Vous arrivez dans un hôtel parisien après un voyage épuisant. La réceptionniste vous réclame votre passeport, le passe devant la photocopieuse, puis vous tend une fiche à signer. Trois mois plus tard, vous recevez des offres commerciales de l’établissement, alors que vous ne lui avez jamais demandé de vous recontacter. Un an après, vous vous demandez encore qui conserve la copie de votre passeport, où elle se trouve et qui a pu la consulter. Cette scène, banale dans l’hôtellerie, concentre trois questions de droit des données personnelles : ce que l’hôtel peut exiger de vous à l’arrivée, ce qu’il doit effacer après votre départ, et les recours dont vous disposez quand il refuse.
La réponse tient en trois repères, que ce guide détaille pas à pas avec les textes applicables, les décisions qui les appliquent et les modèles de démarches qui fonctionnent : d’abord le contrôle de ce que l’hôtel exige à l’arrivée, ensuite l’exercice de vos droits d’accès, d’effacement et d’opposition après le départ, enfin la plainte devant la CNIL, le recours devant le juge et la réparation de votre préjudice. La fiche individuelle de police n’existe que pour les clients étrangers, avec des mentions fermées par la loi et une conservation de six mois. La photocopie de votre pièce d’identité, elle, est interdite : l’hôtel peut vous demander de présenter un titre pour établir votre nationalité, pas le copier. Et quand l’établissement conserve vos données au-delà du nécessaire, vous réutilise à des fins de prospection ou refuse de vous répondre, le règlement européen vous donne des droits directs — accès, effacement, opposition — puis la plainte devant la CNIL, le juge et la réparation du préjudice.
I. À l’arrivée : la fiche de police pour les étrangers, jamais la photocopie du passeport
A. La fiche individuelle de police, un régime fermé réservé aux clients étrangers
La fiche individuelle de police n’est pas une formalité que l’hôtel invente : c’est une obligation légale, mais strictement bornée. L’article R. 814-1 du code de l’entrée et du séjour des étrangers et du droit d’asile vise les hôteliers, les exploitants de villages et maisons familiales de vacances, de résidences et villages résidentiels de tourisme, les loueurs de meublés de tourisme et de chambres d’hôtes, ainsi que les exploitants de terrains de camping et de caravanage : tous « sont tenus de remplir, ou faire remplir, et signer par l’étranger, dès son arrivée, une fiche individuelle de police » (article R. 814-1, en vigueur depuis le 1er mai 2021). Le texte précise la finalité : la prévention des troubles à l’ordre public, les enquêtes judiciaires et la recherche dans l’intérêt des personnes. Service-public.fr le résume en une phrase : toute personne qui loue, à titre professionnel ou non, un hébergement touristique à un client de nationalité étrangère doit lui faire remplir une fiche individuelle de police (fiche F33458, service-public.fr).
Premier point de vigilance : si vous êtes de nationalité française, aucune fiche de police ne peut vous être imposée. L’hôtel qui vous fait remplir une telle fiche alors que vous êtes français commet déjà un premier écart, car le régime ne vise que « l’étranger ». Les mentions que la fiche peut contenir sont elles aussi fermées par l’article R. 814-2 : le nom et les prénoms, la date et le lieu de naissance, la nationalité, le domicile habituel de l’étranger, le numéro de téléphone mobile et l’adresse électronique, ainsi que la date d’arrivée et la date de départ prévue (article R. 814-2). Tout ce qui dépasse cette liste — la profession, le motif du séjour, le numéro de la pièce d’identité, la copie du titre — n’a pas de fondement dans ce texte.
Deuxième point : la conservation et la circulation de la fiche sont verrouillées. L’article R. 814-3 dispose que « Les fiches établies en application de l’article R. 814-1 doivent être conservées pendant une durée de six mois et remises, sur leur demande, aux services de police et unités de gendarmerie » (article R. 814-3). Six mois, pas un jour de plus au titre de ce régime. La CNIL ajoute que vos données ne peuvent être transmises « qu’aux services de police et de gendarmerie », à leur demande et pour l’un des trois motifs légaux — prévention des troubles à l’ordre public, enquêtes judiciaires, recherche dans l’intérêt des personnes (CNIL, la fiche de police dans les établissements de tourisme est-elle légale ?). Service-public.fr l’écrit de la même façon : le loueur ne doit pas transmettre les informations concernant le client étranger à quelqu’un d’autre que les services de police ou de gendarmerie. Concrètement, la fiche ne peut ni alimenter le fichier commercial de l’hôtel, ni être communiquée à un partenaire, ni servir à vous prospecter. La CNIL rappelle enfin votre « droit d’accès et de rectification » : l’hôtel doit vous dire que la fiche existe et que vous pouvez la contrôler.
En pratique parisienne, où les établissements reçoivent une clientèle internationale considérable, retenez le réflexe : vérifiez que la fiche ne contient que les six rubriques légales, demandez qui la conserve et exigez qu’elle ne serve à rien d’autre. Si l’on vous fait signer une fiche alors que vous êtes français, ou si l’on y ajoute des mentions hors liste, signalez-le par écrit à la direction : ce premier écrit fera foi pour la suite.
B. Photocopier votre passeport ou votre carte d’identité : non, sauf exception étroite
C’est le point que les voyageurs ignorent le plus souvent, et la CNIL le tranche en un mot. À la question de savoir si un hôtelier peut copier votre pièce d’identité, la Commission répond : « Non. » Elle ajoute aussitôt la seule marge de manœuvre de l’hôtelier : « présenter une pièce d’identité » puis « justifier votre nationalité » (CNIL, un hôtelier peut-il faire une copie de ma pièce d’identité ?). Présenter, c’est montrer ; ce n’est ni photocopier, ni photographier avec un téléphone, ni scanner, ni conserver une image du titre. La même page n’admet qu’une seconde hypothèse, étrangère au séjour lui-même : l’hôtel peut vous demander de justifier de votre identité si vous lui remettez un chèque en paiement, en application du code monétaire et financier. Hors fiche de police des étrangers et hors paiement par chèque, la copie du titre n’a pas de base.
Pourquoi cette interdiction ? Parce que la photocopie systématique d’un passeport viole le principe de minimisation des données. L’article 5 du règlement (UE) 2016/679 exige que les données soient « limitées à ce qui est nécessaire » (minimisation des données) (article 5 du RGPD). Vérifier votre nationalité pour remplir — ou écarter — la fiche de police se fait en regardant le titre, pas en en gardant une copie : la copie excède ce qui est nécessaire à la finalité. L’hôtel ne peut pas non plus invoquer son intérêt commercial : la prospection n’est pas couverte par l’obligation légale de la fiche, et l’article 6 du règlement n’autorise le traitement que si « nécessaire au respect d’une obligation légale » (article 6, paragraphe 1, point c), du RGPD). Or l’obligation légale, ici, c’est la fiche avec ses six rubriques, pas la photocopie du passeport. Une copie conservée « au cas où », pour sécuriser un impayé éventuel ou nourrir un fichier clients, ne repose sur aucune des bases de l’article 6 et méconnaît la minimisation.
Le Conseil d’État a validé exactement ce raisonnement dans un autre secteur, et la leçon vaut pour l’hôtellerie. Contrôlant la sanction de 175 000 euros infligée par la CNIL à une société d’autopartage qui conservait l’intégralité des géolocalisations de ses véhicules, il a jugé que « la conservation de la totalité des données de géolocalisation des véhicules tous les 500 mètres n’était pas nécessaire au regard des finalités poursuivies » et a retenu le manquement au principe de minimisation, avant de rejeter le recours : « La requête de la société Ubeeqo International est rejetée. » (Conseil d’État, 6 décembre 2023, n° 467368). La morale est transposable : quand la finalité — ici, établir la nationalité du client — peut être atteinte sans conserver la copie du titre, la conserver, c’est traiter des données excessives.
Si la réceptionniste vous annonce que « la photocopie est obligatoire », demandez sur quel texte elle se fonde et exigez la restitution ou la destruction immédiate de la copie. Notez le nom de l’établissement, la date, l’heure et le nom de la personne qui a procédé à la copie, conservez tout reçu ou courriel de confirmation de réservation mentionnant cette pratique : ces éléments feront vos preuves si l’hôtel maintient sa position.
II. Après le séjour : effacer, s’opposer, saisir la CNIL et le juge
A. Exiger la copie de votre fiche, son effacement et l’arrêt de la prospection
Une fois le séjour terminé, vous disposez de droits que vous exercez directement auprès de l’hôtel, sans passer d’abord par une autorité. Le droit d’accès vous permet d’obtenir la confirmation que des données vous concernant sont traitées, une copie de ces données et les informations sur leurs finalités et leurs destinataires. La Cour de justice de l’Union européenne a précisé l’étendue de ce droit dans un arrêt du 22 juin 2023 : les informations relatives aux opérations de consultation de vos données, portant sur les dates et les finalités de ces opérations, font partie des informations que vous pouvez obtenir du responsable du traitement ; en revanche, l’identité des salariés ayant consulté vos données ne vous est due que si elle est indispensable à l’exercice effectif de vos droits (CJUE, 22 juin 2023, Pankki S, C-579/21). Appliqué à l’hôtel, cela signifie que vous pouvez exiger la copie de votre fiche de police et savoir à qui elle a été transmise et pour quel motif — police ou gendarmerie, et lequel des trois motifs légaux — sans pour autant exiger le nom de chaque employé de la réception qui l’a manipulée.
Le droit à l’effacement joue ensuite à plein quand la conservation n’a plus de fondement. Le règlement ouvre ce droit « dans les meilleurs délais » lorsque les données « ne sont plus nécessaires » au regard de leurs finalités, lorsqu’elles ont fait l’objet d’un « traitement illicite », ou lorsque vous vous opposez au traitement sans motif légitime impérieux contraire (article 17 du RGPD). Chaque hypothèse correspond à un cas d’hôtel : la fiche de police conservée au-delà des six mois légaux n’est plus nécessaire à sa finalité ; la photocopie du passeport, interdite par la CNIL, est un traitement illicite dès l’origine ; et les données réutilisées pour de la prospection tombent sous votre opposition. Sur ce dernier point, le texte est net : chacun peut « s’opposer à tout moment » au traitement de ses données à des fins de prospection, et dès lors elles « ne sont plus traitées à ces fins » (article 21 du RGPD). Un lien de désinscription ne suffit donc pas : l’hôtel doit cesser tout traitement prospectif de vos données, pas seulement espacer ses envois.
Rédigez une demande écrite — courriel avec accusé de réception ou lettre recommandée — adressée à la direction de l’établissement, en listant précisément vos demandes : copie de la fiche de police et de toute copie de pièce d’identité conservée, destruction de la photocopie du passeport, effacement des données conservées au-delà de six mois, arrêt de toute prospection, et indication des destinataires auxquels vos données ont été transmises. Joignez la preuve de votre séjour et, si vous en disposez, la preuve de la photocopie et des messages commerciaux reçus. Si l’hôtel est parisien ou francilien, adressez aussi, pour mémoire, une copie de votre demande à son siège social quand il diffère de l’établissement : les groupes hôteliers centralisent souvent les fichiers clients au siège, et votre demande doit atteindre le véritable décideur du traitement.
À Paris et en Île-de-France, où les grands groupes hôteliers multiplient les établissements sous une même marque, identifiez précisément l’entité qui vous a accueilli : le nom figurant sur la facture et l’enseigne de la porte ne coïncident pas toujours, et votre demande d’accès ou d’effacement doit viser le responsable du fichier central comme l’établissement local. Les tribunaux parisiens traitent un volume important de litiges de consommation touristique, ce qui rend d’autant plus utile un dossier écrit, daté et chiffré dès le premier envoi.
Quand vous voyagez en famille, appliquez la même vigilance aux fiches de vos enfants mineurs : leurs données suivent exactement le même régime, et vous exercez leurs droits en tant que parent. Méfiez-vous aussi des tablettes de check-in et des applications de l’hôtel qui pré-cochent l’inscription à la lettre d’information : un consentement doit rester un choix libre et distinct de la réservation, jamais une case déjà cochée que l’on vous fait valider à la hâte entre deux valises. Constituez votre dossier dès le comptoir : photographiez la fiche que vous signez avant de la rendre, conservez la facture et la confirmation de réservation, et notez sur-le-champ le jour, l’heure et les paroles exactes par lesquelles on vous a imposé la photocopie. De retour chez vous, archivez chaque message commercial reçu — captures d’écran avec date, adresse d’expédition et lien de désinscription — ainsi que vos demandes écrites et les réponses de l’hôtel. Si un tiers vous dit avoir reçu vos coordonnées de l’établissement, demandez-lui un écrit précisant ce qu’il a reçu et quand : une transmission hors police et gendarmerie, interdite par les textes cités plus haut, est souvent le manquement le plus facile à établir et le plus lourd de conséquences pour l’hôtel.
Pour un éclairage d’ensemble sur la plainte devant la CNIL et ses suites, y compris quand l’organisme ne répond pas, vous pouvez vous reporter à notre guide de la plainte CNIL sans réponse : déposer, relancer, contester et obtenir réparation. Sur le droit d’accès en particulier — copie, contenu exigible, refus et recours — voyez notre analyse du droit d’accès de l’article 15 : copie, refus et recours devant la CNIL et le juge.
B. Plainte devant la CNIL, recours devant le juge et réparation du préjudice
Si l’hôtel ne répond pas, répond à côté ou maintient la photocopie et la prospection, le règlement organise deux voies que vous pouvez combiner. D’abord la réclamation devant l’autorité de contrôle : « droit d’introduire une réclamation » devant l’autorité de contrôle de sa résidence habituelle, de son lieu de travail ou du lieu de la violation (article 77, paragraphe 1, du RGPD). Résidant en France pour un séjour dans un hôtel français, vous relevez de la CNIL, et votre plainte en ligne doit joindre votre demande écrite à l’hôtel et sa réponse ou son silence : la Commission attend la preuve d’une démarche préalable. Ensuite le recours juridictionnel contre l’hôtel lui-même : « droit à un recours juridictionnel effectif » contre l’hôtel, et l’action peut être portée devant les juridictions de l’État membre de votre résidence habituelle (article 79 du RGPD). Pour un client domicilié à Paris ou en Île-de-France, c’est le tribunal judiciaire de son domicile qui peut être saisi, sans avoir à plaider devant la juridiction du siège social d’un groupe hôtelier éloigné.
Deux décisions récentes éclairent ce parcours. D’une part, quand la CNIL classe votre plainte sans sanction, tout n’est pas perdu : le Conseil d’État juge, dans une décision du 17 juin 2026, que le plaignant qui invoque la méconnaissance de ses droits individuels — accès, rectification, effacement, limitation, opposition — « est toujours recevable à demander l’annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi », et que l’appréciation de la Commission s’exerce alors « sous l’entier contrôle du juge de l’excès de pouvoir » (Conseil d’État, 17 juin 2026, n° 509593). Autrement dit, le juge contrôle pleinement le refus de la CNIL d’agir quand vos droits d’accès ou d’effacement sont en jeu. D’autre part, la sanction reste une arme réelle : dans l’affaire d’autopartage déjà citée, la formation restreinte avait prononcé « une amende administrative d’un montant de 175 000 euros » (Conseil d’État, 6 décembre 2023, n° 467368) pour des manquements à la minimisation et à la conservation, en tenant compte de 250 000 utilisateurs concernés, et avait ordonné la publicité de sa délibération — sanction validée par le Conseil d’État comme ni disproportionnée ni irrégulière. Un hôtel qui photocopie systématiquement les passeports de milliers de clients par an s’expose à la même logique : manquement de principe, nombre de personnes concernées, publicité de la sanction.
L’affaire d’autopartage tranchée par le Conseil d’État montre l’échelle des sanctions encourues quand un professionnel conserve des données au-delà du nécessaire : 175 000 euros d’amende et publicité de la décision, pour des manquements à la minimisation et à la conservation jugés ni irréguliers ni disproportionnés (Conseil d’État, 6 décembre 2023, n° 467368). La section du code qui encadre la fiche de police des hébergements touristiques figure sous les articles R. 814-1 à R. 814-3 du CESEDA, et le contrôle juridictionnel des décisions de la CNIL relève du juge administratif, comme l’illustre la décision du 17 juin 2026 qui rejette le recours tout en rappelant l’entier contrôle du juge sur les droits individuels (Conseil d’État, 17 juin 2026, n° 509593).
Reste la réparation de votre préjudice personnel, qui se joue devant le juge judiciaire. L’article 82 dispose que « réparation du préjudice subi » en cas de dommage matériel ou moral (article 82, paragraphe 1, du RGPD). Deux précisions de la Cour de justice encadrent votre demande. D’abord, la simple violation du règlement ne suffit pas à ouvrir droit à réparation : vous devez établir un dommage réel, fût-il moral — anxiété liée à la circulation de la copie de votre passeport, démarches imposées par la prospection persistante, temps passé à faire valoir vos droits (CJUE, 4 mai 2023, Österreichische Post, C-300/21). Ensuite, et c’est favorable aux voyageurs, la Cour refuse toute règle nationale qui subordonnerait la réparation du préjudice moral à un seuil de gravité : pas de seuil de gravité à franchir, le juge apprécie le montant selon les règles nationales. Conservez donc tout ce qui matérialise votre dommage : la copie de la photocopie si vous l’obtenez par le droit d’accès, les courriels de prospection, les attestations de vos démarches, et toute preuve d’une transmission de vos données à un tiers hors police et gendarmerie.
En conclusion, l’arrivée à l’hôtel obéit à une règle simple : la fiche individuelle de police pour les seuls clients étrangers, avec six rubriques et six mois de conservation, et jamais la photocopie du passeport ou de la carte d’identité, que la CNIL interdit. Passé le séjour, vos droits d’accès, d’effacement et d’opposition à la prospection s’exercent par écrit auprès de la direction, puis devant la CNIL par la réclamation de l’article 77 et devant le tribunal de votre domicile par le recours de l’article 79. La jurisprudence récente donne à ce parcours sa force : contrôle entier du juge sur le refus d’agir de la CNIL quand vos droits individuels sont en cause, sanctions administratives validées pour les conservations excessives, et réparation du préjudice moral sans seuil de gravité. Gardez vos preuves, écrivez tôt, et ne laissez ni une photocopie illicite ni une prospection non consentie devenir des habitudes de l’établissement.