Chers WuBookers,

Comme vous le savez bien, l’une des obligations de l’hôtelier est de protéger les informations de ses clients. Une affirmation qui peut sembler évidente, mais qui comporte en réalité plusieurs implications tant sur le plan pratique que juridique.

Voyons donc quelles sont les réglementations en matière de confidentialité pour les hôtels et autres établissements touristiques, et comment s’y conformer avec l’aide de la technologie.

Le RGPD : un aperçu

Le Règlement général sur la protection des données (RGPD) est la réglementation européenne qui définit comment les données personnelles peuvent être utilisées, stockées, protégées et partagées.

Comme le décrit la Commission Européenne, le RGPD s’applique :

• à toute entreprise ou entité qui traite des données personnelles dans le cadre des activités de l’une de ses filiales établies dans l’UE, quel que soit l’endroit où les données sont traitées ;
• à toute entreprise établie en dehors de l’UE mais proposant des biens ou services (gratuits ou payants) ou surveillant le comportement des personnes situées dans l’UE.

Cela signifie, par exemple, que même les hôtels situés en dehors de l’Europe mais traitant les données personnelles de clients européens sont soumis à cette réglementation.

Les obligations imposées par le RGPD sont variées et incluent, par exemple, la possibilité pour les utilisateurs de demander la suppression de leurs données des bases de données des entreprises (droit à l’oubli) ou encore l’obligation pour les entreprises d’informer les utilisateurs en cas de violation des données (data breach).

Ici, nous nous concentrons principalement sur les aspects liés à la confidentialité des données, c’est-à-dire les procédures à suivre pour collecter et utiliser les données personnelles des clients dès la réservation.

Quelles données peuvent être collectées et traitées par l’hôtel

Pour effectuer une réservation et séjourner dans un établissement, certains renseignements personnels sont demandés aux clients, tels que le prénom et le nom de famille (essentiels pour identifier le client), l’adresse e-mail ou le numéro de téléphone (pour communiquer au sujet de la réservation) ainsi que les informations de paiement. Ces données sont indispensables pour établir le contrat d’hébergement et fournir le service.

D’autres données, comme l’âge ou le genre, peuvent être collectées afin d’améliorer l’expérience du client dans l’établissement ou à des fins marketing, par exemple pour l’inclure dans des communications commerciales et promotions.

Enfin, les données dites « sensibles » concernent l’ethnicité, les convictions politiques et religieuses, l’état de santé, l’orientation sexuelle, etc. Ces dernières ne peuvent être collectées que lorsqu’elles sont nécessaires pour garantir la sécurité et le bien-être du client. Par exemple, il est important de connaître les allergies alimentaires afin d’adapter le service de restauration en conséquence.

Traitement des données dans les hôtels

Par traitement des données, nous entendons toute opération ou ensemble d’opérations impliquant des données, telles que leur collecte, leur stockage et leur transmission, qu’elles soient sous forme numérique ou analogique.

Pour traiter les données, l’hôtelier doit obtenir le consentement explicite des clients en leur fournissant un document spécifique : la fameuse politique de confidentialité.

La politique de confidentialité doit décrire de manière lisible, claire et sans ambiguïté quelles données sont collectées, dans quel but, et comment le client peut les modifier ou les supprimer.

Ce document peut être remis sous format papier à l’arrivée à l’hôtel ou sous format numérique lors des opérations de check-in.

Dans tous les cas, l’acceptation de cette politique est obligatoire pour les données utilisées à des fins promotionnelles et peut être considérée comme implicite pour les données essentielles. Cependant, il est toujours recommandé d’obtenir un consentement explicite pour ces dernières également.

Confidentialité des données et PMS pour les hôtels : le cas de Zak

Comme nous l’avons vu, certaines données sont essentielles pour garantir le service et constituent également une base d’informations précieuse pour analyser et améliorer son offre. Il est donc primordial de les collecter en respectant tous les critères du RGPD, sous peine de sanctions pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial de l’entreprise pour certaines infractions.

Zak, le PMS pour établissements hôteliers de WuBook, dispose de plusieurs fonctionnalités de protection des données conformes à la directive européenne.

Collecte du consentement

La première étape concerne le consentement au traitement des données. Sur la page de réservation du moteur de réservation de Zak (le système permettant les réservations directes), l’hôtelier peut insérer un lien vers sa politique de confidentialité, qui sera présenté au client pour acceptation.

Ce même lien peut également être intégré dans la page client, qui est l’espace où le client saisit et modifie ses informations personnelles ainsi que les détails de sa réservation.

En complément, l’hôtelier peut demander une signature numérique du client lors du check-in en ligne (celle-ci peut être effectuée avec une souris ou un doigt), offrant ainsi une garantie supplémentaire.

Conservation et suppression des données

L’automatisation du processus de collecte et de stockage des données numériques présente plusieurs avantages. En plus de réduire les erreurs manuelles et d’économiser de l’espace, du temps et des ressources (notamment le papier et l’encre), la numérisation des données permet également une suppression plus rapide si nécessaire.

Zak propose notamment trois niveaux d’anonymisation automatique, appliqués après un délai défini par l’hôtelier (par exemple, un an) :

• Soft : toutes les données du client sont supprimées, sauf le prénom, le nom et le pays.
• Medium : seuls le nom de famille, le pays et la première lettre du prénom sont conservés.
• Hard : toutes les données sont entièrement supprimées.

Protection et sécurité

Qu’en est-il des violations potentielles, comme le vol ou la diffusion illégale de données par des tiers non autorisés ? 

Zak est conçu pour offrir un haut niveau de protection, même dans ces cas-là. Son infrastructure est en effet certifiée conforme à la norme PCI-DSS (Payment Card Industry Data Security Standard). Cette certification garantit la sécurité des transactions par carte bancaire (via les passerelles de paiement), mais, dans le cas de Zak, elle a été étendue à l’ensemble des serveurs afin de protéger non seulement les transactions, mais aussi les données personnelles.

Des sauvegardes quotidiennes ainsi que des systèmes avancés de récupération des données permettent une restauration rapide des bases de données (en moins de 15 minutes !), garantissant ainsi la continuité des opérations.

De plus, des mesures de protection sont mises en place pour prévenir les fuites de données ainsi que les actions malveillantes de logiciels malveillants et de virus. La qualité du code, la surveillance constante et la sécurité du cloud sur lequel il est hébergé font de Zak l’un des logiciels les plus accessibles et les plus fiables du marché.

En résumé

Lorsqu’il s’agit du RGPD et de la protection de la confidentialité des utilisateurs, il est essentiel de bien comprendre ce qui est autorisé et comment le mettre en œuvre, y compris en s’entourant de conseillers juridiques expérimentés.

Les outils technologiques ne manquent pas pour soutenir cette activité : il suffit de savoir les choisir en prenant en compte ces aspects essentiels.