Database clienti del ristorante e GDPR: la guida pratica 2026

Il GDPR ha una pessima reputazione tra i ristoratori italiani: si immaginano sanzioni, avvocati, moduli incomprensibili. La realtà è più semplice. Il regolamento europeo non vieta di tenere un database clienti, chiede tre cose di buon senso: raccogliere solo ciò che serve, non conservarlo per sempre e rispettare alcuni diritti elementari dei tuoi clienti.

Un ristorante che accetta prenotazioni tratta per forza dati personali: un nome, un telefono, a volte un'email e un'allergia. Questa guida spiega che cosa puoi raccogliere e conservare, con le indicazioni del Garante per la protezione dei dati personali, un registro dei trattamenti in versione piccola impresa e una domanda che troppi pochi ristoratori si pongono: a chi appartiene davvero il tuo database clienti quando vive sui server di una piattaforma?

In sintesi:

• tenere un database clienti è pienamente lecito: la prenotazione si fonda sull'esecuzione del contratto, senza consenso da chiedere;
• il GDPR non fissa una durata di conservazione unica: la definisci tu, con i punti di riferimento dati dal Garante;
• l'allergia alimentare tocca la salute: annotala solo se la segnala il cliente, e non oltre il servizio;
• il registro dei trattamenti esiste in versione semplificata per le piccole imprese;
• puoi scrivere via email ai tuoi clienti grazie al "soft spam" dell'art. 130 del Codice privacy;
• se il tuo database vive su una piattaforma, verifica chi ha il diritto di sfruttarlo e se puoi esportarlo.

Quali dati di prenotazione puoi raccogliere?

Il principio di base del GDPR si chiama minimizzazione: raccogli ciò che è necessario alla finalità, niente di più. Per una prenotazione la lista è corta e nessuno te la contesterà:

• nome (o nome e cognome): per accogliere il cliente e ritrovare la prenotazione;
• numero di telefono: per avvisare o essere avvisato in caso di imprevisto;
• indirizzo email: per la conferma e il promemoria della prenotazione;
• data, ora e numero di coperti: sono l'oggetto stesso della prenotazione;
• richieste particolari: seggiolone, dehors, compleanno.

Al contrario, pretendere una data di nascita, un indirizzo di casa o una professione per prenotare un tavolo non si giustifica: il dato non è necessario alla prestazione. La minimizzazione è scritta nero su bianco all'articolo 5 del regolamento europeo 2016/679: i dati devono essere "adeguati, pertinenti e limitati a quanto necessario".

Un software ben progettato applica la minimizzazione per costruzione: il modulo chiede solo l'essenziale, la conferma parte in automatico e il database clienti si costruisce in modo pulito servizio dopo servizio. È il principio di ViteUneTable, un sistema di prenotazione gratuito che lascia i dati al ristoratore: ogni prenotazione arricchisce il tuo archivio, non quello di un intermediario.

Allergie e intolleranze: attenzione, si tocca la salute

Il GDPR classifica tra le categorie particolari di dati, all'articolo 9, i dati relativi alla salute. Un'allergia alimentare segnalata al momento della prenotazione rientra in questa definizione. Niente panico: bastano tre regole.

1. È il cliente a segnalarla, mai tu a chiederla di default. Un campo libero "richieste particolari" è molto diverso da una casella obbligatoria "elenca le tue patologie".
2. Il dato serve al pasto, non al marketing. Usa l'informazione in cucina il giorno del servizio. Non costruire segmenti pubblicitari tipo "clienti celiaci": quell'uso richiederebbe un consenso esplicito.
3. Non conservarla per sempre. Svuota quei campi dopo il servizio o lascia che il cliente li precisi a ogni prenotazione.

Promemoria che non c'entra con il GDPR: l'informazione sugli allergeni nei tuoi piatti resta obbligatoria ai sensi del regolamento UE 1169/2011, qualunque sia il modo in cui gestisci le prenotazioni.

Su quale base giuridica si fonda il tuo database clienti?

Ogni trattamento di dati deve avere una base giuridica. Suona minaccioso, ma per un ristorante due situazioni coprono quasi tutto.

La prenotazione in sé: esecuzione del contratto. Quando un cliente prenota, hai bisogno del suo nome e di un recapito per onorare la prestazione. Nessuna casella da spuntare: la prenotazione è il contratto, e l'articolo 6 del GDPR prevede espressamente questa base.

Il ricontatto e la fidelizzazione: la regola del "soft spam". Riscrivere ai tuoi clienti (nuovo menù, serata degustazione, invito a tornare) è un trattamento distinto, regolato in Italia dall'articolo 130, comma 4, del Codice privacy: per i clienti esistenti e per servizi analoghi ai tuoi puoi scrivere senza consenso preventivo, alle condizioni dettagliate più avanti.

I dati particolari: consenso esplicito. Per qualsiasi uso di un dato sulla salute oltre il servizio del pasto serve il consenso esplicito. Nel dubbio, astieniti: un database clienti di ristorante non ha bisogno di dati sensibili per essere utile.

Per quanto tempo conservare i dati dei tuoi clienti?

È la domanda più frequente, e la risposta onesta è: il GDPR non fissa un termine unico, chiede che la durata sia limitata al necessario e che sia tu a definirla e documentarla. Qualche punto di riferimento concreto però esiste:

Due precisazioni rendono la regola vivibile:

• Quei 24 mesi non sono una tagliola universale. Il provvedimento del 2005 riguarda i programmi fedeltà della grande distribuzione; il principio attuale è che il titolare fissi una durata proporzionata e la sappia giustificare. Conservare i contatti di chi prenota per tutta la relazione commerciale e ripulire periodicamente chi non si vede più da anni è una politica ragionevole e difendibile.
• Il cliente abituale non si perde mai. Ogni nuova prenotazione riattiva la relazione: la pulizia riguarda i contatti dormienti, non i tuoi habitué.

In concreto: pianifica una pulizia annuale dei contatti inattivi e archivia a parte le fatture per 10 anni, senza usarle per il marketing.

Il registro dei trattamenti, versione piccola impresa

Il registro delle attività di trattamento elenca che cosa fai dei dati: quali, perché, per quanto tempo, con quali protezioni. L'obbligo pieno scatta dai 250 dipendenti, ma il Garante chiarisce nelle sue FAQ sul registro dei trattamenti che riguarda anche le realtà più piccole quando i trattamenti sono non occasionali (la gestione dei clienti lo è) o toccano dati particolari. La buona notizia: lo stesso Garante ha pubblicato un modello semplificato per le PMI e ne raccomanda a tutti la tenuta come buona pratica.

Per un ristorante indipendente il registro sta in poche righe. Esempio di scheda per il trattamento "gestione delle prenotazioni":

• Finalità: presa e gestione delle prenotazioni dei tavoli.
• Dati: nome, telefono, email, data e ora, coperti, richieste particolari.
• Interessati: clienti e potenziali clienti del ristorante.
• Destinatari: il ristoratore e il personale di sala; il fornitore del software come responsabile del trattamento.
• Conservazione: durata della relazione commerciale, pulizia annuale dei contatti inattivi.
• Sicurezza: accesso protetto da password, software ospitato in Europa, niente export selvaggi su file Excel.

Aggiungi una scheda per le buste paga e, se presente, per la videosorveglianza, e il registro è fatto. Conta un pomeriggio, non un cantiere di sei mesi.

I diritti dei tuoi clienti: accesso, rettifica, cancellazione

I tuoi clienti hanno diritti sui loro dati: sapere che cosa detieni, correggere un errore, chiedere la cancellazione, opporsi al marketing. Il GDPR, all'articolo 12, ti impone di rispondere entro un mese. Nella vita reale di un ristorante queste richieste sono rare e si evadono in cinque minuti:

• "Cancellatemi dal vostro archivio": elimini la scheda cliente dal software; restano archiviate solo le fatture, per obbligo contabile.
• "Che cosa sapete di me?": apri la scheda cliente e ne comunichi il contenuto.
• "Smettete di mandarmi email": il link di disiscrizione deve già permetterlo senza che la persona debba scriverti.

Il punto che fa la differenza è lo strumento. Se le tue prenotazioni vivono su un'agenda di carta, ritrovare e cancellare tutte le tracce di un cliente è archeologia; il GDPR si applica infatti anche agli archivi cartacei organizzati. Una scheda cliente centralizzata in un software si consulta, si corregge e si elimina in un clic.

Email ai tuoi clienti: che cosa permette davvero il "soft spam"

Molti ristoratori non osano più scrivere ai propri clienti dai tempi del GDPR. È un peccato, perché la norma italiana è piuttosto favorevole. La regola generale è il consenso preventivo: niente pubblicità via email a chi non ha chiesto nulla, come ribadito dalle linee guida del Garante in materia di attività promozionale e contrasto allo spam.

Ma esiste un'eccezione cucita su misura per te: il soft spam dell'articolo 130, comma 4, del Codice privacy. Se la persona è già tua cliente e i tuoi messaggi riguardano servizi analoghi a quelli già consumati, puoi scriverle senza consenso preventivo. Un cliente che ha cenato da te può ricevere il tuo nuovo menù, le proposte per le feste o un invito a tornare. Le condizioni da rispettare sempre:

• l'indirizzo email deve essere stato raccolto nel contesto della vendita del tuo servizio, cioè di una prenotazione andata a buon fine;
• la persona deve essere stata informata, al momento della raccolta, della possibilità di opporsi a questo tipo di messaggi;
• ogni email deve contenere un mezzo semplice per disiscriversi, tipicamente un link in fondo al messaggio.

Attenzione alla sfumatura: l'eccezione presuppone una vendita effettiva. Chi ha solo lasciato il biglietto da visita in un barattolo non è un cliente: per lui la regola resta il consenso.

Usata bene, questa eccezione trasforma il tuo archivio di prenotazioni in una leva di fatturato: richiami dei clienti inattivi, annunci di eventi, offerte per i giorni fiacchi. Le meccaniche che funzionano le trovi nella nostra guida per fidelizzare i clienti del tuo ristorante.

A chi appartiene il tuo database clienti quando vive su una piattaforma?

Ecco la domanda che questo genere di guide dimentica sistematicamente. I tuoi obblighi GDPR presuppongono che tu abbia il controllo del tuo database clienti: consultarlo, esportarlo, ripulirlo, rispondere a una richiesta di cancellazione. Tutto dipende da dove vive.

Con un software di prenotazione classico il fornitore è il tuo responsabile del trattamento: ospita e tratta i dati per tuo conto e su tue istruzioni, con un contratto conforme all'articolo 28 del GDPR. Il database clienti resta tuo.

Con un marketplace come TheFork la situazione è diversa per costruzione: il commensale che prenota tramite la piattaforma vi crea un account e diventa anche un utente della piattaforma, che sfrutta la propria base per il proprio marketing, comprese le raccomandazioni di altri ristoranti oltre al tuo. Non è nascosto, è il modello economico di un marketplace: vende il proprio pubblico. Siamo onesti: quella visibilità porta clienti nuovi, ed è il vero punto di forza del modello. Il rovescio della medaglia è che il cliente fedele che hai conquistato può ricevere suggerimenti di tavoli concorrenti; approfondiamo pro e contro nel nostro confronto alternativa a TheFork.

Tre domande da fare al tuo fornitore attuale:

1. Posso esportare l'intero database clienti (nomi, recapiti, storico) in un formato riutilizzabile, in qualsiasi momento e senza costi?
2. Chi ha il diritto di usare questi dati per il marketing: solo io, o anche la piattaforma per proprio conto?
3. Che fine fanno i dati se disdico?

Da ViteUneTable la risposta è semplice e dichiarata: il database clienti appartiene al ristoratore, la versione gratuita è illimitata e senza commissioni, e i tuoi dati non servono mai a promuovere altri locali. Chi vuole di più aggiunge il Pack Standard a 29 € al mese IVA esclusa (promemoria via email e Prenota con Google) o la formula con Anti No-Show a 49 € al mese IVA esclusa. E sempre per onestà: nessun software ti rende "a norma GDPR" al posto tuo. La conformità resta una tua responsabilità di titolare del trattamento; un buon strumento la rende solo molto più facile da mantenere ogni giorno.

La tua messa in regola in un pomeriggio

Per chiudere, la checklist minima di un ristorante serenamente in regola:

1. Fai l'inventario: dove vivono oggi i tuoi dati clienti? Software di prenotazione, agenda di carta, file Excel, casella email, cassa?
2. Elimina i doppioni pericolosi: gli export Excel che dormono su tre computer sono il tuo maggior rischio di fuga di dati.
3. Compila il registro semplificato del Garante: una scheda prenotazioni, una scheda buste paga, una scheda videosorveglianza se serve.
4. Aggiungi un'informativa sul modulo di prenotazione e sul tuo sito: chi tratta i dati, perché, per quanto tempo e come esercitare i propri diritti.
5. Programma la pulizia annuale: contatti senza interazioni da anni, fatture escluse.
6. Verifica il tuo fornitore: contratto ex articolo 28, export possibile, dati non sfruttati per conto terzi.

Niente in questa lista richiede un giurista a tempo pieno. E se il tuo attuale strumento di prenotazione rende impossibile uno di questi punti, probabilmente il problema è lui, non il GDPR.

Domande frequenti

Il GDPR vieta di tenere un database clienti in un ristorante?

No, al contrario: il GDPR regola la tenuta di un database clienti, non la vieta. La prenotazione si fonda sull'esecuzione del contratto e non richiede alcun consenso. Gli obblighi principali: raccogliere solo il necessario, limitare la conservazione e rispettare i diritti di accesso, rettifica e cancellazione.

Per quanto tempo un ristorante può conservare i recapiti di un cliente?

Il GDPR non fissa un termine unico: sta al titolare definire una durata proporzionata e saperla giustificare. Come riferimento, il Garante ha indicato 24 mesi per i dati usati a fini di marketing nel provvedimento sulle fidelity card del 2005. Chi continua a prenotare resta legittimamente in archivio; le fatture seguono un regime a parte, 10 anni ai sensi dell'articolo 2220 del codice civile.

Posso mandare una newsletter ai miei clienti senza il loro consenso?

Sì, a certe condizioni. L'articolo 130, comma 4, del Codice privacy (il cosiddetto soft spam) permette di scrivere via email a chi è già cliente per servizi analoghi a quelli già acquistati, purché l'indirizzo sia stato raccolto in occasione della vendita, la persona possa opporsi e ogni messaggio contenga un modo semplice per disiscriversi. Per chi non è mai stato cliente, il consenso resta obbligatorio.

Un'allergia alimentare è un dato sensibile ai sensi del GDPR?

Sì: un'allergia segnalata da un cliente rivela un'informazione sul suo stato di salute e rientra nelle categorie particolari di dati dell'articolo 9 del GDPR. Lascia che sia il cliente a segnalarla, usala solo per il servizio del suo pasto e non conservarla oltre.

Un'agenda di prenotazioni cartacea rientra nel GDPR?

Sì: quando l'archivio cartaceo è organizzato e permette di ritrovare le informazioni di una persona, entra nel campo di applicazione del GDPR. La carta complica soprattutto l'esercizio dei diritti: impossibile ritrovare e cancellare facilmente tutte le tracce di un cliente in agende di anni diversi.

Il registro dei trattamenti è obbligatorio per un piccolo ristorante?

Nella pratica sì, in versione leggera. Le FAQ del Garante chiariscono che l'obbligo riguarda anche le realtà sotto i 250 dipendenti quando i trattamenti sono non occasionali, come la gestione dei clienti. Esiste un modello semplificato gratuito per le PMI: compilarlo richiede un pomeriggio.