Fichier clients de restaurant et RGPD : le guide pratique 2026

Le RGPD a mauvaise réputation chez les restaurateurs : on imagine des amendes, des avocats, des formulaires incompréhensibles. La réalité est beaucoup plus simple. Le règlement européen n'interdit pas de tenir un fichier clients, il vous demande trois choses de bon sens : ne collecter que ce qui vous sert, ne pas le garder éternellement, et respecter quelques droits élémentaires de vos clients.

Un restaurant qui prend des réservations manipule forcément des données personnelles : un nom, un numéro de téléphone, parfois un e-mail et une allergie. Ce guide fait le tour de ce que vous pouvez collecter et conserver, avec les durées recommandées par la CNIL, un registre des traitements version TPE, et une question que trop peu de restaurateurs se posent : à qui appartient réellement votre fichier clients quand il vit chez un tiers ?

En résumé :

• vous avez le droit de tenir un fichier clients, la réservation elle-même repose sur l'exécution du contrat, sans consentement à demander ;
• la CNIL recommande de conserver les données clients pendant la relation commerciale, puis 3 ans après le dernier contact ;
• l'allergie alimentaire touche à la santé : notez-la seulement si le client vous la signale, et ne la gardez pas au-delà du repas ;
• le registre des traitements existe en version simplifiée pour les petites structures, une après-midi suffit ;
• vous pouvez envoyer des e-mails à vos clients existants pour vos propres services, avec un lien de désinscription dans chaque message ;
• si votre fichier clients vit chez une plateforme de réservation, vérifiez qui a le droit de l'exploiter et si vous pouvez l'exporter.

Quelles données de réservation pouvez-vous collecter ?

Le principe de base du RGPD s'appelle la minimisation : vous collectez ce qui est nécessaire à la finalité, rien de plus. Pour une réservation de table, la liste est courte et personne ne vous la reprochera :

• nom (ou nom et prénom) : pour accueillir le client et retrouver la réservation ;
• numéro de téléphone : pour prévenir ou être prévenu en cas d'imprévu ;
• adresse e-mail : pour la confirmation et le rappel de réservation ;
• date, heure, nombre de couverts : c'est l'objet même de la réservation ;
• demandes particulières : chaise bébé, terrasse, anniversaire.

À l'inverse, exiger une date de naissance, une adresse postale ou une profession pour réserver une table ne se justifie pas : la donnée n'est pas nécessaire à la prestation. C'est exactement le genre de collecte excessive que la CNIL demande d'éviter : ne collecter que les données utiles à la relation commerciale.

Un logiciel de réservation bien conçu applique la minimisation par construction : le formulaire ne demande que l'essentiel, la confirmation part automatiquement, et le fichier clients se constitue proprement au fil des services. C'est le principe de ViteUneTable, un système de réservation qui vous laisse vos données : chaque réservation enrichit votre base, pas celle d'un intermédiaire.

Allergies et régimes : attention, on touche à la santé

Le cas des allergies mérite un paragraphe à part. Le RGPD classe parmi les données sensibles les données de santé, définies largement comme toute donnée révélant des informations sur l'état de santé d'une personne. Une allergie alimentaire signalée lors d'une réservation entre dans cette définition : elle révèle un élément de santé du client.

Pas de panique pour autant, la pratique reste simple si vous respectez trois règles :

1. C'est le client qui la signale, jamais vous qui la demandez par défaut. Un champ libre « demandes particulières » où le client écrit ce qu'il souhaite est très différent d'une case obligatoire « listez vos pathologies ». Le client qui indique spontanément son allergie pour être bien servi consent de fait à ce que vous l'utilisiez pour préparer son repas.
2. La donnée sert le repas, pas le marketing. Utilisez l'information en cuisine le jour J. Ne construisez pas de segment publicitaire « clients allergiques au gluten » : les données sensibles requièrent un consentement explicite pour ce type d'usage, comme le rappelle la CNIL dans ses questions-réponses sur la gestion commerciale.
3. Ne la stockez pas éternellement. Une note d'allergie attachée à une réservation passée n'a plus de raison d'être conservée des années. Purgez ces champs ou laissez le client les re-préciser à chaque réservation.

Rappel utile qui n'a rien à voir avec le RGPD : l'information sur les allergènes dans vos plats reste obligatoire au titre du règlement INCO, quelle que soit la façon dont vous gérez vos réservations.

Sur quelle base légale repose votre fichier clients ?

Le RGPD exige que chaque traitement de données repose sur une base légale. C'est moins effrayant qu'il n'y paraît : pour un restaurant, deux situations couvrent l'essentiel.

La réservation elle-même : exécution du contrat. Quand un client réserve une table, vous avez besoin de son nom et de son contact pour honorer la prestation. La CNIL indique dans ses questions-réponses sur le référentiel de gestion commerciale que l'exécution du contrat est la base la plus adaptée lorsque la collecte est indispensable à la fourniture du service attendu. Aucune case à cocher, aucun consentement à recueillir : la réservation est le contrat.

La relance et la fidélisation : intérêt légitime ou consentement. Recontacter vos clients (e-mail d'anniversaire de leur dernière visite, annonce de votre nouvelle carte) est un traitement distinct. Deux bases sont envisageables : l'intérêt légitime du restaurateur à entretenir sa clientèle, ou le consentement. En pratique, la question se règle surtout par les règles spécifiques de la prospection par e-mail, détaillées plus bas : pour vos clients existants et vos propres services, vous pouvez écrire, à condition d'offrir une désinscription simple.

Les données sensibles : consentement explicite. Pour tout usage d'une donnée de santé au-delà du service du repas, le consentement explicite est requis. Dans le doute, abstenez-vous : un fichier clients de restaurant n'a pas besoin de données sensibles pour être utile.

Combien de temps conserver les données de vos clients ?

C'est la question la plus fréquente, et la CNIL y répond avec des chiffres précis dans ses questions-réponses sur les référentiels de gestion commerciale :

Deux subtilités rendent la règle très vivable au quotidien :

• Le compteur repart à chaque visite. Un habitué qui revient tous les mois reste dans votre fichier tant qu'il revient, puis encore 3 ans après sa dernière réservation. Vous ne perdez jamais un client actif.
• Au bout des 3 ans, vous pouvez tenter une dernière relance. La CNIL admet de recontacter la personne pour savoir si elle souhaite rester dans votre base ; sans réponse positive de sa part, vous supprimez ou archivez.

Concrètement, prévoyez une purge annuelle : une fois par an, supprimez de votre base marketing les contacts sans aucune interaction depuis 3 ans. Les factures, elles, s'archivent à part pendant 10 ans, sans servir à la prospection.

Le registre des traitements, version TPE

Le registre des activités de traitement est le document qui recense ce que vous faites des données : quoi, pourquoi, combien de temps, avec quelles protections. Bonne nouvelle pour les petites structures : la CNIL précise que les entreprises de moins de 250 salariés n'y inscrivent que leurs traitements réguliers (paie, gestion des clients), ceux à risque ou ceux portant sur des données sensibles. Elle publie même un modèle simplifié à télécharger, pensé pour les TPE et PME.

Pour un restaurant indépendant, le registre tient sur quelques lignes. Exemple de fiche pour le traitement « gestion des réservations » :

• Finalité : prise et gestion des réservations de tables.
• Données : nom, téléphone, e-mail, date et heure, nombre de couverts, demandes particulières.
• Personnes concernées : clients et prospects du restaurant.
• Destinataires : le restaurateur et son équipe de salle ; le prestataire du logiciel de réservation en tant que sous-traitant.
• Durée de conservation : relation commerciale + 3 ans, purge annuelle.
• Sécurité : accès protégé par mot de passe, logiciel hébergé en Europe, pas d'export sauvage sur des fichiers Excel qui traînent.

Ajoutez une fiche équivalente pour la paie et, le cas échéant, pour la vidéosurveillance, et votre registre est en place. Comptez une après-midi, pas un chantier de six mois.

Les droits de vos clients : accès, rectification, effacement

Vos clients disposent de droits sur leurs données : savoir ce que vous détenez (accès), corriger une erreur (rectification), demander la suppression (effacement), s'opposer à la prospection (opposition). La CNIL rappelle que vous devez répondre à ces demandes sous un mois maximum.

Dans la vraie vie d'un restaurant, ces demandes sont rares et se traitent en cinq minutes :

• « Supprimez-moi de votre fichier » : vous supprimez la fiche client de votre logiciel, et le tour est joué. Seules les factures restent archivées, obligation comptable oblige.
• « Que savez-vous de moi ? » : vous ouvrez la fiche client et communiquez son contenu, nom, coordonnées, historique de réservations.
• « Arrêtez de m'envoyer des e-mails » : le lien de désinscription doit déjà le permettre sans que la personne ait besoin de vous écrire.

Le point qui fait la différence, c'est l'outil. Si vos réservations vivent dans un cahier papier, retrouver puis effacer toutes les traces d'un client relève de l'archéologie ; le RGPD s'applique en effet aussi aux fichiers papier dès lors qu'ils sont organisés. C'est l'un des arguments du passage au cahier de réservation numérique : une fiche client centralisée se consulte, se corrige et se supprime en un clic.

E-mails marketing à vos clients : ce que la CNIL autorise vraiment

Beaucoup de restaurateurs n'osent plus écrire à leurs clients depuis le RGPD. C'est dommage, car la règle leur est plutôt favorable. Le principe, posé par la CNIL pour la prospection par courrier électronique, est le consentement préalable : pas de publicité par e-mail à des particuliers qui n'ont rien demandé.

Mais il existe une exception taillée pour vous : si la personne est déjà cliente et que vos messages concernent des produits ou services analogues à ceux qu'elle a déjà consommés, vous pouvez la contacter sans consentement préalable. Un client qui a dîné chez vous peut recevoir votre nouvelle carte, vos menus de fêtes ou une invitation à revenir. Deux conditions à respecter dans tous les cas :

• la personne doit avoir été informée, au moment de la collecte, que son adresse pourrait être utilisée pour ce type de message ;
• chaque e-mail doit permettre de se désinscrire par un moyen simple, typiquement un lien en bas de message.

Attention à la nuance signalée par la CNIL : l'exception suppose une vente effective. Un prospect qui a seulement créé un compte ou laissé sa carte de visite dans un bocal n'est pas un client ; pour lui, le consentement reste la règle.

Bien utilisée, cette exception transforme votre fichier de réservations en levier de chiffre d'affaires : relances des clients inactifs, annonces d'événements, offres sur les services creux. Nous détaillons les mécaniques qui fonctionnent dans notre guide pour fidéliser les clients de votre restaurant.

À qui appartient votre fichier clients quand il vit chez une plateforme ?

Voici la question que ce genre de guide oublie systématiquement. Vos obligations RGPD supposent que vous maîtrisez votre fichier clients : le consulter, l'exporter, le purger, répondre à une demande d'effacement. Or tout dépend d'où il vit.

Avec un logiciel de réservation classique, le prestataire est votre sous-traitant : il héberge et traite les données pour votre compte et sur vos instructions, ce qui se matérialise par un contrat de sous-traitance conforme à l'article 28 du RGPD. Le fichier clients reste le vôtre.

Avec une place de marché de type TheFork (LaFourchette), la situation est différente par construction : le convive qui réserve via la plateforme y crée un compte et devient aussi un utilisateur de la plateforme, qui exploite sa base pour son propre marketing, y compris pour recommander d'autres restaurants que le vôtre. Ce n'est pas caché, c'est le modèle économique d'une place de marché : elle vend son audience. Le client fidèle que vous avez conquis peut donc recevoir des suggestions de tables concurrentes. Nous développons ce point, avantages de la visibilité compris, dans notre comparatif alternative à TheFork.

Trois questions à poser à votre prestataire actuel, quelles que soient sa taille et sa notoriété :

1. Puis-je exporter l'intégralité de mon fichier clients (noms, coordonnées, historique) dans un format réutilisable, à tout moment et sans frais ?
2. Qui a le droit d'utiliser ces données pour du marketing : moi uniquement, ou aussi la plateforme pour son propre compte ?
3. Que deviennent les données si je résilie ?

Chez ViteUneTable, la réponse est simple et assumée : le fichier clients appartient au restaurateur, la version gratuite ne prélève aucune commission et vos données ne servent jamais à promouvoir d'autres établissements. Soyons honnêtes sur le reste : ViteUneTable n'est pas un cabinet de conseil juridique, et aucun logiciel ne vous rend « conforme RGPD » à votre place. La conformité reste votre responsabilité de responsable de traitement ; un bon outil la rend juste beaucoup plus facile à tenir au quotidien.

Votre mise en conformité en une après-midi

Pour finir, la checklist minimale d'un restaurant sereinement en règle :

1. Faites l'inventaire : où vivent vos données clients aujourd'hui ? Logiciel de réservation, cahier papier, fichier Excel, boîte mail, caisse ?
2. Supprimez les doublons dangereux : les exports Excel qui dorment sur trois ordinateurs sont votre plus grand risque de fuite.
3. Remplissez le registre simplifié de la CNIL : une fiche réservation, une fiche paie, une fiche vidéosurveillance si concerné.
4. Ajoutez une mention d'information sur votre formulaire de réservation et votre site : qui traite les données, pourquoi, combien de temps, et comment exercer ses droits.
5. Programmez la purge annuelle : contacts sans interaction depuis 3 ans, hors factures.
6. Vérifiez votre prestataire : contrat de sous-traitance, export possible, données non exploitées pour le compte d'autrui.

Rien dans cette liste ne demande un juriste à temps plein. Et si votre outil de réservation actuel rend l'un de ces points impossible, c'est probablement lui le problème, pas le RGPD.

Questions fréquentes

Le RGPD interdit-il de tenir un fichier clients dans un restaurant ?

Non, au contraire : le RGPD encadre la tenue d'un fichier clients, il ne l'interdit pas. La prise de réservation repose sur l'exécution du contrat et ne nécessite aucun consentement. Vos obligations principales : ne collecter que le nécessaire, limiter la durée de conservation et respecter les droits d'accès, de rectification et d'effacement de vos clients.

Combien de temps un restaurant peut-il garder les coordonnées d'un client ?

La CNIL recommande de conserver les données d'un client pendant toute la relation commerciale, puis 3 ans après le dernier contact ou la dernière visite. Chaque nouvelle réservation fait repartir le compteur. Les factures suivent un régime à part : 10 ans d'archivage au titre du Code de commerce, sans usage marketing.

Ai-je le droit d'envoyer une newsletter à mes clients sans leur consentement ?

Oui, sous conditions. La CNIL admet la prospection par e-mail sans consentement préalable envers une personne déjà cliente, pour des produits ou services analogues à ceux qu'elle a consommés. Le client doit en avoir été informé lors de la collecte et chaque message doit contenir un moyen simple de se désinscrire. Pour les personnes qui ne sont jamais venues, le consentement reste obligatoire.

Une allergie alimentaire est-elle une donnée sensible au sens du RGPD ?

Oui, une allergie signalée par un client révèle une information sur son état de santé et relève donc des données de santé, une catégorie particulièrement protégée. En pratique : laissez le client la signaler spontanément, utilisez-la uniquement pour le service de son repas et ne la conservez pas au-delà. N'en faites jamais un critère de segmentation marketing.

Un cahier de réservation papier est-il concerné par le RGPD ?

Oui, dès lors que le fichier papier est organisé et permet de retrouver les informations d'une personne, il entre dans le champ du RGPD. Le papier complique surtout l'exercice des droits : impossible de retrouver et d'effacer facilement toutes les traces d'un client dans des cahiers d'années différentes. Un outil numérique centralisé simplifie considérablement la conformité.

Le registre des traitements est-il obligatoire pour un petit restaurant ?

Oui, mais en version allégée. Les entreprises de moins de 250 salariés n'y font figurer que leurs traitements réguliers (gestion des clients, paie), à risque ou portant sur des données sensibles. La CNIL fournit un modèle simplifié gratuit : pour un restaurant indépendant, le remplir prend une après-midi.