RGPD et données voyageurs : registre, durées et bonnes pratiques hôtes

Le RGPD s'applique à chaque hôte d'hébergement touristique qui collecte des données personnelles sur ses voyageurs. À chaque réservation, vous traitez au minimum l'identité et les coordonnées de vos clients, parfois une pièce d'identité, et régulièrement l'historique de leurs messages, avis et paiements. Cela vaut pour l'hôte indépendant, la conciergerie ou l'hôtelier, que vous teniez ces informations dans un cahier papier, un fichier Excel ou un PMS cloud.

Ce n'est pas un exercice juridique abstrait. Une conservation excessive, une fuite de fichier ou un refus de répondre à une demande d'accès peut entraîner une amende, une plainte du voyageur ou une crise de confiance difficile à rattraper. Ce guide vous propose un cadre opérationnel RGPD : le registre des traitements, les durées de conservation, les droits des voyageurs, et des bonnes pratiques alignées sur votre registre des voyageurs et votre check-in autonome.

En bref

Le RGPD s'applique dès que vous louez un seul logement : le volume de biens ne change rien à l'obligation. Le registre des traitements est le document central de votre conformité ; il recense les finalités, les durées, les destinataires et les mesures de sécurité. Ne conservez pas les pièces d'identité indéfiniment : fixez des durées limitées, planifiez une purge régulière et limitez les champs collectés au strict nécessaire. Enfin, nommez un référent données, même dans une équipe de deux personnes, et affichez une adresse mail dédiée dans le livret voyageur.

Pourquoi le RGPD concerne chaque hôte d'hébergement, pas seulement les chaînes

Le RGPD protège les personnes physiques dont vous traitez les données. En location courte durée, vous êtes souvent responsable de traitement pour les fiches voyageurs du registre légal, les copies de pièces d'identité, les coordonnées collectées hors plateforme (email, téléphone), les historiques de messages si vous les exportez, et les photos d'état des lieux lorsqu'elles montrent un visage ou des données indirectes.

Vous pouvez aussi être sous-traitant si vous gérez des biens pour un propriétaire qui définit les finalités. Dans ce cas, la conciergerie doit contractualiser ses obligations avec une clause de traitement des données claire.

Registre des traitements RGPD : le document central

Le registre des activités de traitement est obligatoire pour la plupart des structures d'hébergement. Ce n'est pas une formalité : c'est la carte de vos flux de données.

Colonnes minimales par traitement

Traitements typiques à inventorier

1. Registre des personnes hébergées (obligation légale distincte du RGPD mais données personnelles) ;
2. Check-in digital (formulaire en ligne, scan pièce d'identité) ;
3. Messagerie OTA et exports ;
4. Caution / paiement hors plateforme ;
5. Newsletter ou marketing direct (si vous collectez des emails) ;
6. Vidéosurveillance entrée ou parties communes (règles spécifiques) ;
7. Outils IA répondant aux voyageurs (logs de conversation).

Durées de conservation RGPD : ne pas tout garder « au cas où »

L'erreur la plus fréquente : conserver les copies de passeport indéfiniment parce que « c'est plus simple ».

Le RGPD exige des durées limitées et justifiées.

Alignez la purge du registre voyageur avec notre guide registre des voyageurs : les obligations légales de conservation du registre ne justifient pas de dupliquer la pièce d'identité dans cinq outils.

Passer à l'action — Réservez une visio d'une heure pour poser vos questions conformité, ou créez votre espace (1 logement gratuit).

Minimisation : collecter seulement ce qui est nécessaire

La minimisation est un principe clé : chaque champ de votre formulaire doit avoir une finalité documentée.

Avant chaque ajout de champ dans un formulaire, posez-vous trois questions simples. Avez-vous vraiment besoin du numéro de passeport complet, ou une vérification visuelle à l'arrivée suffit-elle ? L'équipe de ménage a-t-elle besoin du téléphone du voyageur, ou seulement d'un code porte ? Votre export Excel mensuel contient-il des colonnes que personne n'utilise ?

En check-in autonome, structurez le parcours : informations obligatoires à l'arrivée, optionnelles pour le marketing (avec consentement explicite). Voir check-in autonome.

Droits des voyageurs RGPD : répondre sans paniquer

Un voyageur peut exercer ses droits : accès, rectification, effacement, limitation, opposition, portabilité (selon contexte).

Procédure interne recommandée

1. Accusé réception sous 72 h ;
2. Vérification d'identité (éviter les fuites à un tiers) ;
3. Réponse sous 1 mois (prolongation possible si complexe) ;
4. Traçabilité : qui a traité la demande, quelles actions.

Cas fréquents en LCD

Lorsqu'un voyageur demande « Effacez mes données » après un séjour, supprimez tout ce qui n'est pas retenu par une obligation légale. Conservez le registre si la loi l'impose, en limitant strictement les champs aux informations obligatoires. Si la question porte sur « Pourquoi avez-vous ma pièce d'identité ? », expliquez clairement la finalité et la durée de conservation, puis proposez la suppression dès que la pièce n'est plus nécessaire. Enfin, si le voyageur écrit « Je ne veux plus vos emails », procédez à une désinscription immédiate de vos communications marketing ; les messages transactionnels, comme l'envoi de codes d'accès, restent possibles dans le cadre de l'exécution du contrat.

Sécurité technique et organisationnelle

Sans devenir expert cybersécurité, adoptez des mesures proportionnées :

Accès

Interdisez l'usage de comptes personnels pour les données voyageurs : un Gmail perso partagé entre collègues n'est pas une solution acceptable. Exigez des mots de passe forts et activez la double authentification (2FA) sur votre PMS, votre boîte mail professionnelle et votre Drive. Appliquez enfin le principe des droits minimaux : l'équipe de ménage n'a pas besoin d'accéder au registre complet.

Stockage

Chiffrez vos supports nomades et évitez d'envoyer des pièces d'identité en pièce jointe WhatsApp sur un canal non sécurisé. Mettez en place des sauvegardes chiffrées et testez une restauration au moins une fois par an.

Sous-traitants

Listez l'ensemble de vos outils — PMS, livret digital, channel manager, comptabilité — et vérifiez que chaque prestataire propose un DPA (accord de traitement des données) et, si possible, un hébergement au sein de l'Union européenne.

RGPD et Declaloc / loi Le Meur

La loi Le Meur et Declaloc ajoute des déclarations administratives. Les données Declaloc et le registre voyageur se recoupent partiellement, mais il ne faut pas les confondre. Declaloc concerne la déclaration du meublé et le numéro d'enregistrement. Le registre voyageurs indique qui a séjourné et quand. Le RGPD, lui, encadre la manière dont vous protégez et limitez ces données.

Une seule personne doit savoir où vit chaque donnée pour répondre à un contrôle ou une demande CNIL.

Livret digital et Majordome IA : points de vigilance

Un livret comme Majordia traite peu de données sensibles côté voyageur, essentiellement des consultations et des questions. En revanche, les logs Majordome IA (formule Particulier et formule Pro) peuvent contenir des questions personnelles : définissez une durée de conservation adaptée. Les formulaires intégrés au check-in doivent afficher une politique de confidentialité claire. Enfin, le lien livret ne doit jamais exposer les données d'autres voyageurs.

Centralisez les consignes RGPD dans une page livret « Vos données » : finalité, durée, contact référent, lien vers politique complète.

Conciergerie et multi-biens : gouvernance

À partir de 5 à 10 logements, les risques se multiplient. Vous travaillez souvent avec plusieurs propriétaires, ce qui peut impliquer plusieurs responsables de traitement distincts. Une équipe tournante (ménage, accueil) rend les formations courtes obligatoires. Enfin, lorsque vous produisez des exports pour le reporting propriétaire, anonymisez tout ce qui n'est pas strictement nécessaire.

Documentez dans le mandat : qui est responsable de traitement, qui agit en sous-traitant, quels outils sont autorisés. Croisez avec gestion multi-biens.

Violation de données : procédure en 24 h

Si un fichier voyageurs est envoyé au mauvais destinataire, si un laptop est volé, ou si un outil est piraté :

1. Containment : couper l'accès, changer les mots de passe ;
2. Évaluation : gravité, données concernées, nombre de personnes ;
3. Notification CNIL sous 72 h si risque pour les droits des personnes ;
4. Information des voyageurs si risque élevé ;
5. Registre des violations (obligatoire) ;
6. Retour d'expérience : mesure corrective.

Ne cachez pas une breach par peur de l'amende — la notification tardive aggrave la situation.

Politique de confidentialité : contenu minimum

Votre site, livret ou email de confirmation devrait indiquer l'identité du responsable de traitement, les finalités des traitements, la base légale retenue (contrat, obligation légale, intérêt légitime ou consentement), les durées de conservation, les droits des personnes et un contact pour les exercer, les destinataires et les éventuels transferts hors UE, ainsi que le droit d'introduire une réclamation auprès de la CNIL.

Un modèle générique copié-collé sans adaptation est presque aussi risqué que l'absence de politique.

Checklist conformité RGPD — hôte LCD

• Registre des traitements à jour ;
• Durées de conservation écrites et purge automatisée ou calendrier ;
• Politique de confidentialité accessible ;
• Référent données identifié ;
• Procédure demandes voyageurs testée ;
• Contrats sous-traitants (PMS, livret) vérifiés ;
• Formation équipe : pas de WhatsApp perso pour les pièces d'identité ;
• Alignement registre voyageur / check-in / Declaloc sans doublons inutiles.

FAQ RGPD et données voyageurs en hébergement

Suis-je concerné par le RGPD si je n'ai qu'un seul logement ?

Oui. Le RGPD ne dépend pas du nombre de logements mais du traitement de données personnelles. Un hôte avec un studio est responsable de traitement comme une conciergerie de 50 biens — avec des mesures proportionnées.

Puis-je conserver les pièces d'identité des voyageurs ?

Seulement si c'est nécessaire et proportionné. La CNIL déconseille la conservation systématique de copies. Privilégiez vérification à l'arrivée ou solution certifiée avec purge automatique. Consultez un juriste pour votre typologie (hôtel classé vs meublé).

Les plateformes OTA sont-elles responsables du RGPD ?

Elles traitent des données en co-responsabilité ou responsabilité propre selon les cas. Vous restez responsable des données que vous collectez en plus (hors plateforme) et de vos exports.

Dois-je nommer un DPO ?

Le DPO est obligatoire seulement dans certains cas (traitement à grande échelle, données sensibles massives). Beaucoup de conciergeries n'y sont pas soumises — un référent interne suffit souvent.

Comment gérer les données des mineurs ?

Collectez les informations du tuteur légal ; minimisez les données enfant ; sécurisez le registre. Même rigueur qu'un hôtel familial.

Où obtenir de l'aide pour mon cas spécifique ?

Pour les questions complexes (multi-sociétés, groupes, vidéosurveillance), contactez notre équipe ou consultez un avocat RGPD. Pour le registre voyageur opérationnel, voir notre guide dédié.

Le RGPD n'est pas l'ennemi de l'hospitalité : c'est le cadre qui prouve aux voyageurs que vous traitez leurs informations avec le même soin que leur séjour. Un registre à jour, des durées claires et une équipe briefée valent mieux qu'un PDF juridique que personne ne lit.