La loi marocaine sur la protection des données personnelles oblige un gestionnaire de conciergerie à déclarer le traitement de ses fichiers de voyageurs auprès de la CNDP, à limiter leur usage à la finalité annoncée, à sécuriser les copies de pièce d'identité, et à répondre à toute demande d'accès ou de suppression. Ignorer ces règles expose à un contrôle, pas seulement à un risque d'image.
Pourquoi un gestionnaire de conciergerie est-il concerné par cette loi ?
Un gestionnaire manipule des données personnelles à chaque réservation : une copie de pièce d'identité, un numéro de téléphone, une adresse email, parfois des informations liées au paiement affichées sur la réservation. Dès qu'une de ces informations est collectée, celui qui la détient devient responsable de son traitement au sens de la loi, qu'il gère un seul appartement ou plusieurs logements pour plusieurs propriétaires.
La loi protège le voyageur, pas le gestionnaire. Elle existe pour éviter qu'une copie de passeport circule sans contrôle entre une boîte mail partagée, un groupe de discussion et un prestataire de ménage. Une petite structure n'est pas dispensée de ces obligations parce qu'elle gère peu de biens : la loi ne fixe aucune exception liée à la taille de l'activité.
Quelles données d'un voyageur un gestionnaire manipule-t-il sans y penser ?
- La copie de la pièce d'identité ou du passeport envoyée avant l'arrivée
- Le numéro de téléphone et l'adresse email utilisés pour organiser le séjour
- L'historique complet des messages échangés sur la messagerie de la plateforme
- Les avis et commentaires, qui citent parfois un prénom ou une situation personnelle
- Les informations transmises à un prestataire de ménage ou de maintenance pour organiser une intervention
Faut-il déclarer son fichier de voyageurs à la CNDP ?
Oui, dans la grande majorité des cas. Avant de commencer à exploiter un fichier de voyageurs, qu'il tienne dans un tableur ou dans un logiciel de gestion, le gestionnaire doit en informer la CNDP par une déclaration. C'est lui, et non le propriétaire du logement, qui porte cette responsabilité lorsqu'il collecte les informations en son nom pour organiser les séjours.
Certaines situations demandent davantage qu'une simple déclaration : croiser les fichiers de plusieurs logements, transmettre des données vers un serveur situé hors du Maroc, ou traiter une donnée sensible. Dans ce cas, mieux vaut vérifier directement auprès de la CNDP plutôt que de deviner, car l'erreur la plus fréquente est de confondre l'usage courant d'une messagerie de plateforme avec un transfert de données organisé.
Combien de temps garder une pièce d'identité ou un échange de messages ?
Aucune donnée ne doit être conservée indéfiniment. La règle est simple à énoncer, plus difficile à appliquer : la durée de conservation doit correspondre à la finalité annoncée, pas à la paresse de ne rien effacer. Une copie de pièce d'identité gardée des années après un séjour n'a plus aucune utilité pour le gestionnaire et devient un risque pur en cas de fuite.
| Donnée collectée | Finalité qui la justifie | Qui peut y accéder | Durée utile avant suppression | Risque si elle traîne |
|---|---|---|---|---|
| Copie de la pièce d'identité | Formalité liée à l'arrivée du voyageur | Le gestionnaire, pas un prestataire externe | Le temps de la formalité, puis suppression | Vol d'identité si elle dort dans une boîte mail partagée |
| Téléphone et email du voyageur | Organiser l'arrivée, le départ et le suivi du séjour | Le gestionnaire et la personne qui accueille sur place | La durée du séjour, un peu au-delà pour le service après vente | Démarchage non souhaité si la liste circule ou est revendue |
| Messages échangés sur la plateforme | Preuve en cas de désaccord sur le déroulement du séjour | Le gestionnaire, rarement un tiers | Jusqu'à la clôture du dossier, sans traîner au-delà | Divulgation si le compte de messagerie est partagé sans contrôle |
| Avis publiés par le voyageur | Réputation de l'annonce et amélioration du service | Visible publiquement, ce n'est pas une donnée cachée | Reste tant que l'avis reste affiché | Confusion fréquente entre donnée publique et donnée privée |
| Informations transmises à un prestataire | Organiser une intervention précise dans le logement | Le prestataire, pour la seule tâche confiée | Le temps de l'intervention | Sous-traitance sans garantie si le prestataire ignore ses propres obligations |
Le tableau se fait défiler horizontalement.
Que faire si un voyageur demande à voir ou effacer ses données ?
Un voyageur peut demander à savoir quelles données le concernant sont détenues, à les faire corriger si elles sont fausses, ou à s'opposer à un usage qui dépasse l'organisation de son séjour. Le gestionnaire doit pouvoir répondre sans improviser : savoir qui a reçu quoi, où ces informations sont stockées, et comment les supprimer proprement si la demande est légitime.
Quelle check-list appliquer pour rester en règle avec chaque voyageur ?
- Informer le voyageur, dès la réservation, de ce qui est collecté et pourquoi, en quelques phrases claires
- Ne demander une copie de pièce d'identité que si une règle précise l'exige vraiment
- Stocker ces copies dans un dossier protégé, jamais dans une boîte de réception partagée par plusieurs personnes
- Fixer une date de suppression pour chaque document reçu, et la respecter réellement
- Ne transmettre aucune donnée à un prestataire sans lui préciser pourquoi il la reçoit
- Désigner une seule personne capable de répondre si un voyageur réclame ses données
- Déclarer le traitement auprès de la CNDP avant de commencer à exploiter un fichier de voyageurs
- Revérifier, à chaque nouveau logement intégré, que rien n'est ajouté au fichier sans y repenser
Questions fréquentes
- Un gestionnaire qui ne gère qu'un seul logement est-il concerné par cette loi ?
Oui, la loi ne fait aucune différence selon la taille de l'activité. Dès qu'un gestionnaire collecte une donnée personnelle, même pour un seul logement, il devient responsable de son traitement et doit respecter les mêmes règles qu'une conciergerie qui en gère plusieurs.
- Que risque un gestionnaire qui garde des copies de pièce d'identité sans déclaration ?
Il s'expose à un contrôle et à une sanction de la CNDP si un voyageur se plaint ou si une vérification révèle l'absence de déclaration. Le risque le plus fréquent reste la fuite de ces copies par une boîte mail mal protégée, pas la sanction elle-même.
- Peut-on envoyer la copie de pièce d'identité d'un voyageur à un propriétaire ?
Seulement si le propriétaire a un motif légitime de la recevoir, comme une obligation qu'il doit lui-même remplir. Sinon, il est préférable de limiter l'accès au gestionnaire et d'expliquer clairement pourquoi au propriétaire.
- Les plateformes comme Airbnb ou Booking déchargent-elles le gestionnaire de ses obligations ?
Non. Chaque plateforme applique ses propres règles pour les données qu'elle collecte elle-même, mais le gestionnaire reste responsable des données qu'il collecte de son côté, comme une copie de pièce d'identité ou un numéro personnel transmis en dehors de la plateforme.
- Faut-il un accord écrit du voyageur avant de garder ses coordonnées ?
Une information claire donnée avant la collecte suffit dans la plupart des cas liés à l'organisation du séjour. Un accord explicite devient nécessaire pour un usage qui dépasse ce cadre, comme l'envoi d'offres commerciales après le départ.
- Un voyageur peut-il demander la suppression immédiate de ses données après son départ ?
Il peut le demander à tout moment, et le gestionnaire doit pouvoir y répondre sans délai excessif. Certaines données doivent toutefois être conservées le temps d'une formalité légale avant de pouvoir être supprimées sans risque pour le gestionnaire.
- Qui est responsable si les données d'un voyageur sont piratées chez un gestionnaire ?
Le gestionnaire reste responsable du traitement, même s'il utilise un outil ou un prestataire externe pour le stocker. C'est une raison concrète de choisir des outils sérieux et de limiter le nombre de personnes qui ont accès aux fichiers sensibles.
- Une agence qui gère plusieurs logements doit elle faire une déclaration par bien ?
Non, la déclaration concerne le traitement mis en place par le gestionnaire, pas chaque logement pris séparément. Elle doit en revanche être mise à jour si la nature des données collectées change notablement.