Vérifier ses prestataires : le KYC qui évite la responsabilité solidaire
Référencer un prestataire sans contrôler son immatriculation, ses assurances ou ses qualifications obligatoires expose votre plateforme à une condamnation solidaire. Le KYC marketplace n'est pas optionnel.
- La DGCCRF et la jurisprudence engagent la responsabilité solidaire des plateformes qui réfèrent des prestataires non en règle.
- Le KYC marketplace combine vérification administrative, fiscale, assurantielle et qualifications métier.
- Une procédure documentée et automatisée transforme une obligation diffuse en preuve de diligence opposable au juge.
- Sans KYC structuré, votre RC Pro peut refuser sa garantie pour faute lourde ou manquement aux obligations de transparence.
Pourquoi la défaillance d'un prestataire peut remonter jusqu'à la plateforme
Lorsqu'un client subit un préjudice à cause d'un prestataire référencé sur votre plateforme, sa première cible n'est pas toujours le prestataire lui-même. Il poursuit aussi la plateforme, pour plusieurs raisons : meilleure solvabilité, présomption de filtre qualitatif, et surtout la confiance qu'il a placée dans la marque qui a opéré la mise en relation.
Le code de la consommation, dans son article L. 111-7 issu de la loi Hamon puis renforcé par la loi pour une République numérique, impose à toute plateforme une obligation de loyauté et d'information sur la qualité des annonceurs. L'article L. 111-7-1 va plus loin : la plateforme doit, pour les prestataires qui exercent une activité professionnelle, indiquer leur qualité (professionnel ou particulier) et leurs obligations fiscales et sociales.
La DGCCRF a multiplié les contrôles depuis 2020, et la jurisprudence civile a retenu plusieurs fois la responsabilité solidaire de plateformes qui avaient référencé des prestataires manifestement défaillants. La logique est simple : si vous aviez vérifié, vous auriez su.
Les six vérifications minimales d'un KYC marketplace sérieux
Le KYC (Know Your Customer, adapté ici en Know Your Provider) d'une plateforme de mise en relation doit couvrir six dimensions. Aucune n'est optionnelle.
1. Identité légale
Pour une personne physique : pièce d'identité en cours de validité, vérification de la cohérence nom/prénom/date de naissance. Pour une personne morale : extrait Kbis ou inscription au répertoire des métiers, vérification de la date de création et de l'absence de procédure collective via les annonces BODACC.
2. Immatriculation professionnelle
Selon l'activité, contrôle de l'inscription au registre approprié : RCS pour les commerçants, répertoire des métiers pour les artisans, ordre professionnel pour les professions réglementées (avocats, architectes, infirmiers, etc.), ORIAS pour les courtiers, ACPR pour les intermédiaires bancaires.
3. Conformité fiscale et sociale
Vous n'êtes pas tenu d'auditer la comptabilité, mais vous devez recueillir une attestation de vigilance URSSAF (ou attestation équivalente pour les auto-entrepreneurs) pour tout prestataire dont la rémunération annuelle via la plateforme dépasse 5 000 € HT. C'est l'article L. 8222-1 du code du travail, applicable au donneur d'ordre.
4. Assurances obligatoires
Selon le métier : RC Pro pour les professions du conseil et de l'IT, décennale pour le bâtiment, RC médicale pour la santé, garantie financière pour l'immobilier. Demandez l'attestation à jour ET vérifiez la durée de validité ET le périmètre couvert.
5. Qualifications et certifications
Diplôme obligatoire pour les professions réglementées, qualification RGE pour la rénovation énergétique, agrément services à la personne, agrément SAP, habilitations électriques, autorisations préfectorales (CNAPS pour la sécurité privée). Une qualification absente sur une activité réglementée engage doublement votre responsabilité.
6. Antécédents et e-réputation
Recherche systématique sur les bases publiques : Infogreffe, sanctions DGCCRF, décisions disciplinaires des ordres professionnels, avis et signalements sur la plateforme elle-même. Un prestataire suspendu d'un ordre professionnel ne doit pas pouvoir se réinscrire sous le même nom.
Automatiser le KYC sans sacrifier le contrôle
Aucune plateforme ne peut faire ces six vérifications à la main au-delà de quelques dizaines de prestataires. L'enjeu est d'automatiser intelligemment, en couplant des API et une revue humaine ciblée.
- API INSEE/INPI pour la vérification SIRET et l'extrait Kbis automatisé, gratuites pour la première et payantes mais peu coûteuses pour la seconde.
- API base ORIAS, RNE, RGE pour les professions réglementées et les certifications.
- Solutions KYC tierces (Dataleon, Veriff, Onfido, Datakeen) pour la vérification d'identité avec reconnaissance documentaire et liveness check.
- Module attestation URSSAF : déclaration sur l'honneur intégrée au parcours d'inscription, avec relance automatique annuelle.
- Vigilance manuelle sur 5 à 10 % des dossiers tirés au sort, et sur 100 % des dossiers à alerte (incohérence administrative, signalements, secteur sensible).
Cette architecture transforme une obligation diffuse en preuve de diligence opposable au juge et à votre assureur RC Pro. C'est exactement ce que regardera un juge en cas de réclamation : avez-vous mis en place un système, l'avez-vous appliqué, l'avez-vous documenté ?
Le piège des prestataires "verifiés" : promesse marketing et risque juridique
Beaucoup de plateformes communiquent sur un label maison : "prestataires vérifiés", "profils certifiés", "de confiance". Ce vocabulaire vendeur a un revers redoutable. Dès que vous affichez un badge de confiance, vous prenez un engagement contractuel envers le client.
Le label "vérifié" crée une obligation de résultat sur la qualité du contrôle, là où vous n'aviez qu'une obligation de moyens.
En cas de litige, le client invoquera votre propre communication pour démontrer que vous avez garanti la fiabilité du prestataire. Le juge sera attentif au contenu réel de votre vérification : si le badge est attribué sur la base d'un simple SIRET déclaré, vous serez en faute pour publicité trompeuse (article L. 121-2 du code de la consommation), en plus de la responsabilité solidaire classique.
Deux solutions concrètes :
- Rétrograder le vocabulaire : remplacer "vérifié" par "identité confirmée" ou "SIRET contrôlé" ; chaque badge correspond précisément à une vérification effectuée.
- Doubler chaque badge d'une fiche de transparence détaillant ce qui a été vérifié et ce qui ne l'a pas été. La transparence neutralise une grande partie du risque éditorial.
Trois scénarios de sinistre et le rôle du KYC dans la défense
Comprendre l'enjeu KYC suppose de visualiser comment il intervient dans un dossier réel.
Scénario A : artisan référencé sans décennale, sinistre 35 000 €
Un client demande des travaux de rénovation via la plateforme. L'artisan référencé n'a pas de décennale valide. Le chantier provoque des désordres. Le client se retourne contre la plateforme. Sans KYC documenté : condamnation solidaire probable, RC Pro qui peut refuser pour manquement à l'obligation de vigilance. Avec KYC documenté et attestation décennale collectée puis falsifiée par le prestataire : la responsabilité bascule sur le prestataire, la plateforme est exonérée.
Scénario B : prestataire en travail dissimulé, redressement URSSAF
Un prestataire facture 80 000 € via la plateforme sans déclarer son activité. L'URSSAF active la solidarité financière du donneur d'ordre (article L. 8222-2 code du travail). Sans attestation de vigilance : la plateforme est solidaire des cotisations dues. Avec attestation : exonération automatique.
Scénario C : avis litigieux et action en concurrence déloyale
Un prestataire concurrent attaque la plateforme pour avoir référencé un prestataire opérant sans qualification obligatoire (par exemple sans CNAPS pour la sécurité privée). Sans KYC qualifications, la plateforme est exposée à des dommages-intérêts et à un risque pénal pour complicité d'exercice illégal.
Dans les trois cas, la plateforme avait besoin d'une RC Pro adaptée et d'une procédure KYC opposable. Notre RC Pro plateformes intègre une clause de couverture conditionnée à un KYC minimal documenté, à des tarifs maîtrisés.
Mettre en place un KYC en 30 jours sans bloquer le business
L'erreur classique consiste à reporter le KYC indéfiniment au prétexte qu'il ralentirait les inscriptions. La bonne approche est progressive et risk-based.
- Semaine 1 — Cartographier les profils : segmentez vos prestataires actuels par activité, volume facturé et risque réglementaire. Identifiez les 10 à 20 % qui concentrent 80 % du risque.
- Semaine 2 — Choisir les outils : sélectionnez une API d'identification documentaire et connectez les bases publiques (INSEE, INPI, ORIAS, RGE) pertinentes pour vos métiers.
- Semaine 3 — Régulariser le stock : déclenchez une campagne de mise en conformité auprès des prestataires existants, avec un délai de 30 jours pour fournir les pièces manquantes. Suspendez ceux qui ne répondent pas.
- Semaine 4 — Intégrer au parcours d'inscription : verrouillez l'onboarding nouveaux prestataires avec KYC obligatoire. Aucun référencement sans dossier complet.
Documentez chaque étape : ce sera votre dossier d'assurabilité, votre argumentaire face à la DGCCRF, et votre meilleure défense en cas de réclamation client. Pour aller plus loin sur les couvertures adaptées à votre activité, consultez notre page dédiée aux plateformes de mise en relation.
Questions fréquentes
Aucune loi n'impose un KYC marketplace en tant que tel, mais plusieurs obligations convergentes le rendent indispensable : article L. 111-7 du code de la consommation, solidarité financière URSSAF, obligations DSA, devoir de vigilance jurisprudentiel. En pratique, opérer sans KYC structuré expose à des sanctions et à un risque assurantiel élevé.
Non. Une attestation doit être vérifiée à la source ou recoupée. Un faux Kbis ou une fausse attestation URSSAF se fabrique en quelques minutes. Le KYC sérieux croise les déclarations avec les bases officielles (Infogreffe, INSEE, base ORIAS, base RGE) et conserve la trace de la vérification, pas seulement le document remis.
Annuelle au minimum pour les attestations à durée de validité limitée (URSSAF, RC Pro, décennale, qualifications RGE). Trimestrielle pour les statuts collectifs (procédures collectives, radiations). Vérification immédiate en cas de signalement ou de plainte. Automatisez les alertes d'expiration plutôt que de relancer manuellement.
Suspendre immédiatement son compte, conserver la preuve horodatée de la suspension, notifier le prestataire avec demande de régularisation sous 15 jours, prévenir les clients en cours de relation contractuelle. Documentez chaque étape : c'est votre exonération de responsabilité pour la suite.
Non si vous le construisez bien. Le RGPD autorise la collecte de données d'identification pour exécuter un contrat et respecter une obligation légale (article 6.1.b et 6.1.c). Limitez les pièces aux strict nécessaire, fixez une durée de conservation alignée sur les prescriptions civiles et fiscales, et documentez le tout dans votre registre des traitements.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Plateforme de mise en relation — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Plateforme de mise en relation →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.