Accueil · Blog · Déclaration, DPE et copropriété

RGPD et hébergement touristique : fiches, passeports, durées de conservation

Elena Sitki · exploitation de la maison d’hôtes GreenSLO et relations publiques de ReceptionGO
Publié le 25 octobre 2026 · 5 min de lecture

Article informatif : ce n’est ni un conseil juridique ni un conseil fiscal. Pour votre cas, vérifiez auprès de votre mairie, de votre expert-comptable, ou sur Service-Public.fr et Légifrance.

La fiche de police est une obligation légale : les rubriques prévues, six mois, transmission seulement sur demande de la police. Le reste, photo du passeport ou prospection, se justifie à part et se garde moins longtemps. Les factures suivent le délai comptable, en pratique dix ans. Le voyageur est informé à la collecte : qui vous êtes, pourquoi, combien de temps, et comment rectifier.

Essayez ReceptionGO 30 jours gratuitement — sans carte bancaire. →

Un passeport photographié dans WhatsApp, « pour la fiche », n’est pas une fiche. C’est une copie de document d’identité, dans une messagerie, sans durée, sans information du voyageur, et souvent sur le téléphone de la personne qui fait le ménage. Le RGPD ne demande pas un dossier de quarante pages à un meublé d’un logement. Il demande de savoir pourquoi vous collectez, de ne pas en prendre plus, et d’effacer.

Trois raisons, trois durées

Le contenu de la fiche et les personnes visées sont dans la fiche individuelle de police. N’y ajoutez pas de rubrique « parce que le logiciel le propose ».

La photo du passeport

Lire une pièce pour remplir nom, prénoms, date de naissance et nationalité est une vérification. Conserver l’image des années durant ne l’est plus : la fiche, elle, n’exige pas la copie. Si l’image sert à contrôler que le formulaire n’a pas été rempli n’importe comment, fixez-lui une durée courte, dites-le, et restreignez qui y accède. Le voyageur français, qui n’a pas de fiche de police, n’a pas non plus à laisser son passeport « au cas où » sans une raison à lui.

Dire au voyageur, au moment où il donne

Au check-in, quelques lignes suffisent, dans sa langue :

• qui est responsable (vous, pas la plateforme, pour les données que vous collectez en direct) ;
• pourquoi : fiche légale pour les étrangers, exécution du séjour, facture ;
• combien de temps ;
• qu’il peut accéder et faire rectifier, et à quelle adresse écrire ;
• qu’il peut saisir la CNIL s’il estime que cela ne suffit pas.

Le droit d’opposition ne s’applique pas à la fiche. Il s’applique à la newsletter. Mélanger les deux phrases (« en réservant vous acceptez de recevoir nos offres ») est le genre de formule qui ne tient pas. Le parcours concret est dans le check-in en ligne.

Sous-traitants, fuite, mini-hôtel

Channel manager, logiciel de caisse, boîte mail, serrure connectée : chacun voit une partie des données. Vous restez responsable. L’article 28 du RGPD demande un contrat qui dit ce que le sous-traitant peut faire, et surtout ce qu’il ne peut pas faire. Une fuite (boîte mail piratée, export envoyé au mauvais interlocuteur) se notifie à la CNIL dans les 72 heures quand le risque pour les personnes est réel, et parfois aux voyageurs eux-mêmes. Un passeport dans la nature, c’est ce cas-là.

Les factures suivent un autre tiroir, y compris quand elles deviendront électroniques. Ne mettez pas le numéro de la pièce d’identité sur la facture « pour faire sérieux ». Voir facturation électronique.

Le minimum tenable

• Fiches étrangères : six rubriques, six mois, pas de copie inutile.
• Factures : sans pièce d’identité, gardées à part.
• Newsletter : case séparée, pas pré-cochée dans le parcours d’arrivée.
• Vous savez dire où sont les serveurs et qui y a accès.
• La personne qui fait le ménage n’a pas les passeports sur son téléphone.