Le probleme : des hotels qui collectent trop de donnees
Vous arrivez a l’hotel. A la reception, on vous demande votre passeport ou votre carte d’identite. Le receptionniste scanne le document, en fait une copie, ou saisit toutes les informations, y compris votre photo et votre numero de registre national.
C’est un scenario que des millions de voyageurs connaissent. Mais est-ce autorise sous le RGPD ?
La reponse courte : non, generalement pas. Les hotels ont une obligation legale d’enregistrer certaines donnees de leurs clients, mais copier ou scanner l’integralite du document d’identite depasse presque toujours ce que la loi exige.
Que dit la loi ?
La plupart des Etats membres de l’UE obligent les hotels a enregistrer les donnees de leurs clients; c’est la “fiche de police” en France, la Meldepflicht en Allemagne. Les exigences exactes varient selon les pays, mais comprennent generalement :
- Nom complet du client
- Date de naissance
- Nationalite
- Type et numero du document d’identite
- Dates d’arrivee et de depart
C’est tout. Pas de photo. Pas de numero de registre national. Pas de scan complet de votre passeport.
Application : amendes pour les hotels
L’autorite espagnole de protection des donnees (AEPD) a sanctionne plusieurs hotels pour des infractions liees aux donnees d’identite des clients :
Hotel a Barcelone - amende de 30.000 EUR L’hotel faisait systematiquement des copies de passeports lors du check-in et les conservait numeriquement. L’AEPD a juge que cela violait le principe de minimisation des donnees (Article 5(1)(c) RGPD) : l’hotel collectait plus de donnees que necessaire.
Chaine hoteliere a Madrid - amende de 45.000 EUR La chaine conservait les passeports scannes jusqu’a 5 ans apres le sejour, alors que la loi espagnole prevoit un delai de conservation de 3 ans. De plus, les scans n’etaient pas correctement securises; les employes y avaient un acces illimite.
Hotel a Majorque - avertissement L’hotel ne copiait que le numero et le nom, mais stockait egalement la nationalite dans un fichier Excel non securise accessible a tous les employes via un dossier partage.
A faire et a ne pas faire pour les hoteliers
Ce que vous DEVEZ faire
- Enregistrer les donnees legalement requises : nom, date de naissance, nationalite, numero de document, dates de sejour
- Verifier visuellement le document d’identite : vous pouvez consulter le document pour verifier les informations
- Informer les clients pourquoi vous avez besoin des donnees (obligation legale) et combien de temps vous les conservez
- Securiser les donnees : controle d’acces, chiffrement, acces limite pour le personnel
- Supprimer les donnees a l’expiration du delai legal de conservation
- Former votre personnel : les receptionnistes doivent savoir quelles donnees ils peuvent et ne peuvent pas noter
Ce que vous NE devez PAS faire
- Faire des copies ou des scans de passeports ou de cartes d’identite sans base legale
- Stocker des photos ou des donnees biometriques
- Enregistrer les numeros de registre national sauf si la loi locale l’exige explicitement
- Conserver les donnees plus longtemps que la loi ne le prescrit
- Stocker les donnees dans des systemes non securises (fichiers Excel sur des dossiers partages, cles USB non chiffrees)
- Utiliser les donnees a des fins marketing sans consentement explicite
Par pays : qu’est-ce qui est obligatoire ?
| Pays | Base legale | Donnees obligatoires | Duree de conservation |
|---|---|---|---|
| Belgique | AR 23/10/2020 | Nom, date de naissance, nationalite, n. document, dates de sejour | 1 an |
| France | Code de la securite interieure | Nom, date de naissance, nationalite, n. document | 6 mois |
| Pays-Bas | Gemeentewet art. 438 | Nom, adresse, date de naissance, nationalite, n. document | 1 an |
| Allemagne | Bundesmeldegesetz par.29 | Nom, date de naissance, nationalite, n. document, date d’arrivee | 1 an |
| Espagne | Ley de Seguridad Ciudadana | Nom, date de naissance, nationalite, n. document, dates de sejour | 3 ans |
Que devez-vous faire en tant qu’hotelier ?
- Verifiez votre procedure actuelle : faites-vous des copies ou des scans ? Arretez, sauf si vous avez une base legale specifique
- Adaptez votre formulaire de check-in : ne collectez que les champs legalement obligatoires
- Supprimez les anciens scans et copies : si vous avez conserve des copies numeriques de passeports, supprimez-les
- Securisez votre registre des clients : utilisez un systeme securise avec controle d’acces, pas un fichier Excel partage
- Informez vos clients : une courte declaration de confidentialite a la reception ou dans l’e-mail de confirmation suffit
- Definissez des delais de conservation : configurez votre systeme pour supprimer automatiquement les donnees apres le delai legal
GDPRWise scanne votre site web et detecte automatiquement quelles donnees personnelles vous collectez via les formulaires de reservation, les cookies et les tiers.