Vous arrivez tard dans un hôtel à Paris, à Nice ou près d’un aéroport d’Île-de-France. Le réceptionniste vous réclame votre passeport ou votre carte d’identité, le glisse sous un scanner ou le photographie avec son téléphone, puis vous rend l’original en expliquant que « c’est la procédure » et que la copie restera « dans le dossier ». La scène se répète dans des campings, des résidences de tourisme, des meublés de tourisme et des chambres d’hôtes, parfois avec un classeur de photocopies posé derrière le comptoir, parfois avec un logiciel de gestion qui stocke le scan en réseau pendant des années. La question qui se pose dès cet instant est simple : l’hébergeur a-t-il le droit de garder une reproduction complète de votre pièce d’identité, et que pouvez-vous exiger s’il l’a déjà fait ?
La réponse tient en deux règles que tout voyageur doit connaître. D’abord, la Commission nationale de l’informatique et des libertés répond par la négative : à la question de savoir si un hôtelier peut copier votre pièce d’identité, elle tranche d’un mot, « Non. ». Ensuite, la loi autorise l’hébergeur à vérifier qui vous êtes, et lui impose même, pour les clients étrangers, de faire remplir une fiche individuelle de police. Présenter son document, remplir cette fiche quand on y est tenu et laisser photocopier l’intégralité de sa carte d’identité sont trois situations différentes, régies par trois régimes distincts. Confondre ces trois gestes, c’est accepter une collecte que le règlement général sur la protection des données interdit.
Dans ce dossier, le client est la personne concernée, l’hôtelier ou le loueur qui décide de la copie est le responsable du traitement, et l’éditeur du logiciel de réception qui stocke le scan n’est qu’un sous-traitant. Identifier ces rôles change tout, car c’est contre le responsable du traitement que s’exercent le droit d’accès, le droit d’effacement, la plainte devant la CNIL et l’action en réparation. Cet article décrit d’abord ce que l’hébergeur peut exiger de votre identité et où s’arrête son droit, puis la méthode complète pour faire supprimer une copie déjà prise, prouver le manquement, saisir la CNIL et obtenir réparation devant le juge en 2026.
I. Ce que l’hébergeur peut exiger de votre identité, et où s’arrête son droit
A. Présenter son document et remplir la fiche individuelle de police : les seuls relevés autorisés
Le point de départ consiste à distinguer la présentation du document de sa reproduction. La CNIL admet que l’hôtelier peut cependant vous demander de « présenter une pièce d’identité » afin de justifier votre nationalité. Montrer sa carte d’identité ou son passeport au comptoir, le temps de la vérification, n’est donc pas en soi illicite. Ce qui est interdit, c’est de transformer cette présentation en copie conservée : photocopie papier, scan enregistré dans le logiciel de réception, photographie prise avec le téléphone du réceptionniste ou fichier joint à la réservation. Chaque reproduction complète du titre crée un traitement de données à caractère personnel qui doit reposer sur une base légale, respecter la minimisation et s’effacer à l’échéance. Or, pour l’hébergement touristique ordinaire, aucune de ces conditions n’est remplie.
Le seul relevé systématique que la loi impose concerne les clients étrangers. L’article R. 814-1 du code de l’entrée et du séjour des étrangers et du droit d’asile dispose que ce dispositif est pris « Aux fins de prévention des troubles à l’ordre public, d’enquêtes judiciaires et de recherche dans l’intérêt des personnes ». Sont tenus de la faire remplir les hôteliers, les exploitants de villages et maisons familiales de vacances, de résidences et villages résidentiels de tourisme, les loueurs de meublés de tourisme et de chambres d’hôtes, ainsi que les exploitants de terrains de camping, caravanage et autres terrains aménagés. La fiche est remplie ou fait remplir, puis signée par l’étranger, dès son arrivée, selon un modèle fixé par arrêté conjoint du ministre de l’intérieur, du ministre chargé de l’immigration et du ministre chargé du tourisme. Les personnes qui louent des locaux nus ne sont pas soumises à cette obligation. Si vous êtes de nationalité française, aucune fiche de police ne peut vous être imposée ; si vous êtes étranger, la fiche peut vous être demandée, mais elle ne donne jamais le droit de photocopier votre passeport en plus.
Le contenu de cette fiche est lui-même enfermé dans une liste fermée. L’article R. 814-2 du même code précise que « Les données personnelles collectées en application de l’article R. 814-1 sont notamment » le nom et les prénoms, la date et le lieu de naissance, la nationalité, le domicile habituel de l’étranger, son numéro de téléphone mobile et son adresse électronique, ainsi que la date d’arrivée dans l’établissement et la date de départ prévue. Les données des enfants de moins de quinze ans peuvent figurer sur la fiche de l’adulte qui les accompagne. Tout ce qui dépasse cette énumération, comme la photographie du visage extraite du passeport, le numéro du titre ou la copie intégrale du document, sort du cadre légal de la fiche. Un hébergeur qui recopie à la main les mentions de la fiche respecte la loi ; celui qui scanne le passeport la dépasse.
La conservation de la fiche obéit elle aussi à une durée couperet. L’article R. 814-3 dispose que « Les fiches établies en application de l’article R. 814-1 doivent être conservées pendant une durée de six mois et remises, sur leur demande, aux services de police et unités de gendarmerie », avec une transmission possible sous forme dématérialisée. La fiche officielle du service public consacrée à cette formalité confirme que le loueur doit conserver la fiche pendant six mois, que sa transmission à la police ou à la gendarmerie n’est pas systématique et qu’elle n’intervient que si ces services l’exigent, pour l’un des trois motifs légaux (service-public.fr, fiche individuelle de police). Concrètement, passé six mois, la fiche doit disparaître, et à aucun moment elle ne doit se doubler d’une photocopie du titre conservée dans un tiroir ou sur un serveur. Quand un hôtel vous affirme qu’il « doit » garder la copie de votre passeport « pour la police », demandez-lui de vous montrer le texte qui l’y autorise : il ne pourra produire que les articles R. 814-1 à R. 814-3, qui imposent la fiche et interdisent, par leur silence combiné à la position de la CNIL, tout le reste.
B. La photocopie ou le scan conservé : un traitement illicite que le RGPD ne permet pas
La copie intégrale d’une pièce d’identité échoue aux trois grands tests du règlement (UE) 2016/679. Le premier est la minimisation. L’article 5 du règlement exige que les données restent « limitées à ce qui est nécessaire » au regard de leurs finalités. Or la finalité de l’hébergeur, attribuer une chambre, facturer le séjour et remplir le cas échéant la fiche de police, n’exige jamais la reproduction complète du titre : le nom, le prénom, la nationalité et les dates suffisent, et la présentation du document permet de les vérifier sans les dupliquer. Une photocopie capte en outre des informations sans rapport avec l’hébergement, comme la photographie d’identité, la signature, le numéro du titre, parfois la taille ou l’adresse. Conserver l’image entière quand quelques mentions vérifiées suffisent, c’est l’exact contraire de la minimisation, et c’est le premier grief à formuler par écrit contre l’établissement.
Le deuxième test est celui de la base légale. L’article 6 du règlement n’autorise un traitement que si au moins une des six conditions qu’il énumère est remplie : consentement, nécessité contractuelle, obligation légale, sauvegarde des intérêts vitaux, mission d’intérêt public ou intérêt légitime non primé par vos droits. Aucune ne couvre la photocopie hôtelière. Le consentement n’est pas libre quand le refus de la copie entraîne le refus de la chambre réservée et facturée. Le contrat d’hébergement n’exige pas la copie du titre pour s’exécuter : la chambre se loue, se paie et s’occupe sans elle. Aucune obligation légale n’impose à l’hôtelier de conserver des copies de pièces d’identité, contrairement à d’autres professionnels soumis à des devoirs d’identification et de conservation pour la lutte contre le blanchiment, qui disposent eux d’un fondement tiré de la nécessité de respecter une obligation légale. L’intérêt légitime invoqué, se prémunir contre les impayés ou les dégradations, ne résiste pas à la mise en balance : une empreinte bancaire ou une autorisation de débit garantit le paiement sans figer l’identité complète du client dans un fichier. Quand l’hébergeur ne peut citer aucune des six bases de l’article 6, le traitement est illicite, et l’illicéité ouvre le droit à l’effacement.
Le troisième test est celui de la durée. L’article 5 du règlement exige encore que les données identifiantes ne soient pas conservées au-delà de la durée nécessaire à leur finalité. Une copie de passeport gardée « au cas où », sans échéance, dans un classeur accessible à tout le personnel ou dans une boîte mail partagée, viole cette limitation par construction. Comparez avec la fiche de police, enfermée dans six mois : la copie du titre, elle, ne connaît souvent aucune purge, survit au départ du client, parfois à la cession de l’établissement, et ressurgit lors d’une fuite ou d’un contrôle. Le même article 5 fait peser sur le responsable du traitement la charge de respecter ces principes et de démontrer qu’il les respecte. C’est donc à l’hôtelier de prouver sa base légale, sa finalité et sa durée, pas à vous de prouver qu’il a tort. Exigez ces trois justifications par écrit : en pratique, elles ne viennent jamais.
Deux situations limites achèvent le tableau. D’abord le paiement par chèque : la CNIL admet que l’hôtelier peut vérifier votre identité en cas de « chèque en paiement », en visant le code monétaire et financier. Il s’agit de vérifier l’identité du signataire au moment du paiement, pas de conserver la photocopie du titre dans le dossier client après l’encaissement. Ensuite le contrat d’hébergement lui-même : les articles 1952 et 1953 du code civil font de l’hôtelier un dépositaire responsable de plein droit des effets apportés par le voyageur, puisque « Les aubergistes ou hôteliers répondent, comme dépositaires, des vêtements, bagages et objets divers apportés dans leur établissement par le voyageur qui loge chez eux ». La Cour de cassation l’a rappelé dans un litige opposant des clients victimes d’un vol dans leur chambre à leur hôtelier : la responsabilité de l’hôtelier n’est pas soumise à la preuve d’une faute, qui n’est prise en compte que pour fixer l’indemnisation (Civ. 1re, 23 sept. 2020, n° 19-11.443). Ce régime sévère montre que le droit attend de l’hébergeur une garde irréprochable de ce qui lui est confié. Il ne lui donne en revanche aucun droit de garde sur votre identité : protéger vos effets dans le coffre, oui ; dupliquer votre passeport dans son système, non. Pour les recours voisins liés à la conservation abusive de vos données après la fin d’une relation de clientèle, la méthode d’effacement décrite dans notre dossier sur le compte supprimé dont les données sont conservées et réutilisées, avec demande d’effacement, saisine de la CNIL et du juge et réparation s’applique point par point.
II. La copie a déjà été prise : faire effacer, prouver, saisir la CNIL et le juge
A. Exiger la suppression immédiate et mettre l’hébergeur face à ses obligations
Le premier geste consiste à écrire à l’établissement sans attendre le retour de voyage. Adressez au responsable, par courriel avec accusé de réception puis au besoin par lettre recommandée, une demande qui vise explicitement la copie de votre pièce d’identité : indiquez la date du séjour, le nom de la réservation, le fait constaté, c’est-à-dire la photocopie, le scan ou la photographie du titre, et exigez la suppression de cette reproduction sur tous les supports, y compris les sauvegardes accessibles, avec une confirmation écrite. Fondez la demande sur le droit à l’effacement : l’article 17 du règlement donne à toute personne le droit d’obtenir l’effacement de ses données dans les meilleurs délais, notamment en cas de « traitement illicite » ou de données devenues inutiles à leur finalité. Une photocopie de passeport prise sans base légale remplit ces deux cas à la fois. Demandez aussi la communication des destinataires éventuels de la copie, comme le logiciel de réservation, le comptable ou la centrale de réservation, afin que la suppression se propage.
Le délai de réponse est enfermé par le règlement. L’article 12 du règlement impose au responsable de vous répondre dans un délai d’un mois à compter de la réception de la demande, avec une prolongation possible de deux mois pour les demandes complexes, à condition de vous en avertir dans le premier mois. S’il refuse ou garde le silence, il doit vous en donner les motifs dans le même délai d’un mois et vous rappeler que vous pouvez saisir l’autorité de contrôle et le juge. Un hôtel qui ne répond pas dans le mois, qui répond qu’il « conserve tout par sécurité » sans citer de base légale, ou qui prétend que la fiche de police l’autorise à garder la photocopie, s’expose donc deux fois : pour la copie illicite elle-même, et pour le refus de donner suite à votre droit. Notez chaque date, conservez chaque réponse : le dépassement du mois fait partie du dossier de sanction et du dossier d’indemnisation.
La preuve du manquement se construit dès le comptoir. Photographiez l’affiche qui annonce la photocopie systématique, le scanner dédié aux passeports, le classeur de copies accessible derrière la réception. Faites attester par votre compagnon de voyage qu’il a vu le réceptionniste copier votre titre. Conservez la confirmation de réservation qui mentionne l’envoi préalable d’une copie de pièce d’identité, les échanges où l’établissement réclame ce document, et la réponse qu’il oppose à votre demande de suppression. Si vous êtes étranger et que l’on vous a fait remplir la fiche individuelle de police, conservez-en une photographie ou une copie : elle prouve que l’obligation légale était remplie par la fiche et que la photocopie du passeport s’y ajoutait sans fondement. Rappelez-vous que la charge de démontrer le respect des principes pèse sur l’hébergeur, pas sur vous : c’est lui qui devra produire sa base légale, sa finalité et sa durée de conservation devant la CNIL et devant le juge.
La plainte devant la CNIL constitue l’étape suivante quand l’établissement refuse, répond à côté ou conserve la copie. L’article 77 du règlement permet à toute personne qui estime qu’un traitement de ses données viole le texte d’adresser une réclamation à l’autorité de contrôle, notamment celle de son État de résidence, de son lieu de travail ou du lieu de la violation. Déposez la plainte en ligne en joignant votre demande de suppression, la réponse ou le silence de l’hôtel, vos preuves du comptoir et, si vous êtes étranger, la fiche de police qui montre que l’obligation légale était déjà satisfaite. L’autorité doit vous informer de l’état d’avancement et de l’issue de votre réclamation. Si elle ne traite pas votre plainte ou ne vous informe pas dans un délai de trois mois, le règlement vous ouvre un recours juridictionnel contre elle : toute personne a le droit de saisir le juge quand l’autorité compétente laisse sa réclamation sans traitement ni information pendant trois mois. La plainte n’est donc jamais une voie sans issue : elle contraint l’hébergeur à se justifier, et son éventuel enlisement ouvre une seconde action.
B. Saisir le juge et obtenir une réparation intégrale du préjudice démontré
L’action judiciaire contre l’hébergeur repose sur deux textes qui se combinent. L’article 79 du règlement donne à chaque personne dont les droits ont été violés par un traitement non conforme un droit au recours effectif devant le juge. L’action se porte devant les juridictions de l’État où le responsable dispose d’un établissement, ou devant celles de votre résidence habituelle. L’article 82 du règlement ajoute que toute personne qui subit un dommage matériel ou moral du fait d’une violation du texte peut en obtenir réparation auprès du responsable du traitement ou du sous-traitant. Demandez au juge la suppression de la copie sous astreinte, la confirmation de la purge chez les destinataires, et la réparation de chaque préjudice établi. Assignez l’exploitant de l’hôtel, responsable du traitement ; si le scan est stocké par un prestataire qui a dépassé ses instructions ou manqué à ses propres obligations, le règlement permet de rechercher aussi le sous-traitant.
Le point décisif, rappelé par la Cour de cassation en 2026, tient à la preuve du préjudice. Dans un arrêt publié au Bulletin, la chambre sociale a cassé une cour d’appel qui déduisait automatiquement un préjudice de la seule violation du RGPD : « la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation », et le juge doit vérifier si la victime établit que la violation lui a causé un dommage matériel ou moral (Soc., 24 juin 2026, n° 24-22.792). La Cour vise la jurisprudence de la Cour de justice : d’une part, « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » ; d’autre part, le droit national ne peut pas exiger un seuil de gravité pour le dommage moral, et la réparation remplit une fonction compensatoire, jamais punitive, en couvrant intégralement le préjudice concret. Concrètement, ne demandez jamais une somme « pour la violation » sans la rattacher à des faits : décrivez ce que la copie a provoqué ou fait risquer, chiffrez chaque poste, produisez chaque pièce.
Les préjudices indemnisables après une copie de pièce d’identité indûment conservée sont bien identifiés. Le dommage matériel comprend les frais engagés après une usurpation d’identité facilitée par la copie, comme les oppositions bancaires, les déplacements, les frais d’avocat exposés pour faire opposition aux contrats souscrits frauduleusement, et les sommes prélevées avant remboursement. Le dommage moral couvre l’angoisse durable de voir son passeport circuler, les démarches répétées auprès des administrations pour faire renouveler un titre compromis, le temps perdu à surveiller ses comptes et le sentiment de perte de maîtrise de son identité. Le risque avéré renforce la demande quand il se réalise : relances d’organismes de crédit inconnus après le séjour, tentatives d’ouverture de ligne téléphonique, messages frauduleux reprenant vos données exactes, notification de fuite du prestataire de l’hôtel. Chaque fait doit être prouvé par une pièce datée : relevés, attestations, dépôts de plainte, constats. Un dossier qui aligne la copie illicite, le refus de suppression, la plainte CNIL et les justificatifs du dommage obtient une indemnisation calculée sur le préjudice réel, quand une demande qui se borne à invoquer la violation se heurte à la cassation de 2026.
Le dossier de demande se prépare en cinq pièces. D’abord, la preuve du séjour et de la copie : réservation, facture, photographie de la fiche de police remplie, attestation du témoin, capture du message qui réclamait la copie. Ensuite, la demande d’effacement et son suivi : courriel initial, accusé de réception, relance, réponse ou silence gardé au-delà du mois. Puis la plainte CNIL et ses suites : récépissé, échanges, décision ou constat d’absence de réponse à trois mois. Enfin, les preuves du dommage : relevés bancaires, attestations d’opposition, dépôts de plainte pénale pour usurpation, certificats médicaux si l’angoisse a nécessité un suivi, factures des démarches. Devant le tribunal judiciaire de votre domicile ou du lieu de l’établissement, ces pièces permettent au juge d’ordonner la suppression, de constater la violation des articles 5, 6 et 17 du règlement et d’allouer une réparation compensatrice. Quand la copie a été diffusée au-delà de l’hôtel, vers une centrale de réservation ou un fichier mutualisé entre établissements, demandez que l’injonction de suppression vise chaque destinataire identifié, avec une astreinte par jour de retard : la purge doit suivre la donnée, pas seulement le tiroir du comptoir.
Conclusion
Un hôtel, un camping, une résidence de tourisme, un loueur de meublé ou une chambre d’hôtes peut vous demander de présenter votre pièce d’identité et doit, si vous êtes étranger, vous faire remplir et signer la fiche individuelle de police dont les mentions et la conservation de six mois sont fixées par les articles R. 814-1 à R. 814-3. Il ne peut en revanche ni photocopier, ni scanner pour conserver, ni photographier votre carte d’identité ou votre passeport : la CNIL répond non, le principe de minimisation l’interdit, aucune base légale ne le fonde et aucune durée de conservation ne le justifie. Si la copie a déjà été prise, exigez sa suppression par écrit en visant l’article 17, laissez passer le délai d’un mois de l’article 12, saisissez la CNIL sur le fondement de l’article 77, puis le juge sur ceux des articles 79 et 82. Prouvez chaque étape et chaque préjudice : depuis l’arrêt du 24 juin 2026, la violation seule ne suffit plus, mais le dommage concret, documenté pièce par pièce, se répare intégralement. Photographiez le comptoir, faites attester votre témoin, conservez la fiche de police qui prouve que l’obligation légale était déjà remplie, et ne laissez aucune copie de votre identité dormir dans un classeur ou sur un serveur d’hôtel.
Besoin d’un avis rapide sur votre dossier
Un hôtel, un camping ou un loueur a photocopié votre pièce d’identité et refuse de la supprimer, en matière de numérique et données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier, vos échanges avec l’établissement et les preuves de la conservation abusive. Consultation téléphonique : 80 EUR TTC. Joignez le formulaire de contact ou appelez le 06 46 60 58 22 pour une première analyse de votre dossier : 80 EUR TTC.