Règlement (UE) 2016/679, article 6.1 c)

DPO externalisé pour l'hôtellerie et la restauration

Un établissement hôtelier traite des données qui disent où une personne a dormi, avec qui, et ce qu'elle a consommé. Ces informations sont banales prises une à une, et sensibles par ce qu'elles révèlent une fois rapprochées. La conformité du secteur tient moins à la nature des données qu'à la discipline avec laquelle on empêche leur rapprochement au-delà de ce que chaque finalité exige.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce que la réglementation impose, et rien de plus

Certaines collectes s'imposent à l'établissement au titre d'obligations déclaratives propres à l'hébergement : elles reposent sur l'article 6.1 c) du règlement (UE) 2016/679, qui vise le respect d'une obligation légale. Cette base est solide, mais elle ne couvre que les informations que l'obligation exige et pour la durée qu'elle prévoit.

L'écart classique consiste à traiter ce fichier réglementaire comme le fichier client de l'établissement : il alimente alors la connaissance commerciale, le ciblage et la fidélisation, finalités qui ne relèvent d'aucune obligation légale et doivent disposer de leur propre base. La séparation se fait au niveau du système, pas seulement au niveau du discours : deux finalités, deux enregistrements au registre, deux durées.

Les canaux de réservation et la question du rôle

Une réservation arrive par le site de l'établissement, par une plateforme de distribution, par une centrale de groupe ou par un voyagiste. Chacun de ces canaux implique un acteur dont le rôle diffère : la plateforme qui détermine ses propres finalités de connaissance client et de recommandation est responsable du traitement pour celles-ci ; le moteur de réservation qui exécute pour le compte de l'établissement est sous-traitant au sens de l'article 28.

Lorsqu'un établissement et une plateforme déterminent conjointement certaines finalités, l'article 26 du règlement impose de définir par accord leurs obligations respectives, en particulier quant à l'exercice des droits des personnes. En pratique, la question qui tranche est celle-ci : lorsqu'un client demande l'effacement de ses données, qui exécute, et qui lui répond.

Fidélité, préférences et données involontairement sensibles

Les programmes de fidélité collectent des préférences destinées à personnaliser le séjour. Certaines d'entre elles révèlent des informations que l'article 9.1 du règlement protège : un régime alimentaire peut révéler une conviction religieuse ou un état de santé, une demande d'aménagement peut révéler un handicap.

Le traitement de ces préférences reste possible, mais il suppose alors une exception de l'article 9.2, en pratique le consentement explicite du point a). Cela impose que la collecte soit présentée comme un choix, que le refus n'empêche pas la réservation, et que l'information dise ce que la donnée est devenue. Recueillir en champ libre une préférence qui révèle une conviction, sans ce cadre, fait entrer une donnée de l'article 9 dans une base construite pour du droit commun.

Vidéoprotection, accès internet et sécurité des paiements

La vidéoprotection d'un établissement recevant du public poursuit une finalité de sécurité légitime, sous réserve qu'elle ne couvre ni les espaces privatifs, ni en continu un poste de travail déterminé, et que l'information soit visible à l'entrée du champ des caméras. Les durées de conservation des images doivent être courtes et effectivement appliquées par écrasement automatique.

L'accès internet mis à disposition de la clientèle emporte, lui, des obligations de conservation de données de connexion propres au droit national, distinctes du règlement. Le portail captif qui collecte au passage une adresse électronique à des fins commerciales ajoute un second traitement, qui suppose sa propre base légale : subordonner l'accès au réseau à l'acceptation de recevoir de la prospection vicie le consentement.

Questions fréquentes

Peut-on utiliser le fichier des clients hébergés pour la prospection ?

Pas au titre de l'obligation déclarative qui a justifié sa constitution. Un traitement fondé sur l'article 6.1 c) du règlement (UE) 2016/679 ne couvre que ce que l'obligation légale impose. La prospection est une finalité distincte, qui suppose sa propre base légale, sa propre information et, pour la sollicitation électronique d'un particulier, son consentement préalable.

Les préférences alimentaires d'un client sont-elles des données sensibles ?

Elles peuvent le devenir. Une préférence qui révèle une conviction religieuse ou un état de santé relève de l'article 9.1 du règlement, qui en interdit le traitement sauf exception. Le consentement explicite du point a) est mobilisable, à condition que la collecte soit présentée comme facultative et que le refus n'ait aucune conséquence sur la réservation.

Qui répond à une demande d'effacement venue d'une plateforme de réservation ?

Cela dépend de la qualification du rôle de chacun. Lorsque l'établissement et la plateforme déterminent conjointement certaines finalités, l'article 26 du règlement leur impose de définir par accord leurs obligations respectives, notamment quant à l'exercice des droits. Sans cet accord, les deux restent exposés, et la personne peut s'adresser à l'un comme à l'autre.

Un hôtel doit-il désigner un délégué à la protection des données ?

L'activité hôtelière ordinaire ne relève pas mécaniquement de l'article 37.1 du règlement. Un groupe qui exploite un programme de fidélité étendu, avec suivi comportemental continu d'une large clientèle, s'approche en revanche du critère de suivi régulier et systématique à grande échelle du point b). L'appréciation se conduit et se consigne par écrit.

Ce que ce régime déclenche ailleurs

Les systèmes de réservation et de paiement d'un établissement concentrent des données de clientèle : la procédure de notification doit être écrite avant l'incident, pas pendant.

Que faire en cas de violation de données

Protection renforcée des mineurs, base légale des traitements scolaires, outils numériques et edtech en sous-traitance, résultats et orientation, information des familles.

Éducation

Fichier des adhérents, opinions révélées par l'objet social, donateurs et appels aux dons, bénévoles, et outils mutualisés dans des structures sans ressources dédiées.

Associations

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.