Date clienți și GDPR în restaurant: ce colectați la rezervare și cât timp păstrați

Fiecare rezervare de masă înseamnă date personale: nume, număr de telefon, adesea și o adresă de e-mail. Fie că le notați într-un caiet, fie că le primește un sistem de rezervări online, restaurantul devine „operator de date” în sensul Regulamentului (UE) 2016/679, cunoscut drept GDPR, cu tot ce decurge de aici. Vestea bună: pentru un restaurant obișnuit, obligațiile reale sunt mult mai puține decât se spune. Nu aveți nevoie de consimțământul clientului ca să îi țineți masa, nu trebuie să numiți un responsabil cu protecția datelor și majoritatea cerințelor se rezolvă cu câteva obiceiuri simple.

Acest articol rezumă ce cere GDPR de la un restaurant, în practică: ce date puteți colecta, pe ce temei legal, cât timp le păstrați, ce drepturi au clienții și când le puteți trimite un e-mail de marketing. Nu este consultanță juridică, ci un ghid de lucru pentru activitatea de zi cu zi, cu trimiteri la surse oficiale, în primul rând la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), care aplică GDPR în România.

Ce date despre clienți colectați de fapt la o rezervare

O rezervare tipică conține surprinzător de puține date: nume și prenume, număr de telefon, eventual e-mail, numărul de persoane, data și ora, uneori o observație. Exact așa arată lucrurile și în sistemele de rezervări online: ViteUneTable, de exemplu, oferă un formular de rezervare care cere doar strictul necesar, adică nume, contact, număr de persoane și ora dorită. Restaurantul nu are nevoie de nimic în plus ca să onoreze masa.

Aceasta este prima regulă a GDPR aplicată în practică: minimizarea datelor (art. 5 din regulament). Colectați doar ce vă trebuie ca să onorați rezervarea. Data nașterii, adresa de domiciliu sau CNP-ul nu au ce căuta într-un formular de rezervare.

Atenție însă la un câmp aparent banal: observațiile la rezervare. Când clientul scrie „meniu fără gluten” sau „alergie la fructe de mare”, informația poate fi o dată privind sănătatea, adică o categorie specială de date în sensul art. 9 din GDPR, cu regim mai strict. Asta nu înseamnă că trebuie să interziceți câmpul de observații: clientul v-a dat informația de bunăvoie, în propriul interes. Înseamnă doar că astfel de note se folosesc exclusiv pentru vizita respectivă și nu se păstrează la nesfârșit.

Aveți nevoie de consimțământul clientului? De cele mai multe ori, nu

Cel mai răspândit mit despre GDPR este că totul cere consimțământ. În realitate, consimțământul este doar unul dintre cele șase temeiuri legale prevăzute la art. 6 din regulament, iar pentru un restaurant este aproape întotdeauna cel mai prost ales. Cum se împart temeiurile în practică:

• Onorarea rezervării: executarea contractului (art. 6 alin. (1) lit. b). Clientul a cerut o masă, dumneavoastră i-o păstrați. Numele, contactul, numărul de persoane și ora sunt prelucrate ca să vă țineți partea de înțelegere: confirmați rezervarea, trimiteți un memento, anunțați o întârziere. Nu este nevoie de niciun consimțământ, iar a-l cere este chiar o greșeală: consimțământul poate fi retras oricând, executarea contractului nu.
• Marketingul către proprii clienți: interesul legitim (art. 6 alin. (1) lit. f). Considerentul 47 din GDPR spune explicit că prelucrarea în scop de marketing direct poate fi considerată interes legitim al operatorului. Atenție: asta acoperă doar planul GDPR; pentru trimiterea efectivă a e-mailurilor se aplică în plus Legea 506/2004, despre care vorbim mai jos.
• Tot restul: consimțământul (art. 6 alin. (1) lit. a). Vreți adresele unor persoane care nu au rezervat niciodată la dumneavoastră, de pildă printr-un formular de abonare la noutăți? Atunci aveți nevoie de un consimțământ liber, specific și demonstrabil, care poate fi retras oricând.

Consecința practică: bifa „sunt de acord cu prelucrarea datelor personale” din formularul de rezervare este inutilă și derutantă. Ce trebuie să existe acolo este o informare scurtă: cine prelucrează datele, în ce scop și cât timp (obligația de informare de la art. 13), de regulă printr-un link către politica de confidențialitate.

Cât timp păstrați datele din rezervări

GDPR nu stabilește niciun termen concret. Se aplică principiul limitării stocării: păstrați datele doar cât servesc scopului pentru care le-ați colectat. Și, să fim sinceri, ANSPDCP nu a publicat vreo recomandare dedicată restaurantelor și duratei de păstrare a datelor din rezervări, deci nimeni nu vă va da oficial o cifră exactă. Asta nu înseamnă că subiectul se poate ignora, ci dimpotrivă: termenul îl stabiliți și îl documentați chiar dumneavoastră.

Repere rezonabile pentru practică:

• Datele unei rezervări încheiate rămân doar cât vă sunt utile: soluționarea unei reclamații sau a unei plăți contestate, statistica de ocupare, istoricul unui client fidel. Gândiți în luni, nu în ani, și treceți termenul ales în politica de confidențialitate.
• Contactele pentru marketing se păstrează doar pentru clienții care au fost efectiv la dumneavoastră și doar cât timp chiar faceți marketing; din momentul în care cineva se dezabonează, contactul iese din lista de campanii.
• Observațiile cu conținut medical (alergii, diete) nu au motiv să supraviețuiască vizitei, cu excepția clientului fidel care își dorește explicit ca preferințele să îi fie reținute.

Orice termen ați alege, respectați-l. O bază de date veșnică, cu toți clienții din ultimii zece ani „că poate prind bine”, este exact ce interzice principiul necesității.

Caietul de rezervări pe hârtie, privit prin GDPR

GDPR se aplică și hârtiei: o evidență structurată de nume și telefoane este prelucrare de date personale, indiferent că trăiește în cloud sau într-un caiet cu spirală. Iar caietul are, din perspectiva protecției datelor, câteva slăbiciuni despre care se vorbește prea puțin:

• Stă pe tejghea. Numele, telefoanele și observațiile tuturor clienților serii sunt la vederea oricui se apleacă peste pupitru, de la curier până la clientul care așteaptă nota. Din perspectiva securității datelor (art. 32 din GDPR), greu de apărat.
• Nu are drepturi de acces. Îl poate citi oricine din echipă, inclusiv extra-ul angajat ieri, și nu aveți cum să aflați cine și ce a copiat.
• Nu știe să șteargă. A răzui un client din trei ani de pagini este practic imposibil, deci o cerere de ștergere nu poate fi onorată cu adevărat.
• Se pierde întreg. Un caiet furat sau rătăcit înseamnă scurgerea datelor tuturor clienților deodată, adică un incident care, potrivit art. 33, se notifică ANSPDCP în 72 de ore.

Asta nu face caietul ilegal, ci doar pretențios de administrat: nu îl lăsați deschis la vedere, distrugeți anii vechi, nu notați în el date despre sănătate. O agendă electronică rezolvă aceste slăbiciuni din construcție: acces pe bază de cont, istoric al modificărilor, ștergerea unui client din câteva clicuri. Dacă vă gândiți la tranziție, am detaliat pașii în ghidul despre trecerea de la caiet la agenda de rezervări digitală.

Ce drepturi au clienții și cum răspundeți

Orice client vi se poate adresa cu o cerere întemeiată pe art. 15–21 din GDPR. În practica unui restaurant, trei apar cel mai des:

1. Dreptul de acces: „Ce date aveți despre mine?” Răspundeți cu o situație simplă: nume, contact, istoricul rezervărilor, de unde provin datele.
2. Dreptul la ștergere: „Ștergeți-mă.” Dați curs cererii dacă datele nu vă mai sunt necesare pentru executarea contractului sau pentru o obligație legală; o rezervare viitoare, evident, nu trebuie ștearsă înainte să aibă loc.
3. Dreptul de opoziție la marketing: în practică, clicul pe „dezabonare” din subsolul e-mailului. Opoziției la marketing direct i se dă curs întotdeauna, gratuit și fără discuții.

Termenul de răspuns este de o lună (art. 12 alin. (3)). Răspunsul nu trebuie să fie un memoriu juridic; ajunge să fie concret și în scris. Ignorarea cererii este, în schimb, drumul cel mai scurt către o plângere la ANSPDCP.

E-mailurile către clienți: ce spune Legea 506/2004

Aici GDPR se întâlnește cu al doilea act normativ pe care un restaurator trebuie să îl cunoască: Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal în sectorul comunicațiilor electronice. Art. 12 reglementează comunicările comerciale prin e-mail sau SMS și funcționează așa:

• Regula de bază este opt-in: trimiteți comunicări comerciale doar cui și-a dat în prealabil consimțământul.
• Excepția pentru proprii clienți: adresa obținută direct de la client, cu ocazia vânzării unui produs sau serviciu, poate fi folosită pentru oferte privind propriile servicii similare, fără un consimțământ separat. Clientul care a rezervat și a luat masa la dumneavoastră este clientul dumneavoastră: invitația la meniul de Crăciun i-o puteți trimite.
• Două condiții, mereu: clientul să nu se fi opus folosirii adresei la momentul colectării și fiecare mesaj să conțină o modalitate simplă și gratuită de dezabonare, cu expeditorul clar identificat.

Mesajele legate de o rezervare concretă, confirmarea și memento-ul, nu sunt marketing: ele țin de executarea rezervării și nu cer nicio bifă, așa cum am explicat pe larg în ghidul despre confirmări și mementouri de rezervare. Iar odată respectat cadrul legal, istoricul rezervărilor devine cea mai bună bază de marketing pe care o puteți avea: știți cine a venit, când și ce a sărbătorit. Cum o valorificați, am arătat în articolul despre fidelizarea clienților de restaurant.

Că regulile nu sunt doar teorie o arată practica ANSPDCP: în august 2026, autoritatea a anunțat sancțiuni de aproximativ 285.000 de lei aplicate unei companii, dintre care 50.000 de lei chiar pentru mesaje comerciale transmise fără consimțământul prealabil cerut de art. 12 din Legea 506/2004. Niciun caz publicat nu vizează până acum un restaurant, iar amenzile mari țintesc campaniile de masă, nu localul cu câteva sute de contacte. Principiul este însă același pentru toți: proprii clienți, da; baze de date cumpărate, niciodată; dezabonare în fiecare mesaj.

Contractul de prelucrare cu sistemul dumneavoastră de rezervări

Din momentul în care rezervările trec printr-un software, apare al doilea rol definit de GDPR: persoana împuternicită de operator. Împărțirea este simplă:

• Dumneavoastră sunteți operatorul. Clienții rezervă la restaurantul dumneavoastră; dumneavoastră decideți de ce și cât timp le sunt prelucrate datele.
• Sistemul de rezervări este persoana împuternicită. Prelucrează datele clienților în numele dumneavoastră și pentru dumneavoastră; nu are voie să le folosească în scopuri proprii.

Art. 28 din GDPR cere ca relația să fie acoperită de un acord de prelucrare a datelor (la instrumentele SaaS, de regulă parte din termenii comerciali, adesea sub sigla DPA). Înainte să semnați cu orice furnizor, verificați trei lucruri: că oferă efectiv un astfel de acord, unde sunt stocate datele (stocarea în UE vă scutește de dosarul transferurilor în afara Uniunii) și că nu folosește datele clienților dumneavoastră pentru marketingul lui.

Așa stau lucrurile și la noi: față de datele clienților, ViteUneTable acționează ca furnizor tehnic, restaurantul rămâne operator, iar datele din rezervări servesc exclusiv gestionării rezervărilor (confirmare, memento, anulare) și nu se vând niciodată terților. Cum sistemul nu oprește niciun comision din rezervări, nu are niciun motiv să facă negoț cu datele clienților dumneavoastră: versiunea gratuită este nelimitată, iar pachetele plătite (Pack Standard de la 29 € fără TVA pe lună) adaugă funcții, nu acces la datele dumneavoastră.

Trei greșeli care vă pot costa

1. Liste de adrese cumpărate. O bază de e-mailuri „de firme și persoane din zonă” achiziționată de la un terț nu poate fi folosită legal pentru campanii: destinatarii nu v-au dat consimțământul și nu sunt clienții dumneavoastră. Excepția din Legea 506/2004 nu acoperă niciodată listele cumpărate.
2. Consimțământ forțat sau „la pachet”. Wi-Fi gratuit doar contra abonării la newsletter, reducere doar dacă acceptați „prelucrarea datelor în scop de marketing”, bifă pre-completată în formular: un consimțământ care nu este liber nu este consimțământ. Oferiți avantajul și lăsați abonarea opțională.
3. Date sensibile tratate ca notițe banale. Alergiile și dietele notate la rezervare sunt utile în seara respectivă, dar nu au ce căuta, luni mai târziu, într-un caiet deschis pe tejghea sau într-un export trimis pe e-mail întregii echipe. Acces doar pentru cine are nevoie, păstrare doar cât este nevoie.

Checklist GDPR pentru restaurantul dumneavoastră

Șapte puncte pe care orice local le poate bifa într-o singură după-amiază:

1. Faceți inventarul: ce date despre clienți colectați, unde sunt stocate, cine are acces.
2. Publicați o politică de confidențialitate scurtă (pe site și lângă formularul de rezervare).
3. Scoateți bifele inutile de consimțământ de la rezervare: rezervarea este executarea unui contract.
4. Stabiliți termene de păstrare și curățați periodic baza de date și caietele vechi.
5. Nu lăsați caietul sau ecranul cu rezervări la vederea clienților.
6. Trimiteți e-mailuri de marketing doar propriilor clienți, cu dezabonare în fiecare mesaj.
7. Verificați că aveți acord de prelucrare cu sistemul de rezervări și că datele stau în UE.

Întrebări frecvente

Are nevoie restaurantul de consimțământul clientului pentru datele de rezervare?

Nu. Prelucrarea numelui, contactului, numărului de persoane și a orei este necesară pentru executarea contractului de rezervare (art. 6 alin. (1) lit. b din GDPR), deci nu cere consimțământ. Obligatorie este doar informarea: clientul trebuie să știe cine îi prelucrează datele, în ce scop și cât timp, de regulă printr-un link către politica de confidențialitate.

Cât timp poate păstra un restaurant datele clienților?

Nici GDPR, nici ANSPDCP nu stabilesc un termen dedicat restaurantelor; se aplică principiul necesității: datele se păstrează doar cât servesc scopului. Termenul îl stabilește restaurantul, îl scrie în politica de confidențialitate și îl respectă; pentru rezervări încheiate, ordinele de mărime rezonabile sunt luni, nu ani. Contactele clienților dezabonați ies imediat din lista de marketing.

Este legal caietul de rezervări pe hârtie din perspectiva GDPR?

În sine nu este interzis, dar GDPR i se aplică la fel ca unui software. Problema este securitatea: un caiet pe tejghea expune datele tuturor clienților oricui trece, nu permite controlul accesului și face practic imposibilă ștergerea unui singur client. Minimul necesar: nu îl lăsați la vedere, distrugeți anii vechi și nu notați în el date despre sănătate.

Poate restaurantul să trimită oferte pe e-mail fără consimțământ?

Propriilor clienți, da, datorită excepției din art. 12 al Legii 506/2004: adresa obținută cu ocazia vânzării unui serviciu poate fi folosită pentru oferte privind servicii similare, cu condiția ca fiecare mesaj să ofere o dezabonare simplă și gratuită. Persoanele care nu v-au fost niciodată clienți și listele cumpărate cer consimțământ prealabil expres.

Are nevoie un restaurant de un responsabil cu protecția datelor (DPO)?

Un restaurant obișnuit, nu. Art. 37 din GDPR impune DPO autorităților publice și organizațiilor a căror activitate principală constă în monitorizarea sistematică pe scară largă a persoanelor sau în prelucrarea pe scară largă de date sensibile. Evidența rezervărilor și o bază de clienți fideli nu intră în aceste categorii.

Cine supraveghează GDPR în România și ce amenzi riscă un restaurant?

Autoritatea de supraveghere este ANSPDCP (dataprotection.ro). Plafonul teoretic al amenzilor GDPR urcă la 20 de milioane de euro sau 4% din cifra de afaceri, iar pentru comunicări comerciale nesolicitate Legea 506/2004 prevede sancțiuni distincte. În practică, sancțiunile publicate lunar de ANSPDCP vizează mai ales companii mari și campanii de masă; niciun caz publicat nu privește deocamdată un restaurant, dar plângerea unui singur client nemulțumit poate declanșa oricând o investigație.