RGPD location saisonnière : audit PMS en 7 étapes clés
RGPD location saisonnière : auditez Airbnb, Booking.com, votre PMS et vos automatisations avec une méthode concrète pour limiter les risques.
Publié par l’équipe de Léa, logiciel pour conciergeries de location courte durée.
Sommaire 8 parties
- Pourquoi auditer les données des voyageurs en 2026 ?
- Quelles données faut-il cartographier dans Airbnb, Booking.com et le PMS ?
- Comment réaliser un audit RGPD de location saisonnière en 7 étapes ?
- Combien de temps conserver les données d’une réservation ?
- Quels réglages imposer au PMS et aux automatisations ?
- Comment gérer une demande d’accès ou d’effacement ?
- FAQ sur le RGPD en location saisonnière
- Faire de la conformité un automatisme de gestion
Un numéro de téléphone copié dans un tableur, un code de serrure envoyé par SMS, une pièce d’identité conservée dans une messagerie : les données des voyageurs se dispersent vite. Le RGPD en location saisonnière mérite donc le même pilotage que les tarifs ou les calendriers.
Le RGPD en location saisonnière désigne les règles qui encadrent la collecte, l’utilisation, le partage, la sécurité et l’effacement des données personnelles des voyageurs, propriétaires et prestataires. Pour un gestionnaire, la conformité consiste à relier chaque donnée à une finalité, une base légale, une durée de conservation et des accès précisément définis.
L’enjeu est devenu plus concret en 2026 : la CNIL a actualisé ses indications sur les durées de conservation et le règlement européen sur les locations de courte durée organise désormais de nouveaux échanges de données. Voici un audit réalisable logement par logement, sans transformer votre PMS en coffre-fort permanent.
Pourquoi auditer les données des voyageurs en 2026 ?
Un audit RGPD est nécessaire lorsque les données circulent entre plusieurs plateformes, logiciels et intervenants. Airbnb, Booking.com, un channel manager, un PMS comme une serrure connectée et un outil d’e-mailing peuvent tous recevoir une partie du dossier du voyageur.
Deux actualités renforcent cette priorité. La CNIL rappelle depuis sa mise à jour du 2 avril 2026 qu’une donnée personnelle ne peut pas être conservée indéfiniment : la durée doit dépendre de l’objectif poursuivi. Par ailleurs, le règlement (UE) 2024/1028, applicable depuis le 20 mai 2026, harmonise la collecte et le partage de certaines données de location de courte durée entre plateformes et autorités.
Ce règlement ne donne pas au gestionnaire le droit de tout garder. Il ajoute un flux réglementaire à cartographier. Le classement d’un meublé sur les OTA, sujet du pilier consacré au classement du meublé et aux plateformes, et la conformité des données sont deux contrôles complémentaires : l’un qualifie l’offre, l’autre sécurise les informations qui la font fonctionner.
À retenir
- Une réservation ne justifie pas la conservation illimitée de toutes les données.
- Le PMS doit être la source opérationnelle maîtrisée, pas une archive sans règle.
- Chaque export, automatisation et compte de prestataire crée un accès à recenser.
- L’obligation réglementaire et la prospection commerciale n’ont ni la même finalité ni la même base légale.
Quelles données faut-il cartographier dans Airbnb, Booking.com et le PMS ?
La cartographie doit suivre les données par finalité, de leur collecte à leur suppression. La CNIL recommande d’identifier les personnes concernées, les catégories de données, les destinataires, les transferts, les durées et les mesures de sécurité dans le registre des traitements.
Partez d’une réservation réelle et suivez son parcours : OTA, channel manager, PMS, paiement, messagerie, ménage, contrôle d’accès et comptabilité. Cet exercice complète utilement un audit des données entre OTA et PMS.
| Flux | Données courantes | Finalité à documenter | Point de contrôle |
|---|---|---|---|
| Réservation via une OTA | nom, coordonnées, dates, composition du groupe | exécuter le séjour | champs réellement synchronisés |
| Paiement ou caution | montant, statut, identifiant de transaction | encaisser et gérer le risque | ne jamais stocker les données de carte en clair |
| Accès au logement | téléphone, code, horaires | permettre l’arrivée | expiration automatique du code |
| Ménage et maintenance | nom, dates, incident éventuel | préparer et entretenir le bien | masquer les informations inutiles au prestataire |
| Marketing direct | e-mail, historique, préférences | fidéliser avec une base légale adaptée | preuve du consentement ou règle applicable |
Un cas typique révèle trois doublons : la réservation reste dans l’OTA, est copiée dans votre PMS, puis exportée dans Google Sheets. Le tableur personnel est souvent le maillon oublié : droits de partage trop larges, absence de journal d’accès et aucune date d’effacement.
Comment réaliser un audit RGPD de location saisonnière en 7 étapes ?
L’audit RGPD en location saisonnière consiste à inventorier les flux, justifier chaque traitement, réduire les données et automatiser leur cycle de vie. Sept étapes suffisent pour obtenir un plan d’action priorisé.
- Dessinez les flux. Listez Airbnb, Booking.com, site direct, channel manager, PMS, paiement, messagerie, serrure, ménage et comptabilité. Notez le sens de chaque synchronisation.
- Attribuez une finalité. Distinguez gestion de réservation, accès, obligation légale, prévention de la fraude, relation avec les propriétaires et prospection. « Au cas où » n’est pas une finalité.
- Vérifiez la base légale. L’exécution du contrat peut couvrir les données nécessaires au séjour ; une obligation légale peut imposer d’autres informations. La prospection doit être analysée séparément.
- Minimisez les champs. Un agent de ménage a besoin du logement, des horaires et des consignes, rarement de l’adresse personnelle ou de la pièce d’identité du voyageur.
- Fixez une durée par catégorie. Définissez un déclencheur mesurable : départ, clôture de l’incident, fin de la relation commerciale ou retrait du logement.
- Contrôlez les accès et contrats. Supprimez les anciens comptes, activez l’authentification multifacteur et vérifiez les clauses de sous-traitance du PMS et des outils connectés.
- Testez l’effacement. Prenez un ancien dossier et vérifiez sa suppression dans le PMS, les exports, la messagerie, les sauvegardes accessibles et les applications reliées.
Pour dix logements, créez un échantillon de trois réservations : OTA, réservation directe et séjour avec incident. Vous couvrirez ainsi les principaux chemins sans auditer manuellement tout l’historique.
Combien de temps conserver les données d’une réservation ?
Il n’existe pas une durée unique pour tout le dossier du voyageur : chaque donnée suit la durée nécessaire à sa finalité, puis éventuellement un archivage intermédiaire justifié. La base active, l’archive à accès restreint et la suppression définitive doivent être distinguées.
La CNIL indique, par exemple, que les données des clients utilisées pour la prospection peuvent être conservées pendant la relation commerciale puis trois ans après sa fin. Cette recommandation marketing ne doit pas devenir une durée par défaut pour une pièce d’identité, un code de serrure ou une conversation opérationnelle.
La fiche individuelle de police obéit à son propre régime ; reportez-vous au guide sur la fiche de police en location saisonnière pour distinguer collecte obligatoire et données facultatives. Le règlement (UE) 2024/1028 prévoit, pour les informations du registre d’enregistrement détenues par les autorités, une conservation pendant la validité du numéro puis au maximum dix-huit mois après la demande de retrait, sauf autre nécessité légale. Cette limite propre au registre public n’est pas une autorisation générale accordée au PMS.
Dans votre matrice, inscrivez donc pour chaque catégorie : durée en base active, événement déclencheur, archive éventuelle, responsable de l’effacement et preuve du contrôle.
Quels réglages imposer au PMS et aux automatisations ?
Un PMS conforme doit permettre de limiter les accès, tracer les actions, exporter les données d’une personne et appliquer des règles de suppression. À défaut d’effacement natif, mettez en place une revue périodique documentée et réduisez les exports au strict nécessaire.
Checklist à transmettre à votre éditeur ou intégrateur :
- contrat de sous-traitance conforme à l’article 28 du RGPD ;
- liste et localisation des sous-traitants ultérieurs ;
- chiffrement des échanges et authentification multifacteur ;
- rôles distincts pour direction, réservation, ménage et maintenance ;
- journal des connexions et modifications sensibles ;
- procédure d’export, de rectification et d’effacement ;
- durée des sauvegardes et mécanisme de purge ;
- révocation immédiate d’un compte ou d’une connexion API.
Appliquez ensuite le principe du moindre accès. Une automatisation de messages aux voyageurs en location saisonnière doit recevoir les variables utiles au message, pas l’intégralité du profil du client. Pour un code d’entrée, transmettez le code et sa période de validité ; évitez de recopier le dossier complet dans une note visible par tous.
Comment gérer une demande d’accès ou d’effacement ?
Une demande RGPD doit suivre une procédure unique, même si les données sont réparties entre OTA, PMS et applications. Identifiez le demandeur, enregistrez la date, recherchez les données dans chaque système, puis documentez la réponse et les éventuelles limites légales.
Préparez un formulaire interne avec cinq colonnes : identité vérifiée, systèmes interrogés, responsable, décision, date de clôture. Ne promettez pas une suppression totale avant d’avoir séparé les données encore nécessaires à une obligation légale ou à la défense d’un droit. Dans ce cas, restreignez l’accès à l’archive concernée et expliquez clairement la conservation.
FAQ sur le RGPD en location saisonnière
Un propriétaire est-il concerné avec un seul logement ?
Oui. Dès qu’un propriétaire collecte et organise des données de voyageurs pour gérer des réservations, le RGPD peut s’appliquer. La taille du portefeuille influence l’organisation nécessaire, pas les principes de finalité, minimisation et sécurité.
Peut-on demander une pièce d’identité à tous les voyageurs ?
Une pièce d’identité ne doit pas être collectée par automatisme sans finalité et base légale définies. Vérifiez l’obligation applicable, limitez les destinataires et fixez une suppression adaptée ; la fiche de police des voyageurs étrangers constitue un traitement distinct.
Airbnb ou Booking.com rendent-ils le gestionnaire conforme ?
Non. Les plateformes protègent leurs propres traitements, mais le gestionnaire reste responsable des copies, exports et usages réalisés dans son organisation. Le passage d’une donnée vers le PMS ou un prestataire doit être documenté.
Le channel manager est-il un sous-traitant ?
Le rôle dépend du traitement et du contrat. Lorsqu’un logiciel traite des données pour le compte du gestionnaire, les obligations de sous-traitance doivent être encadrées, notamment sur la sécurité, les instructions, les sous-traitants ultérieurs et l’assistance aux droits.
Faut-il supprimer tout l’historique après le départ ?
Non. Les données nécessaires à la facturation, à un litige ou à une obligation légale peuvent devoir être conservées selon leur régime propre. En revanche, le départ doit déclencher le tri entre données opérationnelles, archives justifiées et informations à effacer.
Faire de la conformité un automatisme de gestion
Le RGPD en location saisonnière devient gérable quand chaque donnée possède un propriétaire, une utilité et une date de sortie. Commencez par les risques les plus concrets : comptes d’anciens prestataires, tableurs partagés, pièces d’identité, codes permanents et exports sans purge.
Un PMS intelligent peut transformer ces règles en routines plutôt qu’en audit annuel. Léa aide les gestionnaires à centraliser leur exploitation et leurs automatisations : une base plus cohérente facilite le contrôle des accès, des flux et des actions à mener, logement après logement.