Vous tendez votre passeport à la réception d’un hôtel parisien et l’employé le glisse sous le scanner. La photocopie rejoint un classeur ou un dossier informatique dont personne ne vous explique la durée de conservation. Même scène dans un meublé réservé sur une plateforme : l’hôte exige une photo de votre carte d’identité avant de vous remettre les clés. Refuser expose à perdre la chambre déjà payée. Accepter laisse une copie de votre titre d’identité entre des mains inconnues, avec un risque d’usurpation d’identité qui dure des années.
La question se pose chaque jour à des milliers de voyageurs, français et étrangers, et elle reçoit en droit français une réponse nette, articulée autour de deux règles que les professionnels confondent souvent. D’un côté, l’hôtelier est soumis à une obligation légale précise : faire remplir une fiche individuelle de police au client étranger. De l’autre, la copie de la pièce d’identité lui est interdite, alors même qu’il peut demander à voir le document. Comprendre cette articulation permet de refuser la photocopie sans conflit inutile, d’exiger ensuite l’effacement des données conservées à tort, puis de saisir la CNIL et le juge si l’établissement ne répond pas. Le raisonnement vaut pour l’hôtel classique comme pour la chambre d’hôtes, le camping ou le meublé réservé en ligne, car les textes désignent l’ensemble des hébergements touristiques sans distinguer leur taille ni leur mode de commercialisation.
I. La fiche de police : une obligation étroite qui ne vise que le client étranger
A. Qui doit remplir la fiche, avec quelles données et pour combien de temps
L’obligation résulte des articles R. 814-1 à R. 814-3 du code de l’entrée et du séjour des étrangers et du droit d’asile. Aux termes de l’article R. 814-1, les hôteliers et les loueurs d’hébergements touristiques sont tenus de faire remplir et signer par l’étranger, dès son arrivée, une fiche individuelle de police. « Aux fins de prévention des troubles à l’ordre public, d’enquêtes judiciaires et de recherche dans l’intérêt des personnes », dispose le même article, qui organise cette fiche de police administrative. Le texte vise les hôteliers, les exploitants de villages et maisons familiales de vacances, de résidences et villages résidentiels de tourisme, les loueurs de meublés de tourisme et de chambres d’hôtes, ainsi que les exploitants de terrains de camping, de caravanage et d’autres terrains aménagés. Comme le résume la fiche officielle du service public, toute personne qui loue, à titre professionnel ou non, un hébergement touristique à un client de nationalité étrangère doit lui faire remplir cette fiche, y compris lorsque le client est ressortissant d’un pays de l’Union européenne.
Trois limites encadrent aussitôt cette obligation. D’abord, elle ne concerne que le client de nationalité étrangère. Le client français n’a aucune fiche à remplir et l’hôtelier ne tient d’aucun texte le droit de lui imposer un formulaire équivalent. Ensuite, les locations de locaux nus, c’est-à-dire non meublés, échappent à l’obligation : les personnes qui louent des locaux nus ne sont pas soumises aux obligations de la fiche de police. Un bail d’habitation classique n’entre donc pas dans ce régime. Enfin, le contenu de la fiche est fixé par les textes, pas par l’imagination du réceptionniste. L’article R. 814-2 énumère les données collectées : le nom et les prénoms, la date et le lieu de naissance, la nationalité, le domicile habituel, le numéro de téléphone mobile et l’adresse électronique, ainsi que les dates d’arrivée et de départ prévue. Aucun numéro de passeport, aucune photographie, aucune empreinte ne figure dans cette liste. Le même article précise que les données relatives aux enfants âgés de moins de 15 ans peuvent figurer sur la fiche d’un adulte qui les accompagne : l’enfant qui voyage avec ses parents ne remplit pas sa propre fiche.
La conservation et la circulation de la fiche obéissent à un régime tout aussi strict. L’article R. 814-3 dispose que les fiches doivent être conservées pendant six mois et remises, sur leur demande, aux services de police et aux unités de gendarmerie, et que cette transmission peut s’effectuer sous forme dématérialisée. Le service public le confirme en pratique : la transmission de la fiche aux forces de l’ordre n’est pas systématique et n’intervient que si elles l’exigent. L’hôtelier ne transmet donc pas vos données à la police à chaque séjour. Il les garde six mois, puis il doit les détruire. Passé ce délai, toute conservation devient fautive et ouvre le droit à l’effacement. Un modèle officiel de fiche est d’ailleurs mis à disposition par l’administration, ce qui laisse peu de place aux formulaires maison qui ajouteraient des rubriques : le modèle de fiche individuelle de police est fixé par l’administration.
B. La photocopie du passeport ou de la carte d’identité : interdite, même pour un client étranger
C’est ici que l’erreur la plus fréquente se produit. Pour remplir la fiche, l’hôtelier doit s’assurer de la nationalité du client et de l’exactitude des renseignements. Il peut donc demander à voir une pièce d’identité. Mais voir n’est pas copier. La CNIL répond à la question sans détour : à la question de savoir si un hôtelier peut faire une copie de la pièce d’identité, la réponse de la CNIL est non. L’autorité ajoute aussitôt la nuance utile : l’hôtelier peut demander au client de présenter une pièce d’identité afin de justifier de sa nationalité, parce que les hôteliers sont tenus de faire remplir et signer la fiche individuelle de police par toute personne étrangère, dès son arrivée. La présentation du document suffit à vérifier la nationalité et à recopier les mentions nécessaires sur la fiche. Le scan, la photocopie et la photographie du titre restent exclus.
Cette interdiction se comprend à la lecture du règlement général sur la protection des données. L’article 5 du règlement impose que les données soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, ce que le texte nomme la minimisation des données. Or la photocopie intégrale d’un passeport ou d’une carte d’identité contient bien plus que ce que la fiche exige : photographie, signature, numéro du document, zone de lecture optique, parfois taille ou adresse. Ces mentions ne sont ni adéquates ni limitées à la finalité de police administrative qui justifie la fiche. Le même article 5 exige que les données soient conservées sous une forme permettant l’identification des personnes pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Une photocopie archivée sans durée dans le système de réservation de l’hôtel méconnaît directement cette règle, alors même que la fiche elle-même ne peut vivre que six mois.
Le traitement de la fiche, lui, repose sur un fondement solide : l’article 6 du règlement déclare licite le traitement nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis. L’hôtelier qui établit la fiche pour un client étranger exécute l’obligation des articles R. 814-1 et suivants. La photocopie, en revanche, ne repose sur aucune obligation légale et ne peut s’appuyer ni sur le contrat d’hébergement ni sur un prétendu intérêt légitime, car la vérification visuelle suffit à atteindre la finalité. Le consentement arraché au comptoir, sous la pression de la remise des clés, ne constitue pas davantage un fondement valable : un accord donné pour obtenir une chambre déjà réservée n’est ni libre ni éclairé.
La jurisprudence du Conseil d’État sur les sanctions de la CNIL illustre la sévérité de ces principes. Dans l’affaire SERGIC, la formation restreinte avait prononcé une sanction pécuniaire de 400 000 euros pour conservation excessive de données de candidats à la location, et le Conseil d’État a rejeté le recours de la société le 4 novembre 2020 (Conseil d’État, 4 novembre 2020, n° 433311). Dans l’affaire Ubeeqo, sanctionnée de 175 000 euros pour la conservation de la totalité des données de géolocalisation de ses véhicules, le juge administratif a écarté les moyens contestant le manquement à la minimisation des données (Conseil d’État, 6 décembre 2023, n° 467368). La société Optical Center, sanctionnée pour des manquements à la sécurité de son site, a vu son amende ramenée de 250 000 à 200 000 euros seulement, la sanction demeurant justifiée sur le principe (Conseil d’État, 17 avril 2019, n° 422575). Ces décisions montrent que la CNIL sanctionne la collecte et la conservation qui dépassent le nécessaire, et que le juge valide cette lecture exigeante. Un hôtel qui photocopie systématiquement les passeports de sa clientèle s’expose à la même logique : collecte excessive au regard d’une finalité qui se satisfait d’une vérification visuelle.
Deux situations particulières appellent une réponse précise. Le client français, d’abord : aucun texte ne l’oblige à remplir une fiche de police et aucune disposition n’autorise l’hôtelier à photocopier sa carte d’identité. La demande de copie peut être refusée sèchement, et la réservation ne peut être annulée pour ce motif sans engager la responsabilité de l’établissement. Le client étranger, ensuite : il doit remplir et signer la fiche dès son arrivée, présenter son passeport pour justifier de sa nationalité, mais il peut refuser que le document soit scanné ou photographié. Si l’hôtelier conditionne la remise de la chambre à la copie, le client peut remplir la fiche, inscrire ses mentions exactes et exiger que le passeport lui soit rendu sans reproduction. Le cas du paiement par chèque mérite une mention : la CNIL rappelle que l’hôtelier peut demander de justifier de l’identité du client qui paie par chèque, en application des règles du code monétaire et financier. Là encore, la présentation suffit et la copie demeure exclue.
Les locations entre particuliers relèvent du même régime dès qu’elles portent sur un hébergement touristique meublé. L’hôte qui loue un meublé de tourisme ou une chambre d’hôtes, même occasionnellement et même par l’intermédiaire d’une plateforme, doit faire remplir la fiche au voyageur étranger et ne peut pas davantage conserver une copie de son passeport. La plateforme, de son côté, collecte ses propres données pour le compte et la réservation, sous sa propre responsabilité. Le voyageur qui a transmis sa pièce d’identité au service de vérification de la plateforme puis se voit réclamer une seconde copie par l’hôte distingue ainsi deux traitements différents, chacun soumis à ses propres règles et durées.
II. Refuser la copie, récupérer vos données et obtenir réparation
A. Au comptoir puis après le séjour : les réflexes qui protègent vos droits
Au moment de l’arrivée, la fermeté polie suffit dans la plupart des cas. Présentez votre pièce d’identité ouverte à la page utile, laissez l’employé lire les mentions nécessaires à la fiche, et déclarez que vous refusez la photocopie et le scan. Si vous êtes étranger, remplissez la fiche vous-même avec les six rubriques prévues par les textes et signez-la. Si vous êtes français, rappelez qu’aucune fiche n’est exigée de vous. Lorsque l’établissement insiste, demandez le nom du responsable du traitement et les coordonnées de son délégué à la protection des données : le règlement impose au responsable de fournir au client une information d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples. Cette seule demande signale que vous connaissez vos droits et conduit souvent l’établissement à renoncer à la copie.
Après le séjour, deux droits permettent de reprendre la main sur les données déjà collectées. Le droit d’accès, d’abord : toute personne a le droit d’obtenir du responsable du traitement la confirmation que des données la concernant sont traitées et, lorsqu’elles le sont, l’accès à ces données, avec les finalités, les catégories de données, les destinataires et la durée de conservation. Écrivez à l’hôtel en demandant la copie de la fiche de police vous concernant, la copie de tout scan ou photocopie de votre pièce d’identité conservé, l’indication de leur durée de conservation et la liste de leurs destinataires. Le droit à l’effacement, ensuite : vous pouvez obtenir l’effacement dans les meilleurs délais lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou lorsque les données ont fait l’objet d’un traitement illicite. La photocopie du passeport entre dans les deux cas : elle n’a jamais été nécessaire et son traitement est illicite dès l’origine. Quant à la fiche de police, son délai de six mois écoulé, sa conservation devient elle-même illicite et son effacement peut être exigé. Vous pouvez également vous opposer à tout moment au traitement de prospection commerciale que l’hôtel adosserait à vos coordonnées, car le règlement reconnaît le droit de s’opposer à tout moment, pour des raisons tenant à la situation particulière de la personne.
La preuve se prépare dès le séjour. Conservez la confirmation de réservation, la facture, tout échange écrit avec l’établissement et, si possible, une photographie de l’affichette qui annoncerait la photocopie systématique. Notez la date, l’heure et le nom de l’employé qui a exigé la copie. Si la copie a été réalisée malgré votre refus, demandez-en immédiatement la suppression et faites consigner votre demande par écrit, par courriel adressé le jour même. Ces éléments datés feront la différence devant la CNIL puis devant le juge, car ils établissent le caractère systématique de la pratique et l’absence de votre accord.
Lorsque la réservation est passée par une plateforme, adressez des demandes distinctes à l’hôte et à la plateforme, car chacun est responsable de son propre traitement. La plateforme qui a vérifié votre identité pour sécuriser le compte conserve sa propre copie selon ses conditions, que vous pouvez contester séparément par le même droit d’accès et le même droit à l’effacement. L’hôte qui a scanné votre passeport à l’arrivée ne peut pas se retrancher derrière la vérification effectuée par la plateforme : chaque copie doit avoir son propre fondement, et la sienne n’en a aucun. Cette distinction évite que les deux acteurs se renvoient la demande et accélère l’effacement complet.
À Paris et en Île-de-France, ce contentieux présente une intensité particulière. La capitale concentre les hôtels, les meublés de tourisme et les chambres d’hôtes, et les voyageurs étrangers y sont majoritaires dans de nombreux établissements. Les contrôles y sont aussi plus fréquents : la préfecture de police de Paris reçoit les fiches sur demande comme ailleurs, mais les services de contrôle de la CNIL, dont le siège se trouve à Paris, y diligente une part importante de ses vérifications. En cas de litige, le tribunal judiciaire de Paris peut être saisi par le voyageur domicilié dans son ressort ou lorsque l’établissement défendeur y est installé, et la proximité des juridictions franciliennes facilite l’assignation rapide avant l’effacement des preuves. Le voyageur de passage qui a regagné l’étranger conserve l’intégralité de ses droits et peut agir par correspondance, la réclamation CNIL s’effectuant en ligne.
B. CNIL, juge et réparation : l’escalade quand l’hôtel ne répond pas
Si l’établissement ne répond pas à votre demande d’accès ou d’effacement dans un délai d’un mois, ou si sa réponse est évasive, la plainte devant la CNIL constitue la deuxième étape. Le règlement donne à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle si elle considère que le traitement de ses données constitue une violation du règlement. La réclamation s’effectue en ligne sur le site de la CNIL, en joignant la copie de votre demande à l’hôtel et de sa réponse ou de son silence. L’autorité dispose de pouvoirs d’enquête étendus, dont celui d’obtenir du responsable du traitement l’accès à toutes les données à caractère personnel et à toutes les informations nécessaires à l’accomplissement de ses missions. Elle peut mettre en demeure l’hôtel, prononcer une injonction de mise en conformité sous astreinte et infliger une amende. Le règlement exige que ces amendes soient effectives, proportionnées et dissuasives. La procédure de sanction de la CNIL, de la mise en demeure à l’amende et à l’injonction sous astreinte, avec les recours ouverts contre elle, éclaire utilement ce que risque un établissement qui photocopie systématiquement les titres de ses clients.
L’inaction de la CNIL n’est pas sans recours. Lorsque l’autorité ne traite pas une réclamation ou n’informe pas son auteur dans un délai de trois mois, le plaignant peut saisir le juge administratif, et le Conseil d’État contrôle alors l’erreur manifeste d’appréciation. Le 17 juin 2026, statuant sur la plainte d’un client contre une société de paiement dont la CNIL avait clôturé le dossier, le Conseil d’État a examiné au fond les griefs tirés de la sécurité des données avant de rejeter la requête (Conseil d’État, 17 juin 2026, n° 509593). Cette décision récente confirme que la clôture d’une plainte se conteste et que le juge vérifie réellement le travail de l’autorité. Conservez donc l’accusé de réception de votre plainte et toute information sur son avancement, car le règlement impose à l’autorité d’informer le plaignant de l’état et de l’issue de sa réclamation.
Le troisième niveau est judiciaire et indemnitaire. Sans préjudice de la réclamation CNIL, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que ses droits ont été violés du fait d’un traitement effectué en violation du règlement. L’action s’intente devant la juridiction de l’État membre où le responsable dispose d’un établissement, ce qui désigne en pratique le tribunal judiciaire du lieu de l’hôtel pour un établissement français. Surtout, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir réparation du préjudice subi. Le préjudice moral se caractérise ici sans difficulté : anxiété liée à la circulation d’une copie de passeport, démarches pour surveiller une éventuelle usurpation d’identité, temps consacré aux réclamations. L’hôtel ne s’exonère qu’en prouvant que le fait qui a provoqué le dommage ne lui est nullement imputable, preuve redoutable lorsque la photocopie a été réalisée par son propre personnel. En pratique, la mise en demeure chiffrée adressée à l’établissement, rappelant ces textes et les sanctions encourues, suffit fréquemment à obtenir l’effacement attesté et une indemnisation amiable, sans qu’il soit besoin d’aller jusqu’à l’audience.
Conclusion
La règle se résume en trois phrases. La fiche individuelle de police ne concerne que le client étranger, ne contient que six rubriques et ne vit que six mois. La photocopie du passeport ou de la carte d’identité est interdite dans tous les cas, car la présentation du document suffit à remplir la fiche. Lorsque l’hôtel passe outre, le droit d’accès et le droit à l’effacement permettent d’abord d’agir par écrit, puis la réclamation CNIL, le recours contre la clôture abusive et l’action en réparation devant le juge prennent le relais, avec des sanctions que le Conseil d’État valide régulièrement. Le voyageur qui connaît cette articulation refuse la copie au comptoir sans affrontement, exige ensuite l’effacement des données conservées à tort et, faute de réponse, fait constater la violation par l’autorité et le juge.