Guide · RGPD
Le fichier clients d’un restaurant face au RGPD, sans jargon
Un nom, un numéro de portable, « table près de la fenêtre », « ne mange pas de fruits à coque ». Quatre lignes ordinaires d’un fichier de restaurant, et pourtant trois régimes différents au regard du RGPD. Les distinguer suffit à éviter presque toutes les erreurs.
Publié le · Un guide pratique, pas un conseil juridique. L’autorité de référence en France est la CNIL.
Trois sortes de données, trois règles
Ce qui sert la réservation
Le nom, le téléphone, le nombre de couverts, l’heure. Vous en avez besoin pour faire ce que le client a demandé : l’article 6 du RGPD admet le traitement nécessaire à l’exécution d’un contrat ou de mesures prises à sa demande. Pas besoin de consentement pour noter le numéro d’une réservation.
Ce que vous gardez d’un habitué
Ses visites, ses absences, sa table préférée. C’est utile, à condition de rester raisonnable et limité dans le temps. Pour les données gardées à des fins de prospection, la CNIL retient la durée de la relation commerciale, puis trois ans après sa fin.
Ce qui sert à lui écrire
La newsletter, l’annonce de la carte d’automne. Pour un particulier, la CNIL demande un consentement préalable, par une case non pré-cochée — sauf s’il est déjà client et que le message porte sur des services analogues de la même maison, avec la possibilité de s’y opposer à chaque envoi.
Un rappel n’est pas une publicité, jusqu’au moment où il le devient
Le message qui rappelle une réservation de demain soir est ce que la CNIL appelle un message transactionnel : il sert un service que le client a demandé, et il ne repose généralement pas sur son consentement. Mais la CNIL précise que la qualification dépend avant tout de l’objectif du message. Glissez dans ce rappel « −10 % sur le dessert si vous réservez aussi samedi », et il peut être requalifié en prospection, avec toutes ses règles. Notre conseil : un rappel ne dit que la date, l’heure, le nombre de couverts et comment annuler.
L’allergie : une donnée de santé, à traiter comme telle
Pour la CNIL, les données de santé sont celles qui touchent à la santé physique ou mentale d’une personne et révèlent son état de santé. Une allergie à l’arachide ou une maladie cœliaque en disent exactement cela ; c’est pourquoi nous les traitons comme des données de santé. L’article 9 du RGPD en interdit le traitement, sauf exceptions, dont le consentement explicite de la personne pour une finalité précise.
En pratique, distinguez le repas et le fichier. Une allergie annoncée pour le dîner de vendredi sert ce dîner-là : transmettez-la à la cuisine pour ce service. La conserver sur une fiche permanente, pour toutes les visites à venir, est un autre traitement, qui demande l’accord explicite du client — et une question posée clairement : « Voulez-vous que nous la gardions pour vos prochaines visites ? »
Ce que vous devez pouvoir faire
- Répondre à un client qui demande ce que vous savez de lui : la CNIL rappelle le délai d’un mois pour répondre à une demande d’exercice des droits.
- Retirer de vos envois quiconque le demande, simplement et gratuitement, et à chaque message.
- Faire le ménage : au-delà de trois ans sans contact, des coordonnées gardées pour écrire doivent être supprimées ou archivées.
- Savoir qui, dans l’équipe, a modifié une fiche ou une réservation, et quand.
Dans Slotora
- Chaque client a une fiche avec ses visites, ses absences et ses annulations tardives ; les doublons sont fusionnés.
- Une demande d’accès ou d’effacement ne vous oblige pas à retrouver une ancienne réservation : vous cherchez le client dans le fichier clients, sa fiche s’ouvre, et vous — ou un responsable — y téléchargez ses données, ou l’effacez avec ce qui s’y rattache. La même fiche s’ouvre aussi depuis une réservation.
- Un accès d’accueil ne voit ni ces boutons, ni l’e-mail ou le téléphone du client sur sa fiche : moins de personnes ont accès aux coordonnées, moins il y a de fuites possibles.
- Le journal des modifications garde pendant deux ans qui a changé quoi.
- La fiche client a ses champs pour l’allergie, le régime et les besoins d’accès. C’est l’équipe qui les remplit — le formulaire en ligne n’a pas de champ dédié, seulement une note libre que le client peut utiliser et qui reste sur sa réservation — et ils ne devraient l’être qu’avec l’accord explicite du client décrit plus haut. Une allergie notée s’affiche ensuite en alerte sur ses réservations et dans le briefing d’avant service.
- Pour un seul repas, la note libre d’une réservation prise au téléphone suffit : réservez-la aux besoins de ce soir-là.
- Le fichier entier s’exporte en CSV, par vous ou un responsable ; l’export destiné à vos envois ne contient que les clients qui ont accepté d’en recevoir. Slotora n’envoie lui-même aucun message commercial.
RGPD : questions de restaurateurs
Puis-je envoyer ma newsletter à tous ceux qui ont réservé ?
Pas sans précaution. Un client qui a déjà dîné chez vous peut recevoir des messages sur des services analogues s’il a pu s’y opposer à la collecte et peut le faire à chaque envoi. Une simple réservation non honorée ne fait pas de quelqu’un un client.
Combien de temps garder le fichier ?
Pour écrire à vos clients, la CNIL retient trois ans après la fin de la relation commerciale. Au-delà, demandez-leur s’ils veulent continuer, ou supprimez.
Un serveur peut-il noter une allergie dans la réservation ?
Oui, pour ce repas et pour que la cuisine le sache. La reporter ensuite dans le champ allergie de sa fiche, pour toutes ses visites, demande le consentement explicite du client.
Sources
- CNIL : RGPD, chapitre II (articles 6 et 9)
- CNIL : qu’est-ce qu’une donnée de santé ?
- CNIL : la prospection commerciale par courrier électronique et SMS
- CNIL : communications électroniques aux prospects et clients (10 juin 2026)
- CNIL : questions-réponses sur les durées de conservation des données clients
Le fichier clients · Noter les allergies à la réservation · Réduire les no-shows · Quitter le cahier papier · Tous les guides