PCI DSS : pourquoi les agences de voyages ne risquent rien... pour le moment

Au 1er mars 2018, les agences de voyages françaises agréées par l'Association internationale du transport aérien (IATA) se sont vues imposer par cette dernière une nouvelle mise en conformité réglementaire autour du standard PCI DSS (pour Payment Card Industry Data Security Standard).

Le but de cette nouvelle norme bancaire : prouver la protection de la confidentialité des données de cartes bancaires.

Elle vise ainsi à prémunir les agences de voyages des vols et autres compromissions massives des données privées.

Mais, outre une première "notification de non-conformité" qu'elles peuvent dès aujourd'hui recevoir, les agences de voyages n'ont pour l'instant pas de souci à se faire si elles ne se sont pas encore plié à la règle.

IATA, comme le syndicat des Entreprises du Voyage (EdV), le confirment : la France bénéficie d'un planning "allégé" et aucune sanction ne pourra être prise avant la fin d'année 2019.

Pour l'instant, le seul risque possible tient dans "le fait que IATA communique aux compagnies le fait que ces agences ne sont pas en conformité", explique Jean-Marc Rozé, en charge du dossier au syndicat des Entreprises du Voyage.

"Ce n'est pas une sanction en soi, mais une compagnie pourrait, si elle le souhaite, demander à IATA de suspendre, pour l'agence non certifiée "compliant", la possibilité d'accepter les cartes de crédit sur le code marchand de sa compagnie", précise-t-il.

Mais pour les prochains mois, le risque de sanction par IATA est inexistant. Les menaces d'un retrait d'accréditation, ou de souci juridique, voire d'inconvénient bancaire paraissent encore bien loin.

Et le "risque est extrêmement mesuré" en ce qui concerne une réaction des compagnies aériennes, estiment aussi les EdV.

Si IATA a imposé la certification PCI DSS à l'ensemble de ses membres, il faut rappeler que cette norme n'émane absolument pas de l'association du transport aérien, mais bien des banques, et qu'elle s'adresse à tous les commerçants.

Ce qui semble semer la confusion chez beaucoup d'agents de voyages, interrogés lors de l'assemblée générale des Entreprises du Voyage, mercredi 25 avril 2018.

"Est-ce que IATA ne mettrait pas de plus en plus de barrières pour dégager le plus de monde possible ?", nous a demandé l'un d'eux.

"Je n'y comprends rien, c'est une barrière de plus à nos activités, ni plus, ni moins", s'est emporté un autre. "Pour moi, c'est du zèle, de quoi se mêle IATA ?", a-t-il ajouté.

Pour beaucoup, la question a ainsi l'air encore confuse, près de 2 mois après la mise en place de cette norme par IATA.

Pour être en règle, les agences doivent suivre les 12 étapes du standard, puis demander leur attestation de conformité.

Dans ce but, les Entreprises du Voyage (EdV), mais aussi le Syndicat des entreprises du tour-operating (Seto) et l'Association Professionnelle de Solidarité du Tourisme (APST), qui organisent conjointement des réunions d'information sur le sujet pour les professionnels du tourisme, ont mis en ligne un support de travail, disponible ici.