Une r\u00e9cente amende de 75 000 euros inflig\u00e9e par l\u2019Agence espagnole de protection des donn\u00e9es (AEPD) \u00e0 une PME de Barcelone a tir\u00e9 la sonnette d\u2019alarme dans le secteur touristique. La raison : exiger des photos de la carte d\u2019identit\u00e9 et des selfies des voyageurs qui r\u00e9servaient leurs appartements via Airbnb, sous pr\u00e9texte de se conformer \u00e0 la r\u00e9glementation du Registre des Voyageurs.<\/p>\n\n\n\n
\u00c0 ce sujet, l\u2019AEPD a \u00e9t\u00e9 tr\u00e8s claire : ni la loi n\u2019exige ces images, ni le RGPD ne les autorise. C\u2019est pourquoi toutes les entreprises qui g\u00e8rent des \u00e9tablissements touristiques doivent en prendre note afin d\u2019\u00e9viter des sanctions et de garantir la s\u00e9curit\u00e9 des donn\u00e9es de leurs clients.<\/p>\n\n\n\n
<\/p>\n\n\n\n
L\u2019entreprise sanctionn\u00e9e exigeait de ses clients des photos de leur carte d\u2019identit\u00e9 (recto et verso) ainsi qu\u2019un selfie comme condition d\u2019acc\u00e8s au logement. Elle affirmait qu\u2019il s\u2019agissait d\u2019une obligation l\u00e9gale li\u00e9e au Registre des Voyageurs, mais l\u2019AEPD a rejet\u00e9 cet argument : la l\u00e9gislation n\u2019impose pas de collecter des images de la carte d\u2019identit\u00e9, et il est interdit de recueillir plus de donn\u00e9es personnelles que ce qui est strictement n\u00e9cessaire.<\/p>\n\n\n\n
En outre, l\u2019entreprise ne fournissait pas d\u2019informations claires sur le traitement de ces donn\u00e9es : ni l\u2019identit\u00e9 du responsable, ni la finalit\u00e9, ni la dur\u00e9e de conservation, ni les droits des utilisateurs. R\u00e9sultat : deux infractions graves au R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD), sanctionn\u00e9es par des amendes de 25 000 \u20ac et 50 000 \u20ac respectivement.<\/p>\n\n\n\n
<\/p>\n\n\n\n
La r\u00e9glementation du nouveau Registre des Voyageurs, approuv\u00e9e par le D\u00e9cret royal 933\/2021 et en vigueur depuis le 2 d\u00e9cembre 2024, \u00e9largit les obligations d\u00e9j\u00e0 pr\u00e9vues par l\u2019ancienne Ordonnance INT\/1922\/2003, qui r\u00e9gulait l\u2019enregistrement des voyageurs dans les h\u00e9bergements traditionnels. Avec cette nouvelle norme, l\u2019obligation d\u2019enregistrer et de communiquer les donn\u00e9es des utilisateurs s\u2019\u00e9tend non seulement aux prestataires directs de services d\u2019h\u00e9bergement ou de location de v\u00e9hicules, mais aussi aux plateformes num\u00e9riques et aux op\u00e9rateurs touristiques agissant comme interm\u00e9diaires, tels qu\u2019Airbnb, Booking ou Expedia.<\/p>\n\n\n\n
Ce changement r\u00e9pond \u00e0 l\u2019\u00e9volution du secteur touristique et du commerce \u00e9lectronique. Aujourd\u2019hui, de nombreuses entreprises mettent en relation des voyageurs avec des h\u00e9bergements sans fournir directement le service. C\u2019est pourquoi le nouveau cadre juridique pr\u00e9cise que toute entit\u00e9 intervenant dans une r\u00e9servation et collectant des donn\u00e9es personnelles pourrait \u00eatre soumise \u00e0 ces obligations.<\/p>\n\n\n\n
<\/p>\n\n\n\n
<\/p>\n\n\n\n
Oui, la loi oblige les \u00e9tablissements d\u2019h\u00e9bergement (h\u00f4tels, resorts, auberges, campings, etc.) \u00e0 identifier tous leurs clients.<\/p>\n\n\n\n
Depuis fin 2023, le D\u00e9cret royal 933\/2021 impose l\u2019obligation d\u2019enregistrer les voyageurs s\u00e9journant dans des \u00e9tablissements touristiques, tels que les h\u00f4tels, appartements ou maisons rurales. Cet enregistrement doit \u00eatre transmis aux forces de s\u00e9curit\u00e9 de l\u2019\u00c9tat via une plateforme num\u00e9rique.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Seules les donn\u00e9es d\u2019identification suivantes doivent \u00eatre collect\u00e9es :<\/p>\n\n\n\n
En aucun cas il n\u2019est obligatoire ni recommand\u00e9 de demander des photos de la carte d\u2019identit\u00e9, des selfies ou toute autre donn\u00e9e biom\u00e9trique.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Cela constituerait une violation du principe de minimisation des donn\u00e9es du RGPD (art. 5.1.c), qui oblige \u00e0 ne collecter que les donn\u00e9es n\u00e9cessaires \u00e0 la finalit\u00e9 pr\u00e9vue. De plus, l\u2019entreprise commettrait une infraction si elle n\u2019informe pas correctement les utilisateurs sur le traitement de ces donn\u00e9es.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Oui, \u00e0 condition qu\u2019elles respectent les principes du RGPD : proportionnalit\u00e9, s\u00e9curit\u00e9 et transparence. Les outils d\u2019enregistrement num\u00e9rique ne peuvent pas exiger plus d\u2019informations que n\u00e9cessaire, ni utiliser les donn\u00e9es \u00e0 des fins secondaires (comme l\u2019envoi de publicit\u00e9) sans consentement explicite.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Si vous devez un jour envoyer une copie num\u00e9rique de votre carte d\u2019identit\u00e9, faites-le avec pr\u00e9caution. La Police nationale d\u00e9conseille de partager des images compl\u00e8tes et fid\u00e8les du document, car elles peuvent \u00eatre utilis\u00e9es pour des fraudes ou des usurpations d\u2019identit\u00e9. Une pratique s\u00fbre consiste \u00e0 pixeliser les donn\u00e9es sensibles (comme l\u2019adresse, la signature ou le code de support) en ne laissant visibles que celles strictement n\u00e9cessaires. Vous pouvez \u00e9galement ajouter un texte sur l\u2019image indiquant la raison de l\u2019envoi et la date, ce qui complique sa r\u00e9utilisation abusive.<\/p>\n\n\n\n
N\u2019oubliez pas que plus de 53 % de la population a \u00e9t\u00e9 victime d\u2019une forme de fraude en ligne au cours de l\u2019ann\u00e9e \u00e9coul\u00e9e, selon le CIS. C\u2019est pourquoi, chaque fois que vous partagez votre carte d\u2019identit\u00e9, faites-le via des canaux s\u00e9curis\u00e9s et uniquement lorsque c\u2019est indispensable. N\u2019acceptez jamais de l\u2019envoyer sans garanties ni justification l\u00e9gale claire.<\/p>\n\n\n\n
<\/p>\n\n\n\n
Le respect de la r\u00e9glementation n\u2019est pas seulement une obligation l\u00e9gale, c\u2019est aussi un outil cl\u00e9 pour prot\u00e9ger la confiance et la r\u00e9putation de votre entreprise. Demander des donn\u00e9es inutiles ou ne pas informer correctement sur leur traitement peut entra\u00eener des amendes \u00e9lev\u00e9es et des dommages r\u00e9putationnels difficiles \u00e0 r\u00e9parer.<\/p>\n\n\n\n
Chez CINC Asesor\u00eda, nous disposons d\u2019une \u00e9quipe sp\u00e9cialis\u00e9e en protection des donn\u00e9es<\/a> et conformit\u00e9 r\u00e9glementaire qui peut vous aider \u00e0 adapter votre activit\u00e9 touristique au RGPD et \u00e0 la r\u00e9glementation du Registre des Voyageurs. Si vous avez des questions sur la bonne application du D\u00e9cret royal 933\/2021 ou sur les donn\u00e9es que vous pouvez l\u00e9galement demander, contactez-nous et nous vous conseillerons sans engagement.<\/p>\n\n\n\n <\/p>\n\n\n\n