RGPD et agences Omra : comment protéger les données des pèlerins ?

Une agence Omra ne gère pas seulement des réservations. Elle traite identités, coordonnées, copies de passeports, photos, visas, paiements et parfois des informations de santé ou de mobilité. Une erreur de destinataire ou un compte compromis peut donc exposer de nombreux voyageurs.

1. Pourquoi les agences Omra sont concernées

Le RGPD impose notamment une finalité déterminée, une collecte limitée au nécessaire, une durée adaptée et une sécurité proportionnée au risque. Un dossier peut circuler entre commercial, visa, finance, hôtel, transporteur et partenaires saoudiens : l’agence doit savoir qui accède à quoi, pourquoi, pendant combien de temps et à qui les données sont transmises.

Le registre des activités de traitement de la CNIL aide à documenter finalités, données, destinataires, transferts, durées et mesures de sécurité.

2. Passeports et données de santé

Une copie de passeport n’est pas automatiquement une donnée sensible au sens de l’article 9, mais elle présente un risque important d’usurpation et doit être protégée. Les informations médicales ou de mobilité peuvent, selon leur contenu, relever des données de santé et nécessiter une protection renforcée.

Collecter uniquement ce qui est réellement nécessaire : un besoin d’assistance ne justifie pas forcément de demander un dossier médical complet.

3. Réduire la dispersion des dossiers

Passeport → WhatsApp · Photo → e-mail · Paiement → Excel · Rooming → autre fichier · Visa → portail externe

Chaque copie supplémentaire augmente l’exposition et complique rectification, suppression et contrôle. Centraliser ne règle pas tout, mais réduit la surface à gouverner et permet de relier un document au bon pèlerin, au bon dossier et au bon voyage.

4. Limiter les accès selon les rôles

Le commercial, l’opérateur visa et la finance n’ont pas besoin des mêmes données. Les habilitations doivent suivre les responsabilités, être retirées au départ d’un collaborateur et être complétées par une authentification et une traçabilité adaptées au risque.

5. Définir les durées de conservation

Le RGPD ne fixe pas une durée unique pour tous les documents. Selon la CNIL, la durée dépend de la finalité et des obligations applicables ; les données ne peuvent pas être conservées indéfiniment. Il faut distinguer la base active, l’archivage justifié et la suppression.

6. Encadrer les transferts hors EEE

Visa, hôtels et partenaires opérationnels peuvent nécessiter des transmissions vers l’Arabie Saoudite. L’agence doit identifier les données, le destinataire, la finalité et le mécanisme juridique applicable aux transferts internationaux, puis le documenter dans son registre.

7. Préparer la réponse aux violations

Une perte, une altération ou un accès non autorisé constitue potentiellement une violation de données. La CNIL précise que toute violation doit être documentée ; celles présentant un risque doivent lui être notifiées dans les meilleurs délais et, si possible, sous 72 heures. En cas de risque élevé, les personnes peuvent également devoir être informées.

8. Checklist pratique

• Pourquoi collectons-nous chaque donnée ?
• Qui peut y accéder et ces droits sont-ils revus ?
• Où les données sont-elles stockées et copiées ?
• Quels prestataires les traitent et sous quel contrat ?
• Quelles données quittent l’EEE, vers qui et pourquoi ?
• Quelles durées et règles de suppression appliquons-nous ?
• Comment répondons-nous aux droits des voyageurs ?
• Quel processus suivons-nous en cas d’incident ?

Un logiciel peut soutenir cette organisation, mais il ne rend pas automatiquement une agence conforme. OmraDesk aide à structurer les dossiers et les workflows ; l’agence reste responsable de ses finalités, bases légales, durées, destinataires et procédures.

La protection des données est aussi un engagement de confiance envers chaque pèlerin qui remet son identité, son passeport et ses documents à l’agence.