Le problème : des hôtels qui collectent trop de données
Vous arrivez à l’hôtel. À la réception, on vous demande votre passeport ou votre carte d’identité. Le réceptionniste scanne le document, en fait une copie, ou saisit toutes les informations, y compris votre photo et votre numéro de registre national.
C’est un scénario que des millions de voyageurs connaissent. Mais est-ce autorisé sous le RGPD ?
La réponse courte : non, généralement pas. Les hôtels ont une obligation légale d’enregistrer certaines données de leurs clients, mais copier ou scanner l’intégralité du document d’identité dépasse presque toujours ce que la loi exige.
Que dit la loi ?
La plupart des États membres de l’UE obligent les hôtels à enregistrer les données de leurs clients; c’est la “fiche de police” en France, la Meldepflicht en Allemagne. Les exigences exactes varient selon les pays, mais comprennent généralement :
- Nom complet du client
- Date de naissance
- Nationalité
- Type et numéro du document d’identité
- Dates d’arrivée et de départ
C’est tout. Pas de photo. Pas de numéro de registre national. Pas de scan complet de votre passeport.
Application : amendes pour les hôtels
L’autorité espagnole de protection des données (AEPD) a sanctionné plusieurs hôtels pour des infractions liées aux données d’identité des clients :
Hôtel à Barcelone - amende de 30.000 EUR L’hôtel faisait systématiquement des copies de passeports lors du check-in et les conservait numériquement. L’AEPD a jugé que cela violait le principe de minimisation des données (Article 5(1)(c) RGPD) : l’hôtel collectait plus de données que nécessaire.
Chaîne hôtelière à Madrid - amende de 45.000 EUR La chaîne conservait les passeports scannés jusqu’à 5 ans après le séjour, alors que la loi espagnole prévoit un délai de conservation de 3 ans. De plus, les scans n’étaient pas correctement sécurisés; les employés y avaient un accès illimité.
Hôtel à Majorque - avertissement L’hôtel ne copiait que le numéro et le nom, mais stockait également la nationalité dans un fichier Excel non sécurisé accessible à tous les employés via un dossier partagé.
À faire et à ne pas faire pour les hôteliers
Ce que vous DEVEZ faire
- Enregistrer les données légalement requises : nom, date de naissance, nationalité, numéro de document, dates de séjour
- Vérifier visuellement le document d’identité : vous pouvez consulter le document pour vérifier les informations
- Informer les clients pourquoi vous avez besoin des données (obligation légale) et combien de temps vous les conservez
- Sécuriser les données : contrôle d’accès, chiffrement, accès limité pour le personnel
- Supprimer les données à l’expiration du délai légal de conservation
- Former votre personnel : les réceptionnistes doivent savoir quelles données ils peuvent et ne peuvent pas noter
Ce que vous NE devez PAS faire
- Faire des copies ou des scans de passeports ou de cartes d’identité sans base légale
- Stocker des photos ou des données biométriques
- Enregistrer les numéros de registre national sauf si la loi locale l’exige explicitement
- Conserver les données plus longtemps que la loi ne le prescrit
- Stocker les données dans des systèmes non sécurisés (fichiers Excel sur des dossiers partagés, clés USB non chiffrées)
- Utiliser les données à des fins marketing sans consentement explicite
Par pays : qu’est-ce qui est obligatoire ?
| Pays | Base légale | Données obligatoires | Durée de conservation |
|---|---|---|---|
| Belgique | AR 23/10/2020 | Nom, date de naissance, nationalité, n. document, dates de séjour | 1 an |
| France | Code de la sécurité intérieure | Nom, date de naissance, nationalité, n. document | 6 mois |
| Pays-Bas | Gemeentewet art. 438 | Nom, adresse, date de naissance, nationalité, n. document | 1 an |
| Allemagne | Bundesmeldegesetz par.29 | Nom, date de naissance, nationalité, n. document, date d’arrivée | 1 an |
| Espagne | Ley de Seguridad Ciudadana | Nom, date de naissance, nationalité, n. document, dates de séjour | 3 ans |
Que devez-vous faire en tant qu’hôtelier ?
- Vérifiez votre procédure actuelle : faites-vous des copies ou des scans ? Arrêtez, sauf si vous avez une base légale spécifique
- Adaptez votre formulaire de check-in : ne collectez que les champs légalement obligatoires
- Supprimez les anciens scans et copies : si vous avez conservé des copies numériques de passeports, supprimez-les
- Sécurisez votre registre des clients : utilisez un système sécurisé avec contrôle d’accès, pas un fichier Excel partagé
- Informez vos clients : une courte déclaration de confidentialité à la réception ou dans l’e-mail de confirmation suffit
- Définissez des délais de conservation : configurez votre système pour supprimer automatiquement les données après le délai légal
GDPRWise scanne votre site web et détecte automatiquement quelles données personnelles vous collectez via les formulaires de réservation, les cookies et les tiers.