques de partage de données.
Un enjeu qui dépasse LinkedIn
L’affaire relance un débat fondamental : comment concilier vérification d’identité et protection des données personnelles ? D’autant que ces badges, présentés comme optionnels, gagnent en visibilité et en poids sur la plateforme. Autrement dit, ne pas se vérifier, c’est potentiellement se pénaliser.
En France, avec la loi limitant l’accès aux réseaux sociaux aux moins de 18 ans, on peut légitimement anticiper que ce type de vérification biométrique soit appelé à jouer un rôle encore plus central, voire à devenir obligatoire à terme.
Alors, on y va ou pas ?
Rien n’oblige. Mais si vous décidez de franchir le pas, faites-le en connaissance de cause : vous ne donnez pas votre passeport à LinkedIn, vous le donnez à un tiers américain, avec ses propres règles du jeu. Le badge est gratuit. Vos données, elles, ont un prix.