Menu digital et RGPD : ce que vous devez afficher en 2026

Menu digital et RGPD : ce que vous devez afficher en 2026

Depuis que les menus papier ont cédé du terrain aux QR codes et aux menus interactifs, une question revient régulièrement dans les discussions entre restaurateurs : est-ce que mon menu digital me met en conformité avec le RGPD, ou au contraire, est-ce qu'il m'expose ? La réponse courte : ça dépend de ce que votre menu collecte — ou de ce que vous croyez qu'il ne collecte pas. En 2026, les contrôles de la CNIL se sont intensifiés sur le secteur CHR, et l'ignorance n'est plus une défense recevable.

Ce que le RGPD dit concrètement pour un restaurant

Le Règlement Général sur la Protection des Données s'applique à vous dès lors que vous traitez des données personnelles de résidents européens. Dans la restauration, cela concerne au minimum :

• Les réservations en ligne (nom, téléphone, email, parfois préférences alimentaires)
• Les programmes de fidélité
• Les paiements dématérialisés quand ils sont liés à un compte client
• Et — c'est là que beaucoup se font surprendre — les outils analytiques embarqués dans votre menu digital

Un menu accessible via QR code, s'il charge Google Analytics, Meta Pixel ou tout script tiers, dépose potentiellement des cookies de traçage sur le téléphone de votre client. Ce client n'a rien demandé. Il voulait juste voir si vous aviez du risotto.

La notion de « données personnelles » dans ce contexte

Une adresse IP est une donnée personnelle. Un identifiant publicitaire mobile aussi. Si votre prestataire de menu digital utilise ces données — même à des fins d'amélioration du service — vous êtes, en tant que responsable de traitement, concerné. Pas votre prestataire à votre place : vous, en premier.

Ce que vous devez afficher (et où)

En 2026, voici le minimum réglementaire pour un menu digital opéré en France :

1. Une mention d'information accessible dès l'ouverture du menu

Si votre menu collecte des données — même indirectement via des scripts tiers — vous devez informer l'utilisateur avant toute collecte. Cette mention doit indiquer :

• Qui est responsable du traitement (votre raison sociale)
• Quelles données sont collectées
• Dans quel but
• Combien de temps elles sont conservées
• Les droits de l'utilisateur (accès, rectification, suppression)

Cette mention peut être un lien en bas de page de votre menu digital intitulé « Politique de confidentialité ». Elle doit être rédigée en français, en langage clair — pas en jargon juridique copié-collé.

2. Un bandeau de consentement aux cookies si nécessaire

Si votre menu charge des cookies non strictement nécessaires (analytics, publicité, réseaux sociaux), un bandeau de consentement explicite est obligatoire. Le bouton « Accepter » et le bouton « Refuser » doivent être aussi accessibles l'un que l'autre — la CNIL a été très claire là-dessus ces dernières années.

Si votre menu digital ne charge aucun cookie tiers, pas d'analytics, pas de pixel : vous n'avez pas besoin de bandeau. C'est le cas de certaines solutions comme MenuMakers3D qui fonctionnent sans scripts de traçage tiers. Dans ce cas, une simple mention d'information suffit.

3. Vos données de contact dans la politique de confidentialité

L'utilisateur doit pouvoir exercer ses droits. Cela implique de mentionner une adresse email ou postale à laquelle il peut envoyer une demande. Un formulaire de contact sur votre site suffit, à condition qu'il soit fonctionnel.

Les cas qui font souvent défaut en pratique

Les formulaires de réservation intégrés au menu

Si votre menu 3D ou digital intègre un module de réservation — c'est de plus en plus courant — ce formulaire collecte des données personnelles. Il doit comporter :

• Une case à cocher pour l'acceptation de la politique de confidentialité (non pré-cochée)
• Un lien vers cette politique
• Éventuellement, si vous envoyez des emails promotionnels, une case séparée pour le consentement marketing

Beau sujet de contrôle CNIL, ce formulaire. Et pourtant, entre 40 et 60 % des sites de restaurants vérifiés dans des audits sectoriels présentent au moins un manquement à ce niveau.

La collecte d'avis clients après le repas

Si vous récoltez des avis via un SMS ou un email envoyé après le repas, vous avez besoin d'une base légale pour envoyer ce message. Si le client vous a donné son numéro pour la réservation, vous ne pouvez pas l'utiliser pour du marketing sans son consentement préalable — sauf dans le cadre strict de la « relation commerciale en cours », et encore, c'est interprété restrictivement.

Les QR codes avec redirection trackée

Certains outils génèrent des QR codes avec des URL de redirection permettant de suivre le nombre de scans, la localisation approximative, l'appareil utilisé. Ces données, même agrégées, peuvent constituer un traitement au sens du RGPD. Vérifiez avec votre prestataire ce qui est réellement collecté et sur quelle base.

Ce que la CNIL peut vérifier — et les sanctions réelles

La CNIL dispose d'un outil de vérification automatisé des cookies sur les sites web. Elle peut, de sa propre initiative, effectuer un contrôle en ligne de votre menu digital si celui-ci est accessible par URL publique — ce qui est le cas de la plupart des menus QR code.

Les sanctions pour les TPE et PME sont proportionnées, mais elles existent. La CNIL peut prononcer des mises en demeure publiques, des avertissements, et dans les cas récidivistes, des amendes pouvant atteindre 2 % du chiffre d'affaires annuel mondial ou 10 millions d'euros (le montant le plus élevé s'applique). Pour un restaurant indépendant, c'est surtout la mise en demeure publique qui fait mal — l'image en prend un coup.

Distinguer ce qui est obligatoire de ce qui est optionnel

Un tableau simple pour ne pas confondre :

Obligatoire en toutes circonstances :

• Politique de confidentialité accessible depuis le menu digital


• Mention de vos coordonnées comme responsable de traitement


• Base légale identifiée pour chaque traitement

Obligatoire si vous utilisez des cookies non essentiels :

• Bandeau de consentement conforme (refus aussi simple qu'acceptation)


• Registre des activités de traitement (document interne, pas public)

Recommandé mais non obligatoire :

• Désigner un DPO (délégué à la protection des données) — obligatoire uniquement à partir d'un certain volume ou type de traitement


• Réaliser une analyse d'impact (AIPD) — obligatoire si vous traitez des données sensibles à grande échelle (allergies, données de santé liées aux préférences alimentaires par exemple)

Ce que je ferais à votre place

Commencez par auditer ce que votre menu digital envoie réellement comme données. Demandez à votre prestataire une liste précise des scripts tiers chargés. Si vous n'obtenez pas de réponse claire, c'est un signal.

Ensuite, faites rédiger ou vérifier votre politique de confidentialité par quelqu'un qui connaît le droit français — pas un modèle générique téléchargé en ligne. Le coût d'une heure avec un juriste spécialisé est sans commune mesure avec une mise en demeure publique.

Enfin, choisissez des outils qui simplifient votre conformité plutôt qu'ils ne la compliquent. Un menu 3D ou digital qui ne dépose aucun cookie tiers, qui n'enregistre pas les IP des visiteurs, c'est une moins grande surface d'exposition — et moins de formulaires contraignants à afficher à vos clients avant qu'ils commandent leur entrée.