IATA : les compagnies aériennes sont-elles conformes au RGPD ?

TourMaG.com - D'après mes informations, l'ECTAA étudierait actuellement la révision de la résolution 830 D par IATA. Ce texte obligerait en quelque sorte les agents de voyages de collecter les données des voyageurs et de les transférer aux compagnies aériennes. Selon le syndicat, cette manipulation ne serait pas conforme au RGPD. Pourriez-vous expliquer à nos lecteurs, ce qu'est la résolution 830D ?

Benoit Chantoin : C'est une révision d'une résolution déjà existante, qui concerne la fourniture d'informations et de données, de la part des agents de voyages.

Ces derniers doivent collecter le consentement des voyageurs pour partager leurs coordonnées, e-mail et téléphone, aux compagnies pour que celles-ci puissent les joindre en cas de retard ou annulation de vol.

La résolution est imposée et obligatoire, elle doit être automatisée depuis le 1er juin 2019 sous peine d'ADM. Ce sont des procédures très lourdes et parfois impossibles à mettre en place, au moins sur le court terme.

TourMaG.com - Les agents de voyages ont-ils l'obligation de fournir les informations sous peine de sanction ?

Benoit Chantoin : Pas exactement, ils ont obligation de demander le consentement du passager, c'est un peu la finesse de cette résolution. Cela représente l'une des manières de collecter les données.

Ce point fait partie des contestations écrites dans notre lettre adressée à IATA. Tout d'abord, nous leur avons dit que l'association ne respecte pas le RGPD, et même s'il le respecte, selon eux, IATA pourrait avoir des plaintes en raison de sa façon de collecter des données, sans le consentement du passager.

D'après nous, cette délivrance de l'information peut se faire par une collecte de données, mais d'une manière légale, sans nécessairement le consentement et l'intégration d'une procédure ultra compliquée.

TourMaG.com - Qu'entendez-vous par mesure très difficile ?

Benoit Chantoin : Si le consentement ne marche pas, l'agent doit dire au passager : vous devez prendre en compte qu'en cas de refus, vous ne serez pas informé des possibles retards ou annulations.

TourMaG.com - Les agents et les clients n'ont pas le choix...

Benoit Chantoin : Ils ont le choix, mais les agents de voyages doivent insister, c'est la "finesse" de IATA. Pour le professionnel cela ajoute deux étapes dans la procédure de réservation, ce n'est pas anodin aussi.

Cela rend la constitution du dossier client peu agréable, imaginez alors cette étape sur un système automatisé, comme dans le business travel, c'est d'autant plus compliqué.

TourMaG.com - Avez-vous eu écho au sein de l'ECTAA de possible utilisation à des fins marketings de cette collecte ?

Benoit Chantoin : Nous n'avons absolument aucune preuve que l'ensemble des compagnies aériennes vont respecter la résolution 830D de IATA. Des membres, nous ont signalé que certaines compagnies ne respectaient pas le standard de l'association.

Il est possible d'imaginer que des transporteurs peu scrupuleux utilisent à des fins marketings, des données fournies par les agences de voyages. C'est un scénario dans le domaine du possible.

D'ailleurs, nous avons eu le signalement d'une agence de voyages, qui avait mis en place une adresse e-mail spécifiquement sur cette procédure, et derrière il avait reçu 200 e-mails publicitaires de la part de plusieurs compagnies aériennes.

TourMaG.com - Quand avez-vous envoyé la lettre à IATA et où en êtes-vous ?

Benoit Chantoin : Nous avons adressé la lettre mi-mai, puis une autre axée sur les aspects pratiques, en faisant part de nos commentaires sur le problème de standardisation de la collecte.

Si IATA a écrit la résolution, c'est aux compagnies de la gérer comme elles veulent car les données leur sont destinées.

Pour revenir sur le signalement de l'agence de voyages, nous n'avons pas pour le moment les messages électroniques, puis un seul membre nous l'a rapporté, donc nous ne pouvons pas aller plus loin.

Il y a un problème de standard.

TourMaG.com - C'est-à-dire un problème de standard...

Benoit Chantoin : Pour entrer les coordonnées des passagers, les agents doivent les saisir dans une ligne spécifique du PNR, mais les compagnies aériennes font ça d'une autre manière.

Elles n'ont normalement pas le droit, mais nous constatons qu'après seulement quelques jours d'application, les transporteurs font d'une autre manière. C'est déjà le bazar, après seulement trois semaines d'application.

TourMaG.com - IATA veut passer outre les agences de voyages et contacter les clients en direct ?

Benoit Chantoin : Les compagnies n'ont pas le droit de procéder de la sorte. Techniquement elles ne peuvent pas le faire de cette manière. IATA veut absolument automatiser la collecte de données, sous le prétexte des retards ou annulations, mais derrière les compagnies font autre chose.

Je ne dirais pas que c'est une étape, mais une chose est sûre, cela ne va pas rendre la vente indirecte plus compétitive, c'est un peu le problème.

TourMaG.com - Que va faire l'ECTAA par la suite ?

Benoit Chantoin : Nous allons continuer d'échanger avec IATA, et sûrement demander l'avis d'une autorité nationale ou européenne pour interpréter la résolution, pour comprendre le rôle de chacun.

Il faut se rendre compte que IATA fait peser toutes les obligations et les responsabilités sur la bonne tenue du RGPD sur l'agent de voyages.

Sauf que pour nous, ce n'est pas tout à fait le cas, car l'association donne des ordres, et nous met presque à disposition un manuel d'instruction, donc IATA est la personne en charge du traitement des données et nous sommes les sous-traitants.

TourMaG.com - Qu'est-ce que cela implique ?

Benoit Chantoin : Les agents de voyages collectent des données en effet pour la réservation, sauf que IATA prône une procédure différente pour quelque chose qui ne nous concerne pas, cela nous confère une posture de sous-traitant.

Ainsi, IATA doit signer un contrat avec nous, et vérifier que nous traitons bien les données, puis nous expliquer comment faire. Ce qui n'est pas le cas. Nous travaillons actuellement sur l'interprétation du texte pour connaître exactement la position de chacun.

Je pense que nous avons la bonne interprétation. Si une autorité nous donne raison, cela voudrait dire que les compagnies vont devoir prendre leurs responsabilités en matière de RGPD.

Les transporteurs doivent aller pleinement vers la protection des données, comme ils sont censés le faire et mettre fin aux pratiques limites, comme la collecte de données à des fins marketing.

A première vue IATA serait à peu près d'accord sur l'interprétation du consentement, donc les agents de voyages n'auraient pas nécessairement à demander aux voyageurs l'autorisation.

Ce n'est pas la panacée, mais cela simplifierait la procédure. Mais avec IATA tant que ce n'est pas couché noir sur blanc je me méfie.

TourMaG.com - Vous souhaiteriez une réécriture de la résolution ou sa suppression ?

Benoit Chantoin : Pour l'instant, nous aimerions que ce soit fait dans les règles. La résolution existait avant, beaucoup de nos membres aimeraient que celle-ci revienne à son état originel, est-ce que ça va être possible ?

Nous allons essayer, mais surtout nous souhaitons que cela soit le plus simple possible pour les agents de voyages. Le problème avec IATA, étant que lorsqu'ils ordonnent quelque chose par résolution, il est compliqué d'aller à son encontre.

TourMaG.com - En quoi consistent les sanctions contre les agences ?

Benoit Chantoin : Ce sont des retenus et des pénalités financières, donc des décisions très contraignantes.

TourMaG.com - Quand vous parlez de saisir une autorité nationale vous parlez de la CNIL ?

Benoit Chantoin : Si nous le faisions en France, ce serait le cas, mais à l'ECTAA nous demanderons à l'European Data Protection. A partir du moment, où nous connaîtrons légalement les positions de responsabilité de chacun, cela changera notre démarche.

La manière dont la résolution 830D est amendée n'est pas à notre sens légal.

TourMaG.com - En cas, de non-respect du RGPD avéré par une instance comme la CNIL, les sanctions pourraient être énormes...

Benoit Chantoin : Si la situation traîne, et que IATA persiste et signe, les sanctions peuvent atteindre les 4% du chiffre d'affaires. Le RGPD n'en est qu'à ses débuts, les autorités sont plutôt clémentes.

Une chose est sûre, à partir du moment où nous allons poser une question à l'European Data Protection et que celle-ci démontre que la position de IATA est illégale, nous ne contrôlerons plus rien, si elle met son nez dedans.

TourMaG.com - Vous êtes plutôt dans une position d'ouverture et de dialogue ?

Benoit Chantoin : Ce serait la meilleure des choses, mais après nous sommes en été et non à la période de Noël. La capacité d'écoute de l'association des compagnies est relativement limitée.

Ce n'est pas pour rien que nous avons déposé une plainte contre eux. Nous sommes toujours dans l'étude des propos de IATA. Nous creusons pour voir où ils veulent en venir et si leur argumentation a un tant soit peu de mérite.

Une fois que nous aurons posé les questions au niveau européen, nous pourrons ensuite enjoindre d'autres associations à demander l'interprétation de leur autorité de contrôle, au cas par cas.

TourMaG.com - Peut-il y avoir une action sur une utilisation marketing des données ?

Benoit Chantoin : Si nous découvrons qu'une compagnie aérienne utilise les données de façon non-autorisée et contraire au RGPD, bien sûr que nous illustrerons nos propos auprès de l'instance de protection de données avec des exemples.

TourMaG.com - La saisine de l'autorité de contrôle sera la prochaine étape. Quel est le calendrier ?

Benoit Chantoin : Cela devrait intervenir dans un temps relativement court. Dès que nous avons terminé d'étudier la lettre et que nous serons d'accord sur la réponse, nous agirons.

Important Changes to Standards Supporting Involuntary Flight Changes in Irregular Operations

"IATA est pleinement favorable à la protection des informations personnelles des passagers dans le respect des lois et des réglementations en matière de confidentialité des données.

L'obligation pour les agents et les compagnies aériennes de respecter leurs obligations au titre du RGPD découle directement du RGPD lui-même et n'est pas affectée par la résolution 830d.

De nombreux types d'informations personnelles sont déjà collectés par les agents de voyages lors des processus de réservation, et les informations décrites dans la Résolution 830d ne sont pas différentes."