Au Luxembourg, la loi du 28 février 2025 impose aux exploitants d’hébergements touristiques d’établir une fiche d’hébergement pour chaque voyageur de 15 ans ou plus, et pour chaque séjour. Pour remplir cette fiche, l’exploitant a le droit de consulter le document d’identité du client. Consulter, c’est-à-dire le regarder et relever les informations nécessaires. Rien de plus.
Peut-on photocopier ou scanner la pièce d’identité d’un client ?
Non, et la CNPD le dit sans détour : la copie est interdite dans ce cadre, quelle que soit sa forme, photocopie, scan ou photo prise avec le téléphone de la réception. La distinction peut sembler byzantine, elle est en réalité le cœur du RGPD appliqué au comptoir d’accueil. La fiche d’hébergement a besoin de quelques données précises. Le document d’identité en contient bien davantage : photographie, signature, numéro de document, autant d’éléments qui n’ont rien à faire dans les archives d’un hôtel et qui, en cas de fuite, alimentent directement l’usurpation d’identité.
Pourquoi parle-t-on de principe de minimisation ?
L’article 5.1.c du RGPD impose de ne collecter que les données nécessaires à la finalité poursuivie. La finalité, ici, c’est la fiche d’hébergement. Les données nécessaires peuvent être relevées en consultant le document. Conserver une image complète du document dépasse donc le besoin, et ce dépassement constitue à lui seul un manquement, même sans plainte, même sans incident. C’est ce raisonnement que les contrôleurs appliqueront cet été.
À quoi faut-il s’attendre avec les contrôles de l’été ?
La CNPD annonce une action de vérification à l’échelle nationale durant la saison estivale. La séquence est classique chez les autorités : un rappel pédagogique d’abord, publié fin mai, des inspections ensuite. Un exploitant contrôlé qui aura maintenu la copie systématique après l’avertissement public aura du mal à plaider la bonne foi. Trois gestes suffisent pour se mettre en ordre : cesser la copie dès aujourd’hui, purger les copies déjà stockées dans les dossiers et les boîtes mail, et briefer l’équipe de réception, y compris les saisonniers qui arrivent.
La règle est-elle la même en France ?
La logique est identique. La fiche individuelle de police exigée des hébergeurs français pour les voyageurs étrangers se remplit par consultation du document, elle n’autorise pas sa copie. La CNIL applique le même principe de minimisation, et les secteurs qui manipulent des documents d’identité figurent régulièrement dans ses contrôles. Pour une dirigeante, le calcul est vite fait : la mise en conformité coûte une consigne d’équipe et une purge de dossiers. Le manquement, lui, peut coûter une sanction et une réputation, au moment précis où les clients choisissent leur hébergement en ligne. Un point de vigilance simple à inscrire dans votre registre des traitements, qui reste le meilleur endroit pour documenter ce type de règle d’accueil.
Source : CNPD, actualité du 28 mai 2026
