- Recensez tous vos traitements (réservations, fidélité, wifi, caméras, emailing) dans un registre : c'est la base obligatoire de la conformité.
- Newsletter et SMS promotionnels : le consentement est requis, avec un lien de désinscription simple à chaque envoi.
- Vidéosurveillance : panneaux d'information visibles, images conservées 30 jours maximum, pas de caméra braquée sur les zones de vie du personnel.
- Wifi client : ne conservez que les données techniques (trafic 1 an, sécurité 3 mois), jamais le contenu des échanges ou les pages visitées.
- Site avec module de réservation : bandeau cookies conforme, mentions légales et politique de confidentialité à jour.
Pourquoi le RGPD s'applique à votre restaurant
Un restaurant n'est pas un cabinet d'avocats, mais il collecte beaucoup de données. Le nom et le téléphone d'un client qui réserve. Les habitudes d'un porteur de carte de fidélité. Les images des caméras. Les adresses email de la newsletter. Toutes ces informations sont des données personnelles.
Le RGPD s'applique dès que vous traitez ces données, quelle que soit la taille de l'établissement. Un food-truck comme un groupe de brasseries est concerné. Une simple plainte de client peut suffire à déclencher un contrôle de la CNIL.
Bonne nouvelle : pour un restaurant, la conformité est surtout une question de méthode. Recenser ce que vous collectez, informer les personnes, sécuriser, et supprimer à temps. Le même socle vaut pour la conformité RGPD de votre site web.
Cartographier vos traitements : le registre
La première étape obligatoire est le registre des traitements. C'est la liste de tout ce que vous faites avec des données personnelles. Il reste interne, mais doit pouvoir être présenté à la CNIL en cas de contrôle.
Pour un restaurant ou un CHR, les traitements typiques sont nombreux : réservations en ligne et par téléphone, programme de fidélité, encaissement, gestion du personnel, wifi client, emailing promotionnel, avis clients et vidéosurveillance.
Pour chacun, notez la finalité, les données collectées, qui y accède et la durée de conservation. Ce travail de cartographie révèle presque toujours des données gardées trop longtemps ou collectées sans raison claire.
Réservations en ligne, site web et cookies
Beaucoup de restaurants ont un site avec un module de réservation, maison ou via une plateforme. Ce module collecte un nom, un contact, parfois des préférences alimentaires. Le client doit savoir pourquoi, et le formulaire ne doit demander que le strict nécessaire.
Le site pose aussi la question des cookies. Statistiques, widget de réservation, pixel des réseaux sociaux, carte intégrée : beaucoup d'outils déposent des traceurs avant tout accord. Il faut un bandeau cookies conforme aux règles de la CNIL, qui permet de refuser aussi facilement que d'accepter.
Vérifiez enfin vos mentions légales et votre politique de confidentialité, obligatoires sur tout site professionnel. Notre générateur de mentions légales gratuit vous aide à produire ces pages en quelques minutes.
Fidélité et newsletter : le consentement marketing
La carte de fidélité et la newsletter reposent sur des données clients. Pour envoyer des emails ou des SMS promotionnels à un particulier, il faut son consentement libre, spécifique et éclairé. Une case cochée d'avance ne vaut pas consentement.
Il existe une exception pour vos clients : si la personne a déjà commandé chez vous et que vous promouvez des offres similaires, vous pouvez la recontacter, à condition de l'avoir informée lors de la collecte et de lui permettre de s'opposer facilement. Chaque message doit contenir un lien de désinscription simple, détaillé dans notre guide RGPD, newsletter et emailing.
Le consentement doit pouvoir être retiré à tout moment. Conservez toujours la preuve de ce consentement (date, source) dans votre outil d'envoi ou votre CRM.
Vidéosurveillance : informer et limiter la durée
Les caméras sont fréquentes en salle, en cuisine, en réserve ou à la caisse. La CNIL autorise à filmer les zones sensibles comme la caisse, les stocks et les accès. En revanche, on ne filme pas les lieux de vie ou les sanitaires du personnel, ni un poste de travail précis en continu.
Vous devez informer les clients par des panneaux visibles à l'entrée et dans les zones filmées, mentionnant la finalité et le responsable. Les salariés, eux, sont informés par écrit. Le dispositif s'inscrit à votre registre : depuis 2018, il n'y a plus de déclaration préalable à la CNIL pour ces caméras hors voie publique.
Côté durée, les images se conservent 30 jours maximum, puis sont supprimées automatiquement, sauf procédure judiciaire ou disciplinaire en cours. La CNIL a déjà sanctionné des restaurants et commerces pour des durées de conservation excessives.
Wifi client : ce qu'il faut conserver, et pas
Offrir le wifi gratuit crée des obligations, mais elles sont limitées. Vous n'êtes pas tenu de collecter l'identité de vos clients pour un accès ouvert. Seules des données techniques de connexion sont concernées.
Depuis 2024, la CNIL a précisé les durées. Les données de trafic (adresse IP, date, heure et durée de connexion) se conservent un an, sans être consultées, pour permettre la recherche d'éventuelles infractions. Les données de sécurité se gardent trois mois maximum. Conserver le contenu des échanges ou la liste des pages visitées est interdit.
Si un prestataire gère votre borne wifi ou votre portail captif, vérifiez son contrat. Il agit comme sous-traitant et doit appliquer ces mêmes règles pour votre compte.
Durées de conservation et prochaine étape
Le fil rouge du RGPD dans un restaurant, c'est de ne pas garder les données indéfiniment. Quelques repères de la CNIL : prospects, 3 ans après le dernier contact ; clients, durée de la relation commerciale plus 3 ans ; carte de fidélité, archivage après environ 3 ans d'inactivité ; images vidéo, 30 jours ; données wifi, 1 an.
Formalisez ces durées dans votre registre et programmez les suppressions. C'est souvent le point faible constaté lors des contrôles, et l'un des plus simples à corriger.
Vous voulez savoir où en est votre établissement ? Commencez par un audit RGPD gratuit de votre site. En quelques minutes, il repère les cookies non conformes, les mentions manquantes et les formulaires à risque. Ce contenu est informatif et ne constitue pas un conseil juridique.
Où en est votre site aujourd’hui ?
Obtenez votre score de conformité RGPD en 20 secondes, gratuitement et sans inscription.
Lancer l’audit gratuitCet article est informatif et ne constitue pas un conseil juridique.