Fichier clients : ce que la loi impose aux hôteliers

Dans le cadre d'une cession d'hôtel, le nouvel exploitant peut-il utiliser dans son intégralité le fichier 'clients' constitué par le précédant responsable de l'établissement ?

Matthieu Bourgeois : Oui, à la condition que la collecte des données figurant dans le fichier ait été effectuée correctement, c'est-à-dire en conformité avec la loi informatique et libertés. Il faut notamment que ce fichier ait été déclaré à la CNIL. Dans une affaire jugée par la Cour de cassation en 2013, la cession d'un fond de commerce a été purement et simplement annulée, au motif que le fichier clients n'avait pas été déclaré à la CNIL. Les conséquences de cette décision ont été dramatiques pour le vendeur, puisqu'il s'est vu contraint de restituer l'intégralité du prix qu'il avait encaissé. Cette solution est transposable à toute cession de fonds de commerce, y compris à celle d'un hôtel.

Jusqu'où peut-on aller dans l'élaboration d'un fichier clients ?

S'il est possible de collecter une large variété de données personnelles, encore faut-il que la collecte soit faite pour des finalités explicites et légitimes, en respectant le principe de proportionnalité. Ainsi, peuvent être traitées uniquement les données strictement nécessaires aux finalités de la collecte, et pas davantage. Par exemple, certains hôtels qui collectent des informations très précises concernant le régime alimentaire ou les habitudes de vie de leurs clients (statut fumeur/non-fumeur, hobbies…) ne sont en droit de le faire que si cette collecte est justifiée par des services spécifiques de l'hôtel dont la fourniture nécéssite de telles informations. Dans de tels cas, l'hôtelier devra notamment :  mettre en place des garanties strictes pour conserver la confidentialité, en particulier par une gestion rigoureuse des droits d'accès à de telles données ; éviter de collecter certaines données interdites (données révélant les origines raciales, les croyances religieuses, les orientations sexuelles…) ou réservées à certains professionnels (données de santé…).

Doit-on demander une quelconque autorisation au client ?

Oui, en principe. Cela ne pose généralement pas de difficultés en pratique car ce consentement est souvent donné par les personnes au moment de la collecte de leurs données. Il ne doit pas y avoir de collecte « à leur insu », sauf dans des cas particuliers de collecte indirecte : par exemple, un hôtel recevant des données d'un partenaire commercial, comme une agence de voyage avec laquelle elle fournirait un service packagé. Dans un tel cas, les personnes sont en principe informées de ce transfert lors la collecte initiale ou bien lors de la communication de leur données au tiers.

Un hôtel ferme définitivement, peut-il vendre son fichier clients ?

Oui, mais à la condition d'avoir pris des précautions préalables, notamment en vérifiant que les clients ont bien été informés de tous les éléments exigés par la loi (finalité, destinataire des données, droit d'accès, de rectification et d'opposition…), et surtout que les formalités déclaratives auprès de la CNIL ont bien été effectuées. À défaut, c'est toute l'opération de vente qui peut être annulée (voir plus haut).