À la réception d’un hôtel, la scène est devenue banale : le réceptionniste demande votre carte d’identité ou votre passeport, le pose sur le scanner ou le photographie avec son téléphone, puis vous rend le document en vous invitant à patienter. Beaucoup de voyageurs acceptent sans discuter, persuadés que l’établissement y est obligé. D’autres s’inquiètent de retrouver la copie de leur titre d’identité dans un fichier commercial, revendue à un partenaire ou piratée lors d’une cyberattaque. La question se pose donc simplement : un hôtel a-t-il le droit d’exiger une photocopie de votre pièce d’identité, de la conserver après votre départ, et que pouvez-vous faire s’il refuse de l’effacer ?

La réponse tient en trois temps. D’abord, la copie systématique du titre d’identité est interdite : l’hôtel peut vérifier qui vous êtes, il ne peut pas archiver votre carte d’identité. Ensuite, une seule obligation pèse sur l’hébergeur, et elle ne concerne que les clients de nationalité étrangère : la fiche individuelle de police, strictement encadrée. Enfin, si une copie a été conservée malgré tout, le règlement général sur la protection des données vous donne des armes concrètes : droit d’accès, droit à l’effacement, plainte devant la CNIL et action en réparation devant le juge. Cet article décrit chaque étape, avec les textes applicables et la jurisprudence récente, dont une décision du Conseil d’État rendue en juin 2025 dans un litige opposant un client à un hôtel.

I. Un hôtel peut-il conserver une copie de votre pièce d’identité ?

A. La photocopie systématique est interdite, même si la présentation du document reste possible

La position de la CNIL est nette. À la question un hôtelier peut-il faire une copie de ma pièce d’identité ?, l’autorité répond : « Non. ». Cette interdiction de principe découle directement du règlement général sur la protection des données, le règlement (UE) 2016/679 du 27 avril 2016. Son article 5, paragraphe 1, impose que les données personnelles soient adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies (article 5, paragraphe 1, point c), du règlement, principe de minimisation des données). Or la finalité poursuivie par l’hôtel — identifier son client et gérer son séjour — est entièrement satisfaite par la présentation visuelle du document : le réceptionniste contrôle le nom et la photographie, puis rend le titre. Scanner la pièce, la photocopier ou la photographier ajoute une collecte massive d’informations (photographie, signature, numéro du document, données de lecture optique) qui n’est pas nécessaire à cette finalité. La copie excède donc ce que la minimisation autorise.

Aucun autre fondement ne sauve cette pratique. L’article 6, paragraphe 1, du règlement n’autorise un traitement que si l’une des conditions qu’il énumère est remplie — consentement, contrat, obligation légale, sauvegarde d’intérêts vitaux, mission d’intérêt public ou intérêt légitime — et aucune ne correspond à la photocopie systématique. Le consentement du client ne fonctionne pas : un accord arraché à la réception, alors que le voyageur craint de se voir refuser sa chambre, n’est ni libre ni éclairé. L’exécution du contrat d’hébergement n’exige pas davantage la conservation d’une copie du titre : le contrat s’exécute avec un nom, des dates de séjour et un moyen de paiement. Quant à l’obligation légale, elle n’existe pas pour les clients français : aucun texte n’impose à l’hôtelier de copier ou d’archiver la carte d’identité d’un ressortissant français. La seule obligation légale pesant sur l’hébergeur concerne les clients étrangers et prend la forme de la fiche individuelle de police, examinée ci-après, qui ne consiste jamais en une photocopie du passeport.

La distinction entre présentation et conservation commande aussi le raisonnement sur la durée. L’article 5, paragraphe 1, point e), du règlement exige que les données soient conservées sous une forme permettant l’identification des personnes pendant une durée qui n’excède pas le nécessaire au regard des finalités du traitement (article 5, paragraphe 1, point e), du règlement). Une fois le séjour terminé et la facture réglée, l’identification du client au moyen de la copie de son titre n’est plus nécessaire à la gestion du séjour. Conserver cette copie « au cas où », pour d’éventuels litiges futurs ou à des fins commerciales, méconnaît la limitation de la durée de conservation. Seules des obligations particulières, comme la conservation des factures à des fins comptables et fiscales, justifient de garder certaines données — et ces obligations portent sur les éléments de facturation, jamais sur la photocopie du titre d’identité.

En pratique, les procédés varient mais le raisonnement reste identique : photocopie papier glissée dans un registre, scan enregistré dans le logiciel de gestion hôtelière, photographie prise avec le téléphone portable du réceptionniste puis envoyée par messagerie. Dans chaque cas, l’hôtel collecte et stocke une reproduction intégrale d’un document officiel d’identité sans nécessité démontrée. Le support ne change rien à la qualification : il s’agit d’un traitement de données personnelles soumis au règlement, et ce traitement échoue au test de la minimisation. Le client qui constate une telle pratique dispose donc d’un manquement caractérisé, dont il pourra demander la cessation et l’effacement selon les modalités décrites dans la seconde partie.

B. La seule obligation de l’hébergeur : la fiche individuelle de police pour les clients étrangers

Face au refus de photocopie, les hébergeurs invoquent souvent « la fiche de police ». Cette obligation existe réellement, mais son périmètre est étroit. L’article R. 814-1 du code de l’entrée et du séjour des étrangers et du droit d’asile dispose que « les hôteliers, les exploitants de villages et maisons familiales de vacances, de résidences et villages résidentiels de tourisme, les loueurs de meublés de tourisme et de chambres d’hôtes, les exploitants de terrains de camping, caravanage et autres terrains aménagés sont tenus de remplir, ou faire remplir, et signer par l’étranger, dès son arrivée, une fiche individuelle de police, dont le modèle est fixé par arrêté conjoint du ministre de l’intérieur, du ministre chargé de l’immigration et du ministre chargé du tourisme ». Le même article précise que « Les personnes physiques ou morales louant des locaux nus ne sont pas astreintes aux obligations prévues au présent article ». Trois enseignements en découlent : la fiche ne concerne que l’étranger, c’est-à-dire le client qui n’a pas la nationalité française, le texte ne distinguant pas selon l’appartenance à l’Union européenne ; elle doit être remplie et signée dès l’arrivée ; et elle s’applique à l’hébergement touristique meublé, pas à la location nue.

Le contenu de la fiche est lui aussi verrouillé. L’article R. 814-2 énumère les données collectées : « 1° Le nom et les prénoms ; 2° La date et le lieu de naissance ; 3° La nationalité ; 4° Le domicile habituel de l’étranger ; 5° Le numéro de téléphone mobile et l’adresse électronique de l’étranger ; 6° La date d’arrivée au sein de l’établissement et la date de départ prévue », et ajoute que « Les données relatives aux enfants âgés de moins de 15 ans peuvent figurer sur la fiche d’un adulte qui les accompagne ». Aucune photocopie du passeport ou de la carte d’identité ne figure dans cette liste. L’hôtel peut demander au client étranger de présenter son document pour recopier les mentions nécessaires sur la fiche, comme la CNIL admet que l’hôtelier demande la présentation d’une pièce d’identité pour vérifier la nationalité du client. La fiche est établie « Aux fins de prévention des troubles à l’ordre public, d’enquêtes judiciaires et de recherche dans l’intérêt des personnes ». Relever les mentions utiles n’autorise jamais à conserver la reproduction intégrale du document.

La conservation et la circulation de la fiche obéissent enfin à des règles strictes. L’article R. 814-3 prévoit que « Les fiches établies en application de l’article R. 814-1 doivent être conservées pendant une durée de six mois et remises, sur leur demande, aux services de police et unités de gendarmerie », la transmission pouvant s’effectuer sous forme dématérialisée. La fiche n’est donc pas adressée spontanément aux autorités : elle est conservée six mois par l’hébergeur, puis détruite, et n’est communiquée qu’aux services de police ou de gendarmerie qui la demandent, pour l’un des trois motifs légaux. Toute autre diffusion — à un partenaire commercial, à une centrale de réservation à des fins de prospection, à un tiers quelconque — est exclue. Le client doit en outre être informé de son droit d’accès et de rectification sur ces informations, comme le rappellent à la fois la CNIL et la page officielle consacrée à la fiche individuelle de police. Et si le client étranger refuse de remplir ou de signer la fiche, l’hébergeur est en droit de lui refuser la location : le refus de séjour se justifie ici par l’obligation légale, ce qui n’a rien à voir avec le cas du client français auquel on imposerait une photocopie sans texte.

Le champ d’application de la fiche mérite une précision, car beaucoup de voyageurs réservent aujourd’hui hors de l’hôtellerie classique. L’article R. 814-1 vise aussi bien les hôtels que les villages et maisons familiales de vacances, les résidences de tourisme, les loueurs de meublés de tourisme et de chambres d’hôtes, ainsi que les campings et terrains aménagés : le gîte réservé en ligne ou la chambre d’hôtes sont soumis à la même fiche, dès lors que le client est étranger. À l’inverse, la location d’un local nu — un appartement vide loué sans meubles ni prestations — échappe à l’obligation, le texte l’excluant expressément. Dans tous les cas, la fiche reste une fiche : relever les mentions nécessaires à partir du document présenté, faire signer le client, conserver six mois, transmettre aux seuls services de police ou de gendarmerie qui la demandent. Aucune de ces étapes n’implique la photocopie du titre, quel que soit le type d’hébergement.

Une seconde situation autorise la vérification du document, sans pour autant autoriser sa copie : le paiement par chèque. La CNIL admet que l’hôtelier demande au client de justifier de son identité en cas de paiement par chèque. La présentation du titre permet alors de rapprocher l’identité du signataire et celle du titulaire du chéquier. Mais là encore, la vérification s’épuise dans le contrôle visuel : une fois le rapprochement effectué, rien ne justifie de photocopier le document ni de l’archiver. Le paiement par carte bancaire ou en espèces, qui représente l’immense majorité des règlements hôteliers, ne fournit même pas ce prétexte.

II. Comment faire effacer la copie et obtenir réparation ?

A. Exercer ses droits auprès de l’hôtel : accès, effacement et preuves à réunir

Le client qui découvre qu’une copie de son titre a été conservée doit d’abord s’adresser à l’hôtel lui-même, par écrit. Le droit d’accès, prévu à l’article 15 du règlement, permet d’obtenir du responsable du traitement la confirmation que des données vous concernant sont ou non traitées et, lorsqu’elles le sont, l’accès à ces données ainsi qu’aux informations qui les accompagnent : finalités, catégories de données, destinataires et durée de conservation (paragraphe 1). Le paragraphe 3 du même article impose au responsable de fournir une copie des données personnelles faisant l’objet du traitement. Concrètement, la demande d’accès contraint l’hôtel à dire s’il détient la photocopie ou le scan, à en communiquer le contenu, et à indiquer depuis quand, pourquoi et à qui il l’a transmis. Si l’hôtel prétend ne plus rien détenir, cette réponse écrite constitue déjà une pièce utile pour la suite, comme le montre la décision du Conseil d’État citée plus bas.

Le droit à l’effacement prend ensuite le relais. L’article 17, paragraphe 1, ouvre ce droit à l’effacement sans tarder dans plusieurs hypothèses, dont deux correspondent exactement à la photocopie abusive : le cas où les données ne sont plus nécessaires au regard des finalités de leur collecte (point a)) et celui où elles ont fait l’objet d’un traitement illicite (point d)). La copie du titre, inutile dès la fin du séjour et illicite faute de base légale, remplit ces deux conditions à la fois. La demande d’effacement doit viser précisément l’objet : photocopie papier, scan dans le logiciel de réservation, photographie sur le téléphone de la réception, et exiger la suppression sur chaque support, y compris les sauvegardes accessibles. L’hôtel doit répondre dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande (article 12, paragraphe 3, du règlement), avec une prolongation possible de deux mois en cas de demandes complexes, à condition d’en informer le demandeur. Passé ce délai sans réponse satisfaisante, le silence vaut manquement supplémentaire et ouvre la voie de la plainte.

La constitution du dossier de preuve commence dès la réception de l’hôtel. Conservez la facture et la confirmation de réservation, photographiez tout formulaire signé mentionnant la copie de la pièce, et notez la date, l’heure et le nom de l’employé qui a scanné le document. Si la demande a été formulée oralement à la réception, confirmez-la immédiatement par écrit, par courriel ou par lettre recommandée avec accusé de réception adressée à l’exploitant de l’établissement, en demandant l’accès puis l’effacement. Réclamez aussi la politique de confidentialité de l’hôtel et l’information qui vous a été délivrée sur le traitement : l’absence d’information sur la photocopie renforce le manquement, car le responsable du traitement doit fournir ses informations de façon concise, transparente, compréhensible et aisément accessible (article 12, paragraphe 1, du règlement). Les voyageurs qui reviennent dans le même établissement ont intérêt à renouveler leur demande à chaque séjour et à vérifier que la copie précédente a bien été supprimée.

Un cas fréquent appelle un droit supplémentaire : l’hôtel qui réutilise vos coordonnées pour sa prospection. Il n’est pas rare de recevoir, après un séjour, des offres commerciales de l’établissement ou de ses partenaires, preuve au passage que vos données ont circulé. L’article 21 du règlement prévoit que la personne concernée peut s’opposer à tout moment au traitement de ses données à des fins de prospection, y compris au profilage lié à cette prospection (paragraphe 2), et qu’une fois l’opposition exercée, les données ne sont plus traitées à ces fins (paragraphe 3). L’opposition à la prospection est donc absolue : une fois exercée par écrit, tout nouvel envoi commercial devient un manquement distinct, qui s’ajoute à celui de la photocopie initiale et renforce d’autant le dossier de plainte puis l’action en réparation. Conservez chaque message commercial reçu après votre opposition, avec ses en-têtes complets : ils établissent la persistance du traitement illicite.

Un point particulier mérite l’attention : les images de vidéosurveillance de l’hôtel. Beaucoup d’établissements filment leur hall et leur réception, et ces images constituent elles aussi des données personnelles. Dans une décision du 25 juin 2025, le Conseil d’État a jugé à propos d’un hôtel du Parc situé à Obernai que l’exploitant, qui indiquait effacer les images dans un délai de quinze jours, se trouvait dans l’impossibilité matérielle de répondre à une demande d’accès tardive, relevant qu’un tel délai de quinze jours était couramment pratiqué et que les images ne peuvent en tout état de cause être conservées au-delà d’un mois en vertu du code de la sécurité intérieure (Conseil d’État, 10e chambre, 25 juin 2025, n° 498612). La leçon est double : pour les images de vidéosurveillance, toute demande d’accès doit être formée très vite, dans les jours qui suivent le séjour ; et pour la photocopie du titre, conservée bien plus longtemps dans les fichiers clients, l’argument de l’effacement automatique ne tient pas. La généralisation abusive de la copie du titre ne bénéficie d’aucune tolérance comparable.

Les démarches décrites ici — demander la confirmation du traitement, exiger la copie des données détenues, puis l’effacement — suivent la même méthode que celle applicable à tout organisme qui refuse de restituer vos informations : la démarche complète en cas de refus de copie de vos données personnelles, avec les modèles d’accès, de plainte CNIL et de recours au juge s’applique point par point à l’hôtel qui conserverait votre titre d’identité.

B. Saisir la CNIL puis le juge : clôture, recours et réparation du préjudice

Si l’hôtel ne répond pas ou refuse d’effacer, la plainte devant la CNIL constitue l’étape suivante. L’article 77, paragraphe 1, du règlement donne à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle — en France la CNIL —, en particulier dans l’État de sa résidence habituelle, de son lieu de travail ou du lieu de la violation, lorsqu’elle estime subir un traitement contraire au règlement. La plainte se dépose en ligne sur le site de la CNIL, en joignant la demande adressée à l’hôtel, sa réponse ou la preuve de son silence, et les pièces établissant la copie. L’autorité examine les faits et décide des suites : mise en demeure de l’hôtel, rappel à ses obligations, saisine de sa formation restreinte pour sanction, ou clôture si les vérifications n’établissent pas de manquement persistant.

La décision du Conseil d’État du 25 juin 2025 éclaire ce qui se joue à ce stade. Saisi par un client qui contestait la clôture de sa plainte contre l’hôtel du Parc d’Obernai, le juge a rappelé que la CNIL « dispose, en principe, d’un large pouvoir d’appréciation » pour décider des suites d’une plainte, en tenant compte de la gravité des manquements, du sérieux des indices et du contexte. En l’espèce, l’hôtel avait indiqué ne conserver aucune donnée sur le plaignant et effacer ses images de vidéosurveillance sous quinze jours, de sorte que la clôture n’était entachée ni d’erreur de droit ni d’erreur d’appréciation, et « la requête de M. A… est rejetée ». Cette solution ne ferme pas la porte aux victimes de photocopies conservées : elle montre au contraire que la plainte aboutit lorsque le manquement est établi — copie retrouvée dans les fichiers, conservation après le séjour, absence de base légale — et que la clôture se conteste devant le juge de l’excès de pouvoir en cas d’erreur de fait ou de droit. Pour le voyageur, l’enseignement pratique est clair : plus le dossier transmis à la CNIL est documenté — copie retrouvée, réponse écrite de l’hôtel, captures du logiciel de réservation — plus la clôture sèche devient difficile à justifier.

Au-delà de la réparation due au client, l’hôtel s’expose à la sanction publique. L’article 83, paragraphe 1, du règlement exige que les amendes administratives prononcées par les autorités de contrôle restent, dans chaque cas, effectives, proportionnées et dissuasives, et leur montant tient notamment compte de la nature, de la gravité et de la durée de la violation ainsi que du nombre de personnes affectées (paragraphe 2). La photocopie systématique des titres de tous les clients d’un établissement, conservée pendant des années dans un logiciel de gestion, cumule la gravité — des documents officiels exposant à l’usurpation d’identité —, la durée et le nombre de victimes, trois critères aggravants au sens du texte. La perspective de la sanction explique pourquoi une mise en demeure circonstanciée, rappelant les textes et annonçant la plainte, suffit souvent à obtenir l’effacement : l’exploitant avisé mesure que le coût d’une conservation abusive dépasse largement celui d’une mise en conformité.

Parallèlement à la voie administrative, le règlement ouvre un recours direct contre l’hôtel. Son article 79, paragraphe 1, donne à chaque personne concernée droit à un recours juridictionnel effectif contre le responsable du traitement ou son sous-traitant lorsqu’elle estime que ses droits ont été violés par un traitement contraire au règlement. Le client peut donc assigner l’exploitant devant le tribunal judiciaire pour faire constater la violation, obtenir sous astreinte la suppression de la copie et solliciter des dommages et intérêts. L’action se porte devant la juridiction du lieu où l’hôtel est établi ou devant celle du domicile du demandeur selon les règles de compétence applicables, et elle n’est pas subordonnée à une plainte préalable devant la CNIL : les deux voies se cumulent et se renforcent, la décision de la CNIL, lorsqu’elle constate un manquement, servant de pièce maîtresse devant le juge civil.

La réparation obéit à l’article 82, paragraphe 1, du règlement, aux termes duquel « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ». La Cour de cassation a précisé ce régime dans un arrêt de la chambre sociale du 24 juin 2026, qui fait application de la jurisprudence de la Cour de justice (CJUE, 4 mai 2023, C-300/21, Österreichische Post). D’une part, « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » : la victime doit établir non seulement la violation, mais aussi le dommage qu’elle lui a causé, comme l’a confirmé depuis la Cour de justice le 25 janvier 2024 (C-687/21). D’autre part, le droit de l’Union « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité », et la réparation « doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement ». Dans l’affaire jugée, une cour d’appel avait alloué 5 000 euros de dommages et intérêts au motif que la violation du règlement avait nécessairement causé un préjudice ; la chambre sociale a cassé, jugeant que « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation ». Pour le client de l’hôtel, la CNIL résume ces exigences dans une page consacrée à l’indemnisation : une violation de données ne donne pas automatiquement droit à une indemnisation, car il faut démontrer à la fois une violation du RGPD, un préjudice réel et un lien de causalité entre les deux. Autrement dit, le client n’a pas à prouver un préjudice spectaculaire — l’autorité précise qu’aucun niveau minimal de gravité n’est exigé pour le préjudice moral — mais il doit démontrer un dommage réel et personnellement subi : l’angoisse liée à la diffusion possible de son identité, le temps passé à faire valoir ses droits, les démarches de surveillance de ses comptes après la découverte de la copie, ou l’utilisation avérée de ses données à des fins de prospection caractérisent un tel préjudice, dont le montant relève des règles nationales de la responsabilité civile.

Le quantum dépendra des pièces. Une copie effacée rapidement après une simple mise en demeure, sans diffusion ni conséquence, donnera lieu à une indemnisation modeste, parfois symbolique. À l’inverse, une copie conservée pendant des années, transmise à des partenaires commerciaux, réutilisée pour de la prospection non sollicitée, ou retrouvée entre les mains d’un tiers à la suite d’une faille de sécurité de l’hôtel, justifie une réparation substantielle. Le juge tiendra compte de la durée de la conservation illicite, du nombre de destinataires, de la sensibilité des données du titre d’identité — qui exposent à l’usurpation d’identité — et de l’attitude de l’hôtel après la demande d’effacement. L’hôtel ne s’exonère qu’en prouvant que le fait à l’origine du dommage ne lui est nullement imputable, preuve redoutable lorsque la copie a été retrouvée dans ses propres fichiers. Faites donc constater chaque étape par écrit, conservez les courriels de prospection reçus après le séjour, et demandez systématiquement à l’hôtel la liste des destinataires auxquels la copie a été communiquée : ces éléments font la différence entre une violation abstraite, qui n’ouvre pas droit à réparation, et un préjudice démontré, qui se chiffre.

En conclusion, l’hôtel qui vous accueille peut contrôler votre identité, il ne peut pas la photocopier pour l’archiver. La présentation du titre suffit à la gestion du séjour ; la fiche individuelle de police, réservée aux clients étrangers, se remplit sans jamais reproduire le document ; et le paiement par chèque autorise une vérification, pas une conservation. Si une copie a été gardée, écrivez à l’hôtel pour exiger l’accès puis l’effacement dans le délai d’un mois, réunissez les preuves de la conservation, puis saisissez la CNIL et, au besoin, le tribunal judiciaire pour faire supprimer la copie et réparer votre préjudice. La décision du Conseil d’État de juin 2025 et l’arrêt de la Cour de justice de mai 2023 balisent ce parcours : manquement établi d’un côté, dommage démontré de l’autre. Face au scanner de la réception, le réflexe le plus sûr reste le plus simple : présenter votre pièce, refuser sa copie, et demander par écrit ce que l’établissement conservera de vous après votre départ.