RGPD et restauration : les 5 obligations incontournables en 2026

Fiche client, newsletter, caméra, Wi-Fi gratuit, prestataire externe : tour d'horizon des règles RGPD qui s'appliquent à un restaurant.

Depuis 2018, le RGPD s'applique à tous les restaurants qui collectent des données personnelles — c'est-à-dire à la quasi-totalité. Voici les 5 obligations qui concernent concrètement un restaurateur indépendant français, sans jargon juridique inutile.

1. Fiche client et base de données réservations

Toute fiche client (nom, prénom, email, téléphone, préférences, allergies, historique de réservations) est une donnée personnelle. Vous devez :

• Informer le client au moment de la collecte : qui êtes-vous, pourquoi vous collectez, combien de temps vous gardez (3 ans après le dernier passage est un standard raisonnable).
• Lui donner un moyen d'accéder, modifier ou supprimer ses données sur simple demande (un email suffit, pas besoin de recommandé).
• Sécuriser la base : accès limité au staff concerné, pas de fichier Excel qui circule par email entre serveurs.

Un logiciel de réservation RGPD-compliant gère ça nativement : chiffrement, logs d'accès, bouton d'export et de suppression.

2. Newsletter et marketing direct

Vous ne pouvez envoyer d'email promotionnel qu'aux clients qui ont explicitement coché une case « j'accepte de recevoir vos actualités ». Pas de cases pré-cochées, pas d'inscription automatique sous prétexte de réservation.

Chaque email marketing doit contenir un lien de désinscription en 1 clic. Les prestataires sérieux (Brevo, Mailjet) gèrent ça automatiquement.

3. Caméras de vidéosurveillance

Si vous avez des caméras en salle, cuisine ou extérieur, vous devez :

• Déclarer les caméras qui filment un espace ouvert au public à la préfecture (autorisation préalable).
• Afficher un panneau clairement visible à l'entrée.
• Conserver les images maximum 30 jours (sauf incident).
• Ne jamais filmer en continu les zones de pause du personnel.

4. Wi-Fi gratuit pour les clients

Si vous proposez du Wi-Fi gratuit, vous devez conserver les logs de connexion pendant 1 an (loi anti-terroriste), ce qui implique de collecter l'adresse MAC du téléphone de chaque client. Peu de restaurants s'en occupent sérieusement — en cas de contrôle, ça peut piquer.

Solution : passer par un prestataire type FON ou un hotspot captif qui gère les logs pour vous, avec un portail de connexion qui informe clairement le client.

5. Travailler avec un prestataire externe

Dès que vous confiez les données clients à un prestataire (logiciel de résa, caisse, CRM, fournisseur SMS), vous devez signer un Data Processing Agreement (DPA, ou « contrat de sous-traitance RGPD »). Le prestataire s'engage sur les mêmes règles que vous : où sont hébergées les données, chiffrement, droit d'accès, etc.

Un prestataire sérieux publie son DPA publiquement et l'actualise. Si on vous demande de signer un contrat opaque de 80 pages en anglais, méfiance.

Et en cas de contrôle CNIL ?

La CNIL contrôle rarement un restaurant indépendant, mais ça peut arriver sur plainte d'un client (demande d'accès ignorée, email publicitaire non sollicité). L'amende maximale théorique est colossale, mais la pratique est plutôt pédagogique : mise en demeure, délai pour se mettre en conformité, sanction seulement en cas de récidive avérée.

Le vrai risque est de perdre la confiance de vos clients. Un restaurant qui respecte ses engagements RGPD en fait un atout commercial.