Puis-je demander une copie de la carte d'identité ou du passeport aux clients ? Quelles données garder, combien de temps et comment respecter la protection des données

Réponse courte : ne demandez ni copie ni photo de la carte d'identité ou du passeport. L'Agence espagnole de protection des données (AEPD) l'a dit clairement en juin 2025 : la demander « viole le principe de minimisation des données », car le document contient plus de données que la loi n'oblige à collecter (la photo, la date d'expiration, le nom des parents…). Et ce n'est pas théorique : en 2025, elle a adressé un avertissement à un logement touristique d'Almería qui demandait des images de la carte d'identité par WhatsApp, et lui a ordonné de les supprimer et de ne plus les demander. Ce que vous devez faire : vérifier le document, noter les données exigées par l'Intérieur, les transmettre à SES.Hospedajes dans les 24 heures, informer le client de l'usage de ses données et les conserver en sécurité pendant la durée prévue.

Quelles données dois-je demander ?

Celles de l'annexe I du Décret royal 933/2021, pas une de plus. Pour chaque voyageur :

• Nom et prénoms, sexe et date de naissance.
• Type de document (carte d'identité, passeport, titre de séjour), numéro et numéro de support du document.
• Nationalité et lieu de résidence habituelle (adresse complète, localité, pays).
• Téléphone et adresse e-mail.
• Nombre de voyageurs et lien de parenté si l'un d'eux est mineur.

Et pour la réservation : référence et date du contrat, dates et heures d'arrivée et de départ, adresse du logement, nombre de chambres, présence d'internet, et les données du paiement. La fiche est signée par chaque personne de plus de 14 ans ; les données des mineurs sont fournies par l'adulte qui les accompagne (art. 4.2).

Comment vérifier que les données sont exactes sans demander de copie ?

Le décret vous rend responsable de la concordance des données avec le document, que le client doit « présenter ou fournir » (art. 4.3). Présenter n'est pas remettre une copie. L'AEPD elle-même propose comment faire :

• En personne : le client remplit le formulaire (sur papier ou sur son téléphone) et vous regardez le document pour vérifier qu'il correspond. Cela suffit.
• À distance : un formulaire en ligne avec seulement les données de l'annexe I, et la vérification par une autre voie : certificat numérique, rapprochement avec les données du moyen de paiement ou code envoyé sur son téléphone ou son e-mail.

L'Intérieur l'admet expressément : les données peuvent être recueillies « par tout système permettant de vérifier l'exactitude des données, même sans présence physique », dans le respect de la protection des données.

Ce qu'il ne faut pas faire : demander une photo de la pièce d'identité par WhatsApp, garder ces photos sur votre téléphone ou dans un dossier, ou photocopier le passeport à la remise des clés. En plus d'être excessive, dit l'AEPD, une copie « ne permet pas de vérifier avec certitude l'identité de la personne ».

Et les applications qui lisent le document avec l'appareil photo ?

Beaucoup de systèmes d'enregistrement en ligne lisent le document avec le téléphone et remplissent les données automatiquement. En 2024, l'AEPD a classé une plainte contre un hôtel équipé d'un lecteur de carte d'identité parce qu'il n'a pas été prouvé que le système conservait l'image complète. La ligne est donc la suivante : lire les données et ne pas conserver l'image. Si vous prenez une application d'enregistrement, demandez par écrit si elle garde la photo du document et combien de temps. Si oui, vous êtes dans le même cas que WhatsApp.

Quand faut-il transmettre les données et combien de temps les garder ?

• Transmission à l'Intérieur via SES.Hospedajes : « immédiatement, et en tout cas dans un délai maximal de 24 heures » à compter de la réservation (ou de son annulation) et de l'arrivée (art. 6.3). Ce sont deux communications. Nous l'expliquons dans L'enregistrement des voyageurs.
• Conservation : celui qui héberge à titre professionnel tient un registre informatique et le garde trois ans après le départ (art. 5.3). L'Intérieur considère comme professionnel celui qui est inscrit au registre des entreprises du fisc espagnol. Celui qui héberge à titre non professionnel doit seulement transmettre, pas conserver le registre (art. 5.4). Si vous avez une société de gestion, c'est elle qui tient le registre.
• À part, le document « valant contrat » que le client signe à l'arrivée se conserve un an à disposition de la Junta (art. 7.3 du Décret 28/2016). C'est un autre papier, pas le registre des voyageurs (Documents obligatoires dans le logement).

Une fois le délai écoulé, on supprime. Garder des données « au cas où », c'est exactement ce que le règlement européen interdit (art. 5.1.e : « pas plus longtemps que nécessaire »).

Que dois-je dire au client ?

En recueillant les données, vous devez l'informer (art. 13 du règlement européen). On peut le faire par niveaux (art. 11 de la loi espagnole) : un court paragraphe dans le formulaire et un lien vers l'information complète. Le court paragraphe contient au minimum qui vous êtes, à quoi servent les données et comment exercer ses droits. Par exemple :

Responsable : [votre nom ou celui de la société de gestion]. Finalité : respecter l'obligation légale d'enregistrement des voyageurs (Décret royal 933/2021) ; les données sont transmises au ministère espagnol de l'Intérieur. Les fournir est obligatoire pour séjourner. Vous pouvez exercer vos droits d'accès, de rectification et d'effacement à [e-mail]. Plus d'informations : [lien].

L'information complète ajoute la base juridique (obligation légale), la durée de conservation (trois ans) et le droit de réclamer auprès de l'AEPD.

Puis-je utiliser son e-mail pour lui proposer un autre séjour ?

Sous conditions. La loi permet d'écrire à un ancien client sans lui demander son accord préalable pour lui proposer des services similaires de votre propre entreprise (art. 21.2 de la Loi 34/2002), à condition de lui avoir donné la possibilité de refuser au moment de recueillir l'e-mail et de lui offrir un moyen simple et gratuit de se désinscrire dans chaque envoi. Deux nuances : les données recueillies pour la police servent à cela et il vaut mieux ne pas les réutiliser pour la publicité ; et si la réservation vient de Booking ou Airbnb, l'e-mail affiché est généralement un alias de la plateforme, qui n'est pas fait pour le marketing.

Comment les conserver sans problème ?

Le règlement européen demande des mesures de sécurité « adaptées au risque » (art. 32). Pour un logement touristique, en pratique :

• Une application ou un formulaire en ligne protégé par mot de passe, pas un cahier dans le tiroir ni un dossier partagé.
• Aucun document de client dans le WhatsApp de votre téléphone personnel.
• Accès réservé à ceux qui en ont besoin (vous, votre gestionnaire).
• Suppression à la fin du délai.

Puis-je installer une caméra à l'entrée ?

À l'intérieur du logement, jamais : l'AEPD rappelle que les caméras à l'intérieur des appartements de location temporaire ne sont pas autorisées. À la porte ou sur le palier, seulement avec l'accord de l'assemblée de copropriété consigné au procès-verbal, en filmant le strict nécessaire, avec un panneau d'information et en effaçant dans un délai d'un mois maximum (art. 22 de la Loi organique 3/2018). En 2023, l'AEPD a infligé une amende de 1 000 € à une société d'appartements touristiques andalouse pour une caméra qui filmait le palier sans accord de la copropriété : les e-mails aux voisins n'ont pas suffi. Si ce qui vous inquiète, ce sont les fêtes, il existe des solutions sans image (Fêtes et bruit).

Que se passe-t-il si je ne respecte pas les règles ?

Deux fronts distincts :

• Enregistrement des voyageurs (Loi organique 4/2015 sur la sécurité publique) : ne pas tenir le registre ou ne pas transmettre est une infraction grave, punie d'une amende de 601 à 30 000 € (art. 36.20 et 39) ; transmettre en retard ou avec des erreurs est une infraction légère, de 100 à 600 € (art. 37.9). Une première infraction, sauf circonstances aggravantes, est sanctionnée dans sa tranche la plus basse.
• Protection des données : demander et conserver des copies de pièces d'identité, ne pas informer ou ne pas supprimer. Dans les cas de logements touristiques que nous connaissons, l'AEPD a adressé un avertissement (le cas de la pièce d'identité par WhatsApp) ou infligé une amende de 1 000 € (la caméra du palier). Le montant est fixé par l'Administration au cas par cas.

En résumé