Avec la popularité croissante des systèmes de stockage et d’informatique en nuage, les informations qui étaient auparavant stockées sur site se trouvent désormais dans des centres de données répartis dans le monde entier, ce qui rend plus difficile le respect des réglementations en matière de traitement des données. La souveraineté des données pour les hôtels est devenue un élément essentiel de la stratégie informatique d’un hôtel. Mais qu’est-ce que la souveraineté des données pour les hôtels et qu’est-ce que cela signifie pour les entreprises aujourd’hui ?
Le secteur de l’hôtellerie fonctionne mieux lorsqu’il dispose d’un grand nombre de données sur les clients et leurs préférences. Un secteur comme l’hôtellerie, qui est axé sur la personnalisation, ne peut fonctionner sans de bonnes données. Aujourd’hui, la souveraineté des données est encore un concept nouveau qui est plus important que jamais, surtout avec les quantités croissantes de données personnelles stockées dans des endroits que l’invité ne contrôle pas et qu’il ne comprend même pas complètement.
Note : Shiji et l'équipe d'Insights ne fournissent aucun conseil juridique dans cet article. Cet article est fourni à titre d'information générale et d'aperçu. Les lecteurs sont encouragés à travailler avec leurs responsables de la protection de la vie privée et/ou leurs conseillers juridiques pour déterminer les mesures de protection des données qu'ils devraient prendre.
Quelles sont les nouveautés en matière de souveraineté des données pour les hôtels en 2023 ?
- Un contrôle accru de la protection des données
L’année dernière, la protection des données et de la vie privée a fait l’objet d’une attention accrue au niveau mondial, avec de nombreuses violations de données très médiatisées et une surveillance réglementaire accrue, ce qui a nécessité des mesures de conformité plus strictes de la part des hôtels. - Renforcement de la réglementation en matière de protection de la vie privée
Les réglementations relatives à la protection de la vie privée, telles que le California Consumer Privacy Act (CCPA), le LGPD brésilien et le POPI sud-africain, ont été mises en œuvre ou actualisées dans diverses juridictions à travers le monde, obligeant les hôtels à adapter leurs pratiques en matière de données afin d’être en conformité. - Extension des lois sur la localisation des données
Plusieurs pays ont introduit ou renforcé des lois sur la localisation des données, exigeant que les données personnelles de leurs citoyens soient stockées à l’intérieur de leurs frontières, ce qui pose des problèmes aux chaînes hôtelières internationales et à leurs stratégies de stockage des données. - Sensibilisation et attentes accrues des hôtes
Les clients sont de plus en plus sensibilisés aux questions de confidentialité des données et s’inquiètent de plus en plus de la manière dont leurs données personnelles sont collectées, traitées et stockées, et attendent des hôtels qu’ils fassent preuve d’une grande transparence et de solides mesures de protection des données. - Avancées technologiques en matière de sécurité des données
Les fournisseurs de technologies hôtelières ont amélioré leurs offres en intégrant des fonctions avancées de sécurité des données, telles que le cryptage, les contrôles d’accès et les journaux d’audit, afin de garantir la protection des données personnelles des clients. - Collaboration de l’industrie pour la protection des données
Les associations et organisations du secteur hôtelier ont reconnu l’importance de la protection des données et de la vie privée, ce qui a conduit à des efforts de collaboration pour élaborer des lignes directrices et des meilleures pratiques à l’échelle du secteur afin d’aider les hôtels à respecter les exigences réglementaires. - Développements juridiques et réglementaires en cours
Le paysage juridique et réglementaire entourant la souveraineté des données et la protection de la vie privée continue d’évoluer, avec des discussions, des amendements et des décisions de justice qui peuvent avoir un impact sur les pratiques de gestion des données des hôtels, ce qui nécessite des mises à jour régulières et un contrôle de la conformité.
La relation entre la souveraineté des données, la résidence et la protection de la vie privée
Les concepts de “souveraineté“, de “résidence” et de “vie privée” sont étroitement liés lorsqu’il s’agit de données, mais ils nécessitent quelques éclaircissements.
La résidence des données fait référence aux entreprises qui décident de l’emplacement géographique où leurs données seront stockées. Ils peuvent, par exemple, choisir un pays particulier en raison de sa réglementation favorable en matière de protection de la vie privée ou de son environnement fiscal peu contraignant. Par exemple, une entreprise située dans le pays “C” peut avoir trouvé avantageux de stocker ses données dans le pays “B”, où elle peut économiser certains coûts. La résidence des données est donc le pays “B”.
Cela signifie que les données stockées doivent respecter les réglementations de ce pays, notamment en matière de protection de la vie privée (y compris le fait que les données doivent être accessibles au gouvernement en cas de besoin légal). Ainsi, dans l’exemple ci-dessus, les données seraient accessibles et régies par les règles du pays “B”, même si ni l’entreprise ni les clients n’y sont établis.
Si la confidentialité des données est liée à la souveraineté et à la résidence des données, elle est également différente en ce sens que la confidentialité est la façon dont on protège les données personnelles contre une utilisation abusive. Dans l’exemple ci-dessus, il est évident que si les données d’un citoyen du pays “A” sont stockées dans le pays “B” et que ce dernier dispose de lois très souples en matière de protection des données, cela pourrait poser un problème pour le citoyen du pays “A”. Ces trois concepts sont donc étroitement liés, mais pas identiques.
La souveraineté des données permet de contrôler la manière dont les données des utilisateurs sont stockées et, plus important encore, l’endroit où elles le sont. L’idée est que les données doivent toujours être soumises à la législation du pays où elles sont collectées. Par exemple, si certaines informations sur les utilisateurs sont collectées dans un hôtel européen, le règlement de l’UE (GDPR) devrait prévaloir. Dans le secteur de l’hôtellerie, cette question est particulièrement complexe, car les données des utilisateurs pourraient facilement être créées aux États-Unis (pour effectuer la réservation) et stockées dans un hôtel en Europe, ce qui créerait des zones d’ombre dans l’interprétation du règlement.
Si la réglementation européenne GDPR (General Data Protection Regulation) est souvent citée en ce qui concerne la souveraineté des données, il est important de faire la différence entre GDPR et la souveraineté pure des données. D’une manière générale, de nombreuses initiatives en matière de souveraineté des données (y compris des lois sur la localisation des données, par exemple en Russie) ont été introduites pour garantir que les informations personnelles bénéficient d’une protection appropriée, quel que soit leur emplacement. Cette idée a été considérée comme étroitement liée aux gouvernements/au contrôle (parce que certains pays exigent que les données soient conservées à l’intérieur de leurs frontières), mais elle pourrait interférer avec la libre circulation des libertés ou simplement la libre circulation des données (un concept enraciné dans l’UE).
Si les données relatives au mode de vie des citoyens d’un pays sont stockées dans un autre pays où leurs libertés et leurs protections sont différentes, cela pose un problème potentiel majeur.
Le GDPR ne prévoit pas d’exigences en matière de résidence des données en tant que telles, mais réglemente les transferts transfrontaliers en général. Par exemple, le GDPR n’interdit pas les transferts transfrontaliers. Néanmoins, elle doit avoir une base pour le transfert et mettre en œuvre des garanties appropriées visant à assurer que les données personnelles sont protégées quel que soit l’endroit où elles sont stockées.
RELATED:
L’aspect le plus controversé de la souveraineté des données est sans doute le fait qu’elle dicte également la manière dont les gouvernements peuvent ou ne peuvent pas accéder aux informations des utilisateurs. Un exemple typique est le Patriot Act : le gouvernement américain a le droit légal d’accéder aux données stockées sur le sol américain. Cette situation est similaire à celle de la Chine, qui dispose de droits sur les données stockées sur son territoire, et, dans tous les cas, il s’agit d’un droit que les gouvernements exercent au nom de la sécurité nationale. Le problème se pose lorsque les données des citoyens d’un pays sont stockées dans un autre pays et que la sécurité nationale ne peut être assurée. D’où la nécessité d’une législation sur la souveraineté des données.
La souveraineté des données dans l’hôtellerie, un problème politique ?
Bien que le thème de la souveraineté en matière de données ait une grande valeur politique et de relations publiques, il s’agit avant tout de protéger les données des personnes et des entreprises contre une utilisation abusive. Au-delà de la politique et de la presse, la raison pour laquelle la souveraineté des données est importante est que les citoyens et les entreprises vivent et opèrent dans leur pays et suivent les lois, jouissent des libertés et des protections qui vont de pair avec le fait de vivre ou d’opérer dans leur pays.
Ces libertés et protections sont connues des citoyens et des entreprises qui peuvent opérer en toute confiance puisqu’ils ont accès à leurs lois. Ces libertés et protections sont connues des citoyens et des entreprises, qui peuvent alors opérer avec confiance puisqu’ils ont accès à leurs lois. Ce qu’ils font et la manière dont ils vivent sont adaptés aux lois locales. Mais si les données relatives à leur mode de vie sont stockées dans un autre pays où ces libertés et protections sont différentes, cela pose un problème.
Ainsi, au-delà de l’aspect politique, cette question est essentielle pour les personnes et les entreprises et la manière dont elles mènent leur vie et leurs activités. C’est la véritable raison pour laquelle il est si important.
Il est essentiel d’exposer cette question afin de comprendre les raisons de la souveraineté des données. Il s’agit de maintenir les libertés et les protections des personnes et des entreprises sur le lieu où elles vivent et exercent leurs activités, car ce sont les droits, les règles et les législations qui les régissent.
Heureusement, la plupart des grands fournisseurs d’informatique en nuage disposent aujourd’hui de systèmes intégrés permettant de contrôler l’endroit où les données sont traitées et stockées, même si ce n’est pas nécessairement le cas dans le domaine de la technologie hôtelière.
Un grand nombre des préoccupations actuelles concernant la souveraineté des données ont trait à l’application des réglementations en matière de protection de la vie privée et à la garantie que les données stockées dans un pays étranger ne sont pas collectées par le gouvernement du pays d’accueil de l’entreprise sans son consentement. Les réglementations en matière de données changent constamment pour répondre au mieux à ce sujet qui évolue rapidement, ce qui signifie qu’il n’y a pas de règles simples à suivre. Toutefois, une règle s’appliquera toujours : Le propriétaire des données est responsable de savoir précisément où ses données sont stockées et de prendre les mesures nécessaires pour s’assurer qu’il respecte la législation qui régit cet emplacement.
Sécurité des données et protection de la vie privée dans le secteur de l’hôtellerie
Dans notre secteur axé sur les données, la sécurité est souvent synonyme de protection des données personnelles des clients. Les principales violations de données de ces dernières années concernaient des informations sur les clients stockées dans des systèmes de gestion immobilière (PMS). Pourtant, les hôtels ont besoin de stocker des données personnelles pour fonctionner et doivent donc maintenir des niveaux de sécurité élevés pour protéger leurs clients.
La sécurité des données personnelles est un sujet particulièrement central pour les exigences en matière de respect de la vie privée. Le non-respect de toutes les réglementations en matière de protection de la vie privée (telles que le GDPR européen, la CCPA californienne, la LGPD brésilienne ou la POPI sud-africaine) peut constituer une menace, qu’il convient d’identifier le plus tôt possible dans le processus de sélection des solutions technologiques. Veiller à ce que la conformité du système soit vérifiée par un auditeur externe et certifiée – par exemple, avec un certificat ISO/IEC 27018, le code de pratique pour la protection des informations personnelles identifiables (PII).
Cela dit, il est indéniable que les systèmes modernes ont un avantage en matière de protection des données, car ils ont été créés au moment où le GDPR et d’autres réglementations similaires ont été élaborés. Les logiciels plus anciens peuvent avoir une architecture limitée qui rend beaucoup plus difficile le respect des réglementations en matière de protection de la vie privée. Cela est particulièrement difficile pour les grands systèmes sur site car, dans les cas extrêmes, les mesures de sécurité ne peuvent même pas être appliquées, comme certaines technologies anciennes qui ne prennent pas en charge le cryptage.
Résidence des données et systèmes en nuage
Pour qu’un système soit conforme aux principales exigences en matière de sécurité et de respect de la vie privée, il convient de démystifier certains mythes relatifs à la souveraineté des données. Comme nous l’avons déjà évoqué, l’idée principale de la souveraineté des données est que les données d’un client doivent être soumises aux lois du pays dans lequel les données sont collectées et traitées. La résidence des données personnelles identifiables est un défi plus important pour les solutions basées sur l’informatique en nuage que pour les systèmes sur site non connectés. Heureusement, la plupart des grands fournisseurs d’informatique en nuage disposent aujourd’hui de systèmes intégrés permettant de contrôler l’endroit où les données sont traitées et stockées, même si ce n’est pas nécessairement le cas dans le domaine de la technologie hôtelière.
Par exemple, le site web de Microsoft 365 indique clairement que “nous partons du principe que nos entreprises clientes souhaitent que leurs données professionnelles soient stockées et traitées à proximité de leur domicile. C’est ce que nous faisons dans la mesure du possible”. Ainsi, la localisation des locataires créés avec une adresse de facturation en France ou en Allemagne, par exemple, ne sera jamais les États-Unis, mais l’UE.
La protection des données est désormais une norme pour toutes les grandes plateformes d’informatique en nuage. Les implications de l’amélioration de l’expérience de l’utilisateur par la distribution des données entraînent des complications supplémentaires en matière de confidentialité, de souveraineté et de protection des données. Les entreprises hôtelières qui envisagent de mettre à jour leurs systèmes devraient examiner attentivement les options de protection des données de leurs fournisseurs et s’assurer que ces derniers utilisent pleinement ces fonctionnalités.
Amazon Web Services offre la possibilité d’utiliser différentes régions d’AWS afin que l’application puisse être déployée dans plusieurs endroits, tels que l’UE, les États-Unis, la Chine, etc. Les clients ont la possibilité de décider dans quelle partie du monde leurs données (ou celles de leurs clients) doivent être stockées. Concrètement, un fournisseur de technologie hôtelière peut construire un système de stockage pour des chaînes mondiales où les données des hôtels européens sont stockées dans l’UE, les données des hôtels américains sont stockées aux États-Unis, les données des hôtels chinois sont stockées en Chine.
Exemples de protection des données dans le secteur de l’hôtellerie et de la restauration
Dans notre secteur, si un hôtel travaille avec un fournisseur qui respecte les lignes directrices en matière de sécurité et de protection de la vie privée, il pourra stocker ses données dans une région particulière, en fonction de l’emplacement de l’établissement. Cependant, les chaînes et groupes hôteliers peuvent avoir besoin des données de leurs clients pour voyager entre différentes régions. Les programmes de fidélisation en sont un bon exemple : les clients fidèles doivent être reconnus dans n’importe quel hôtel de la chaîne ou du groupe, et ils doivent pouvoir consulter leurs points de fidélité où qu’ils se trouvent.
Le transfert des données vers une autre région est possible si l’invité a explicitement accepté de partager ses données au-delà de la région. Ensuite, en fonction des réglementations locales, les données peuvent être partagées soit au niveau mondial, soit avec une autre région. Dans certains pays, cela signifie qu’une copie doit être conservée localement, et dans d’autres pays, même au sein de l’Union européenne, les réglementations diffèrent et doivent être vérifiées par des professionnels.
En Europe, la nature même du service de séjour dans un hôtel permet aux établissements de collecter et de traiter les données personnelles de leurs clients : les hôtels sont autorisés à traiter des données personnelles parce que ces données sont nécessaires pour fournir le service ; le consentement n’est donc pas la seule base juridique pour le traitement des données. En outre, contrairement à de nombreuses juridictions asiatiques, le GDPR n’exige pas d’autorisation pour les transferts transfrontaliers de données au sein d’une organisation internationale, mais cela ne signifie pas que les données personnelles peuvent être déplacées sans aucune garantie ni base juridique. L’objectif principal, au contraire, est de s’assurer que les données personnelles seront protégées où qu’elles aillent. Le GDPR exige la transparence et l’information des individus sur ce qu’il advient de leurs données personnelles, y compris sur le lieu où elles sont transférées et sur les raisons de ce transfert.
En outre, les hôtels peuvent demander ouvertement à leurs clients de partager leurs données s’ils expliquent dans leur avis de confidentialité les informations personnelles qui seront copiées à l’étranger pour des systèmes globaux, tels que le programme de fidélisation mentionné plus haut. Bien entendu, dans ce cas, les clients doivent explicitement accepter et autoriser l’adhésion au programme et donc l’envoi de leurs données à d’autres endroits. Les données agrégées et anonymes (telles que le taux d’occupation, le tarif journalier moyen (ADR), etc.) ne tombent pas sous le coup de la réglementation, de sorte qu’un hôtel européen peut partager ces informations avec le siège aux États-Unis et vice versa.
Conclusion : La souveraineté des données est une cible mouvante
La souveraineté des données, en particulier pour les hôtels, est un concept relativement nouveau introduit par l’essor de l’informatique en nuage. On peut aller jusqu’à dire que l’idée même de souveraineté est la “décolonisation du nuage”. C’est pourquoi les hôtels et les fournisseurs de technologie doivent considérer la souveraineté des données comme une cible mouvante. La plupart des pays travaillent à l’élaboration de nouvelles réglementations plus strictes en matière de protection de la vie privée, et la souveraineté des données fait partie intégrante de ces réglementations. Sur ce site web(Data Protection Laws of the World), vous pouvez comparer les lois sur la protection des données dans le monde entier et vous assurer que vous êtes toujours en conformité. Il est essentiel de choisir vos fournisseurs en fonction de leur conformité aux lois sur la souveraineté des données pour éviter que les informations précieuses de vos clients ne tombent entre de mauvaises mains.
Cet article a été publié à l’origine dans TechTalk.Travel.
