Un rapport Cybernews épinglant 22 apps de voyage pour leur collecte de données parfois opaques pose la question de la prise de conscience du secteur du Tourisme par rapport au RGPD. Pour Chloé Rezlan, Avocate spécialiste en droit du Tourisme, les enjeux de la collecte de données personnelles ont bien été intégrés par l’industrie malgré certaines disparités. Elle rappelle également la valeur juridique limitée du rapport sur la cybersécurité visant les applications de voyage.
Un peu plus tôt au mois de juin 2024, 22 applications Android couramment utilisées par les voyageurs ont été épinglées par un rapport Cybernews pour leur manque de transparence en matière de collecte de données personnelles. L’occasion de faire le point sur les bonnes pratiques imposées par le RGPD, le règlement européen sur la protection des données.
“Le RGPD pose plusieurs principes parmi lesquels une collecte de données personnelle qui doit être déterminée et minimisée. D’ailleurs, l’article 5 impose aux entreprises de collecter des données nécessaires, et de manière explicites et légitimes. Il faut être vigilant à ne pas collecter trop de données et bien sûr être transparent sur le sujet”, nous rappelle Chloé Rezlan, Avocate en droit du Tourisme.
Les 22 applications de voyage épinglées pour un manque de transparence en matière de collecte de données dans le rapport de Cybernews. Crédits : Cybernews
La juriste se montre toutefois prudente sur la valeur juridique de l’enquête journalistique conduite par nos confrères, la CNIL et ses équivalents européens n’ayant pour le moment et à sa connaissance pas été saisies sur ces questions. “Cela ne veut pas dire que le rapport n’est pas sérieux, mais que sa valeur juridique est limitée”, souligne-t-elle.
RGPD : inciter à la mise en conformité avant de sanctionner
L’experte rappelle que les sanctions établies en cas de manquement au RGPD peuvent aller jusqu’à 20 millions d’euros et 4% du CA annuel mondial de l’entreprise sur l’exercice précédent, ou entraîner un recours pénal : une condamnation à 5 ans d’emprisonnement en cas de collecte ‘frauduleuse, illicite ou déloyale”. Pour autant, les organes de protection de la vie privée se montrent généralement conciliants vis-à-vis des entreprises.
Les méthodes de signalement auprès de la CNIL pour non conformité au RGPD. Crédits : CNIL
“On constate généralement une forme d’incitation à la mise en conformité au préalable de la part de la CNIL qui offre aux acteurs concernés la possibilité de rectifier le tir dans un premier temps”, illustre Chloé Rezlan. Et de préciser : “Dans le cas présent, il faudra effectivement chercher à comprendre pourquoi ces informations relatives à la collecte de données ne figurent pas sur le Google Play Store.” . L’objectif étant notamment de constater si la faute est commise volontairement ou non.
“Parfois, les manquements découlent d’une complexité technique”
“Parfois, les manquements peuvent découler d’une complexité technique par exemple qui peut entraîner l’absence de certaines mentions sans que cela soit volontaire pour autant. Le fait d’avoir été épinglé par le rapport peut donc suffire à régulariser la situation rapidement sans entraîner de recours ou de sanctions juridiques”, poursuit l’avocate spécialisée dans le Tourisme.
Après avoir été saisie, la CNIL procède au contrôle de l'organisme suspecté d'avoir manqué au RGPD. Crédits : CNIL
Un discours qui fait écho à l’approche de la plupart des acteurs mentionnés dans le rapport.
Trip.com mène l’enquête après avoir été épinglée
Dès la parution de l’article, plusieurs acteurs dont Trip.com se sont lancés dans une enquête interne pour tenter de comprendre pourquoi les informations relatives à la collecte de données n’apparaissaient pas dans les conditions générales affichées sur Google Play Store. Pour rappel, l'OTA s'est notamment faite reprocher d'accéder à l'appareil photo du smartphone sans pour autant l'indiquer de manière explicite. “Nous avons procédé à un examen interne approfondi et nous nous efforçons de respecter les normes les plus strictes en matière de confidentialité et de transparence”, nous confie un porte-parole de Trip.com.
A la suite d'un contrôle, la CNIL peut inciter à la mise en conformité de l'organisation concernée ou procéder à une mise en demeure ou à des sanctions directement. Crédits : CNIL
L’OTA chinoise, qui indique collecter des données pour fournir “le meilleur service possible” a notamment souligné le caractère facultatif de certaines autorisations que les voyageurs ont la possibilité de paramétrer depuis leur appareil en fonction de l’expérience recherchée. Aussi, les informations relatives à la manière dont elle collecte les données sont bel et bien affichées dans le store Android.
“Notre déclaration de confidentialité, disponible sur le Google Play Store, détaille la manière dont nous traitons les données des clients, y compris les informations relatives aux autorisations telles que l'appareil photo, la localisation et les appels”, rassure l’entreprise.
Les acteurs du Tourisme ont bien saisi les enjeux du RGPD
Une approche qui semble confirmer le sentiment partagé par la juriste : si les prérogatives du RGPD s’avèrent parfois plus complexes à mettre en œuvre pour les PME et les entrepreneurs du Tourisme, elles sont prises très au sérieux par les grands comptes. Une disparité logique quand on connaît l’ampleur des règles qui encadrent l’activité touristique, poussant les porteurs de projets à se mettre en conformité avec le texte sur la protection des données personnelles de manière progressive.
La CNIL peut appliquer des sanctions administratives ou pénales en cas de manquement au RGPD. Crédits : CNIL
“On va faire le strict minimum au début pour être en conformité mais la mise en place d’une politique de traitement des données poussée en interne se fait dans un second temps. Toutefois, la sensibilisation du Tourisme est forte”, assure Chloé Rezlan qui précise que la mise en place d’une politique interne pointue en matière de collecte nécessite “du temps, du budget et de l’énergie”.
Photo d'ouverture : Daria Nepriakhina
