[Tribune invitée] Hôtellerie-restauration : le casse-tête contractuel du DPO face aux éditeurs de logiciels

Dans l’hôtellerie-restauration, la relation contractuelle avec les éditeurs de logiciels doit être traitée comme un point de conformité prioritaire RGPD, car les établissements centralisent des volumes élevés de données clients, salariés, paiements et parfois des données sensibles ou à forte criticité, avec une exposition cyber renforcée. Le contrat avec l’éditeur doit donc être structuré comme une vraie relation de sous-traitance au sens de l’article 28 du RGPD, et non comme une simple commande logicielle.

Un rôle souvent sous-estimé dans la chaîne contractuelle

Garant de la conformité au RGPD, le Délégué à la protection des données (DPO) se retrouve souvent au cœur d’une équation impossible  : concilier la rigueur juridique du traitement des données avec les pratiques commerciales des éditeurs de logiciels et les contraintes des métiers. Entre avenants ignorés, négociations stériles et transferts de données nébuleux, la réalité du terrain s’éloigne souvent des principes affichés.

A lire ou relire :

TendanceHotellerie aide vraiment les startups

Donner un vrai coup de pouce aux startups, ça n’est pas que des paroles...Vous avez créé une startup qui propose des services et solutions technologiques spécifiques aux hôtels ?TendanceHotellerie (...)  

L’avenant “clauses types” : un exercice d’équilibriste

Lorsqu’un contrat existe déjà, la mise à jour au moyen d’un avenant intégrant les clauses types (art. 28 du RGPD ou Clauses types contractuelles – CCT de la Commission Européenne notamment pour des données transférées hors de l’UE) semble être une solution simple. En théorie, un simple ajustement. En pratique, un parcours du combattant  : délais de validation interminables, interlocuteurs multiples et parfois un refus pur et simple. De nombreux éditeurs n’ont ni la flexibilité ni la culture contractuelle nécessaire pour adapter leurs modèles à la réglementation européenne.

Les nouveaux contrats : des clauses imposées, sans réelle négociation

Lors de nouveaux projets, la situation n’est guère meilleure. La plupart des éditeurs SaaS imposent leurs propres conditions générales ou «  Data Processing Addendums  » standardisés, sans marge de négociation. Leur politique de confidentialité, souvent disponible en ligne mais non annexée au contrat, devient un document d’adhésion. Le responsable du traitement signe alors un contrat où les clauses essentielles – sécurité, sous-traitance, transferts – échappent à toute discussion. La conséquence pour le responsable de traitement est alors un risque de non-conformité, sachant qu’il reste responsable aux yeux de la CNIL même en cas de défaillance du sous-traitant.
En effet, dans le secteur de l’hôtellerie-restauration, il est particulièrement utile d’auditer les éditeurs de PMS, POS, réservation en ligne, CRM, Wi-Fi captif, paiement et fidélisation, car ce sont souvent eux qui concentrent les risques juridiques et techniques. L’établissement ne peut pas se décharger sur ses prestataires : il reste responsable de la conformité globale du traitement.

Hébergement des données : une souveraineté parfois illusoire

Même lorsque les données sont officiellement hébergées dans l’Union européenne, la distinction entre résidence et souveraineté des données devient cruciale. Certains prestataires affichent un hébergement en Europe, mais restent soumis à des législations extra-européennes (notamment américaines) qui peuvent fragiliser la protection juridique offerte par le RGPD. Ces situations mettent le DPO dans une position délicate : comment garantir la conformité lorsqu’une juridiction étrangère peut, en pratique, avoir accès aux données  ?

Et la sous-traitance ultérieure…

Il faut aussi encadrer strictement le recours à des sous-traitants ultérieurs par l’éditeur, avec autorisation écrite préalable ou mécanisme d’autorisation conforme, ainsi qu’une obligation d’information sur tout changement de prestataire.

Une saisine tardive et une responsabilité partagée… difficile à tracer

Trop souvent, le DPO est saisi à la dernière minute, une fois le contrat déjà négocié — voire prêt à être signé. Impossible alors de corriger les non-conformités sans bloquer le processus. Cette intervention tardive illustre un manque structurel de coordination interne : achats, métiers, juridique et DPO ne travaillent pas toujours de concert. Résultat : des zones floues sur les responsabilités respectives de chacun dans la gestion des données, et une gouvernance contractuelle qui peine à se stabiliser.

Par ailleurs, les DPO passent un temps considérable à traquer les politiques de confidentialité des sous-traitants, souvent enfouies dans les sites web, mal référencées, ou rédigées dans un jargon juridique inaccessible. Ce travail de recherche et d’analyse reste laborieux et chronophage.

Enfin, une fois l’analyse réalisée, les DPO transmettent leurs éventuelles réserves et recommandations aux métiers et dans nombre de cas, ces alertes sont ignorées ou minimisées, notamment pour des raisons économiques et opérationnelles. Le DPO devient alors le « méchant » qui bloque les projets, alors qu’il est simplement garant de la conformité et de la protection des données.

Vers une maturité contractuelle collective

Faire du DPO un acteur à part entière du processus contractuel, avant toute signature, est devenu une nécessité. La conformité ne doit pas être un frein, mais un socle de confiance. Acculturation interne, transparence sur les politiques de sous-traitance, clauses évolutives adaptées aux risques  : autant de leviers pour éviter que le contrat, censé protéger les parties, ne devienne le principal maillon faible de la protection des données.

Article fourni gracieusement par Patricia Giuli, Fondateur de Travel Singularity, Rebyū Déléguée à la protection des données depuis plus de huit ans, Patricia Giuli a construit son expérience dans les secteurs public, hôtelier et culturel au service de la conformité RGPD, de l’analyse des risques et de la sensibilisation des équipes. Son parcours, marqué par des responsabilités de direction et de formation, lui confère une approche à la fois rigoureuse, opérationnelle et pédagogique.