RGPD et location courte durée : protégez vos voyageurs

Pourquoi le RGPD concerne aussi les hôtes particuliers

Beaucoup d'hôtes pensent que le RGPD ne s'applique qu'aux grandes entreprises. C'est une idée reçue dangereuse. Dès que vous collectez, stockez ou traitez des données personnelles de vos voyageurs — nom, adresse e-mail, numéro de téléphone, copie de pièce d'identité — vous êtes considéré comme un responsable de traitement au sens du règlement européen. Cela vaut que vous louiez un studio ou que vous gériez une dizaine de biens.

Concrètement, si vous envoyez un formulaire d'arrivée en ligne, utilisez un tableur pour noter les coordonnées de vos hôtes ou conservez des photos de passeports dans votre boîte mail, vous traitez des données personnelles. L'absence de structure juridique formelle ne vous exonère pas de ces obligations. Mieux vaut donc comprendre les règles de base et les appliquer simplement, plutôt que de découvrir le sujet à la suite d'une plainte.

Quelles données collectez-vous réellement (et pourquoi cela pose question) ?

Faites l'inventaire : nom et prénom du voyageur, adresse e-mail, numéro de téléphone, date d'arrivée et de départ, parfois une copie de pièce d'identité pour respecter la réglementation sur le registre de police. À cela s'ajoutent parfois des données plus sensibles comme la nationalité, des préférences alimentaires ou des informations sur des enfants mineurs. Chaque donnée collectée doit avoir une raison d'être précise et documentée — c'est ce que le RGPD appelle le principe de minimisation.

La plateforme Airbnb ou Booking collecte une partie de ces données en votre nom, mais cela ne vous décharge pas de vos propres traitements. Tout ce que vous gérez en dehors de la plateforme — un Google Form, un fichier Excel, des échanges WhatsApp — relève de votre responsabilité directe. Listez vos outils et demandez-vous pour chacun : est-ce que j'ai vraiment besoin de cette information, et pendant combien de temps vais-je la garder ?

Vos obligations concrètes en tant qu'hôte

Le RGPD impose plusieurs obligations pratiques. Premièrement, informer vos voyageurs : vous devez leur expliquer quelles données vous collectez, pourquoi, combien de temps vous les conservez et quels sont leurs droits (accès, rectification, suppression). Cette information peut être intégrée dans un message d'accueil ou dans votre livret de bienvenue. Deuxièmement, collecter uniquement ce dont vous avez besoin : inutile de demander une pièce d'identité si la loi locale ne l'exige pas pour votre type de location.

Troisièmement, sécuriser les données : ne laissez pas traîner des photos de passeports dans votre galerie photo ou dans des e-mails non protégés. Utilisez des dossiers protégés par mot de passe ou des services chiffrés. Quatrièmement, respecter les durées de conservation : en général, les données d'un séjour n'ont pas à être conservées au-delà de quelques mois après le départ, sauf obligation légale spécifique comme la comptabilité. Fixer une date de purge régulière est une bonne pratique simple à mettre en place.

Le registre de police et les pièces d'identité : un cas particulier

En France, les hébergeurs non classés sont soumis à une réglementation spécifique concernant le registre des voyageurs. Si vous accueillez des personnes de nationalité étrangère, vous pouvez être tenu de remplir une fiche individuelle de police, ce qui implique de collecter des données d'identité. Cette obligation légale constitue une base juridique valide au sens du RGPD — vous collectez ces données parce que la loi vous y oblige, pas par commodité.

Cependant, cette justification légale ne vous autorise pas à utiliser ces données à d'autres fins, comme envoyer des newsletters ou constituer une base de prospects. Les fiches de police doivent être transmises aux autorités si demandé, puis détruites. Ne les conservez pas indéfiniment par précaution : fixez-vous une durée raisonnable, par exemple trois mois après le départ du voyageur, et supprimez ensuite les documents de façon sécurisée.

Simplifier la conformité au quotidien grâce aux bons outils

La conformité RGPD ne doit pas devenir un casse-tête. Quelques réflexes suffisent pour couvrir l'essentiel : utilisez des formulaires en ligne avec une mention d'information claire, évitez de stocker des données sensibles dans des outils non sécurisés, et établissez une routine de suppression des données obsolètes. Un livret d'accueil numérique comme StayParlo peut automatiser la transmission des informations de séjour tout en intégrant les mentions légales nécessaires, ce qui réduit votre charge administrative.

Pensez également à vérifier les conditions générales de vos outils tiers : votre logiciel de gestion, votre système de serrure connectée ou votre outil de messagerie traitent peut-être des données personnelles de vos voyageurs. Assurez-vous que ces prestataires sont eux-mêmes conformes au RGPD — on parle alors de sous-traitants, et vous devez pouvoir justifier que vous avez choisi des partenaires fiables. En cas de doute, n'hésitez pas à consulter le site de la CNIL, qui propose des guides accessibles aux non-juristes.

Questions fréquentes

Est-ce que je risque vraiment une amende si je ne respecte pas le RGPD en tant que particulier ?

Oui, le RGPD s'applique aux particuliers qui traitent des données de manière organisée et régulière. Les sanctions peuvent aller d'un simple avertissement à des amendes significatives. Dans la pratique, la CNIL intervient généralement après une plainte d'un voyageur. Mieux vaut adopter de bonnes pratiques dès maintenant plutôt que de courir ce risque.

Puis-je conserver la copie du passeport de mes voyageurs indéfiniment par sécurité ?

Non. Le principe de limitation de la conservation impose de ne garder les données que le temps nécessaire à la finalité pour laquelle elles ont été collectées. Pour un séjour classique, quelques mois après le départ suffisent. Au-delà, supprimez les documents de façon sécurisée. Conserver des pièces d'identité sans limite est une violation du RGPD.

Dois-je rédiger une politique de confidentialité si je loue via Airbnb ?

Airbnb dispose de sa propre politique de confidentialité, mais elle ne couvre que les données traitées via sa plateforme. Pour tout ce que vous gérez vous-même en dehors — formulaires, e-mails, fichiers — vous devez informer vos voyageurs. Une mention simple dans votre message d'accueil ou votre livret suffit souvent à remplir cette obligation d'information.