Hôtels en Espagne : registre des voyageurs, passeports et IA générative

L'Espagne a accueilli près de 94 millions de touristes internationaux en 2024, selon l'INE. Derrière ce record, il y a des milliers d'hôtels, d'appartements touristiques et d'agences de voyages qui manipulent chaque jour des passeports, des numéros de carte et des réservations détaillées. Depuis le 2 décembre 2024, ils doivent en plus transmettre une partie de ces données au ministère de l'Intérieur en moins de 24 heures.

Dans le même temps, l'IA générative s'est installée à la réception et dans les back-offices. On l'utilise pour répondre à un avis négatif, traduire un message en allemand ou rédiger un mail de confirmation. Mais le prompt contient parfois bien plus que le texte d'un avis.

Le registre des voyageurs : ce que dit le Real Decreto 933/2021

Le Real Decreto 933/2021 du 26 octobre 2021 encadre les obligations de registre documentaire des activités d'hébergement et de location de véhicules à moteur. Après plusieurs reports, le nouveau système est entré en vigueur le 2 décembre 2024. Les données sont envoyées via la plateforme SES.HOSPEDAJES, gérée par le ministère de l'Intérieur.

Sont concernés les hôtels, auberges, campings, logements touristiques et ruraux, mais aussi les plateformes numériques qui commercialisent ces séjours en Espagne et les voyagistes qui servent d'intermédiaires. La liste des informations à collecter est longue :

• identité du voyageur : nom, prénoms, sexe, date de naissance, nationalité, type et numéro de document, adresse, téléphone et e-mail ;

• lien de parenté lorsqu'un voyageur est mineur ;

• détails du séjour : dates et heures d'arrivée et de départ, nombre de voyageurs ;

• données de paiement : moyen utilisé, identification de la carte ou de l'IBAN, titulaire et date de paiement.

Ces informations doivent être communiquées immédiatement, et au plus tard dans les 24 heures, puis conservées jusqu'à trois ans.

Pourquoi ces données finissent dans les outils d'IA

Personne ne copie volontairement un fichier SES.HOSPEDAJES dans ChatGPT. Les fuites viennent de gestes banals. Un réceptionniste colle l'échange complet avec un client pour obtenir une réponse polie, avec le numéro de réservation, le numéro de passeport mentionné dans la conversation et le téléphone. Une agence de voyages fait reformuler un récapitulatif de groupe contenant la liste des participants. Un service comptable demande à un assistant de « mettre au propre » un tableau de litiges de paiement avec les quatre derniers chiffres des cartes et les noms des titulaires.

Le secteur emploie beaucoup de saisonniers, formés en quelques jours et qui jonglent entre plusieurs langues. Une formation de début de saison ne suffit pas : l'IA leur fait gagner du temps, et ils l'utilisent sans penser à ce qu'ils collent. Le coût de ces usages non encadrés est détaillé dans notre article sur le vrai coût de l'IA fantôme.

Les avis clients et les e-mails : le cas le plus fréquent

Répondre aux avis en ligne est devenu une tâche quotidienne pour les hôtels. Un avis public ne pose pas de problème en soi. Le risque apparaît quand l'employé ajoute du contexte pour que la réponse soit précise : chambre, dates exactes, réclamation de remboursement, état de santé évoqué par le client, ou nom de l'enfant blessé à la piscine. Ce contexte relève de données personnelles, parfois sensibles au sens du RGPD.

Même logique pour les e-mails. Une demande de modification de séjour contient souvent une copie de pièce d'identité ou une capture de virement. Si l'employé transfère le tout à un assistant IA grand public pour rédiger la réponse, l'hôtel perd la maîtrise de données qu'il est tenu de protéger.

Le cadre juridique : RGPD, LOPDGDD et AEPD

Les données collectées pour le registre des voyageurs restent soumises au RGPD et à la Ley Orgánica 3/2018 (LOPDGDD). L'Agencia Española de Protección de Datos (AEPD) est l'autorité compétente. L'article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque, et un fichier qui combine documents d'identité et moyens de paiement présente un risque élevé. Notre checklist règlement IA et article 32 du RGPD détaille ces mesures.

Le RGPD pose aussi le principe de limitation des finalités : des données recueillies pour une obligation de sécurité publique ne doivent pas être réutilisées librement, encore moins confiées à un service tiers sans contrat ni analyse. Pour la partie IA, l'AESIA, l'agence espagnole de supervision de l'intelligence artificielle, complète le dispositif. Nous avons détaillé son rôle dans notre article sur l'AESIA et la préparation des entreprises espagnoles à l'AI Act.

Ce que peut faire un hôtel ou une agence dès maintenant

Interdire l'IA à la réception serait irréaliste. Mieux vaut encadrer les usages :

1. Lister les outils réellement utilisés par la réception, les réservations, le marketing et la comptabilité, y compris sur les téléphones personnels.

2. Fixer une règle simple : jamais de numéro de document, de carte ou d'IBAN dans un assistant IA, même pour une traduction.

3. Proposer un outil validé, avec un contrat de sous-traitance conforme, plutôt que de laisser chacun choisir le sien.

4. Anonymiser automatiquement les données sensibles avant l'envoi, pour que l'employé garde le bénéfice de l'outil.

5. Garder une trace des incidents évités, utile en cas de contrôle de l'AEPD.

L'anonymisation est souvent le meilleur compromis : le nom devient un pseudonyme, le numéro de passeport un identifiant fictif au même format, et la réponse générée reste exploitable. Notre article sur l'anonymisation préservant le format explique comment cela fonctionne.

En résumé

Depuis décembre 2024, les hébergeurs et intermédiaires de voyage espagnols détiennent un volume encore plus important de données d'identité et de paiement. L'IA générative est utile pour gérer les avis, les e-mails et les traductions, mais chaque copier-coller peut exposer un passeport ou une carte bancaire. Encadrer ces usages, anonymiser avant l'envoi et garder une preuve des contrôles permet de rester serein face à l'AEPD.

ZeusLock détecte et anonymise les numéros de passeport, de DNI, de carte et d'IBAN avant qu'ils n'atteignent ChatGPT, Copilot ou Gemini, directement dans le navigateur de vos équipes. Demandez une démo de ZeusLock pour voir comment protéger votre réception sans la ralentir.