RGPD au restaurant : ce que votre menu digital doit respecter en 2026

Pourquoi le RGPD concerne aussi votre menu digital

Beaucoup de restaurateurs pensent que le RGPD, c'est l'affaire des grandes enseignes ou des sites e-commerce. Pourtant, dès que votre menu digital collecte une information sur vos clients — même un simple scan de QR code tracé — vous entrez dans le périmètre du règlement européen. En 2026, la CNIL maintient une pression constante sur les petits acteurs, et les contrôles ne se limitent plus aux seules multinationales. Voilà ce que vous devez savoir, concrètement, pour être en règle sans transformer votre salle en service juridique.

Ce que votre menu digital collecte sans que vous le réalisiez

Le scan de QR code n'est pas anodin

Quand un client scanne votre QR code de table, plusieurs données peuvent être captées selon la solution que vous utilisez : l'adresse IP de son téléphone, son système d'exploitation, la date et l'heure de la connexion, parfois la géolocalisation approximative. Ces données sont techniquement des données personnelles au sens du RGPD dès qu'elles permettent, directement ou indirectement, d'identifier une personne.

Si votre prestataire de menu digital utilise Google Analytics, Meta Pixel ou tout autre outil de tracking tiers intégré à votre page de menu, ces données partent vers des serveurs situés hors UE. C'est là que la situation se complique.

Les formulaires de collecte explicite

Si votre menu digital propose une option de fidélité, de réservation intégrée ou de commande avec compte client, vous collectez des données bien plus sensibles : nom, prénom, email, historique de commandes, préférences alimentaires. Ces dernières sont parfois considérées comme des données de santé (allergies, régimes religieux), ce qui implique des obligations renforcées.

Même un simple champ email pour envoyer la note de restaurant génère une obligation de conformité.

Les obligations légales en 2026 : ce qui a changé

La base légale de traitement doit être explicite

Avant de collecter quoi que ce soit, vous devez pouvoir répondre à cette question : sur quelle base juridique je traite ces données ? Il en existe six dans le RGPD, mais pour un restaurant, les deux plus courantes sont :

• Le contrat : vous avez besoin de l'email pour envoyer la commande ou la facture. C'est légitime, pas besoin de consentement séparé.
• Le consentement : vous voulez envoyer des newsletters promotionnelles ou des offres du mois. Là, le consentement doit être libre, éclairé, et enregistré avec preuve.

Mélanger les deux sans les distinguer, c'est la première erreur sanctionnée lors d'un contrôle.

La bannière de cookies : obligatoire même sur un menu mobile

Si votre menu digital est une page web (ce qui est le cas de la grande majorité des solutions QR code), elle est soumise aux mêmes règles qu'un site classique. En 2026, la doctrine CNIL est claire : un bandeau de cookies doit permettre de refuser aussi facilement qu'accepter. Le bouton « Refuser tout » doit être visible dès le premier niveau, sans scroll.

Si votre prestataire ne propose pas cette configuration, c'est lui qui est en défaut — mais c'est vous, en tant que responsable de traitement, qui êtes exposé en premier lieu.

Le registre des traitements : petite structure, grande obligation

Toute entreprise traitant des données personnelles doit tenir un registre des traitements. Pour un restaurant, ce document n'a pas besoin d'être un pavé : une page par type de traitement (menu digital, réservations, fidélité, vidéosurveillance) suffit, avec pour chaque entrée : la finalité, les données collectées, la durée de conservation, et les éventuels prestataires sous-traitants.

Ce registre, vous devez pouvoir le présenter à la CNIL en cas de demande. Un tableur bien tenu fait parfaitement l'affaire.

Ce que vous devez exiger de votre prestataire de menu digital

Un contrat de sous-traitance RGPD

Votre fournisseur de menu digital traite des données pour votre compte. Il est donc votre sous-traitant au sens du RGPD. Vous devez avoir avec lui un contrat (ou un avenant) qui précise :

• La nature des données traitées
• Les instructions que vous lui donnez
• Ses obligations de sécurité
• Ce qu'il fait des données en fin de contrat

Si votre prestataire refuse de signer un tel document ou ne sait pas de quoi vous parlez, c'est un signal d'alerte sérieux.

L'hébergement des données en Europe

Demandez explicitement où sont hébergées les données collectées via votre menu. Un hébergement sur des serveurs situés dans l'UE (ou dans un pays reconnu comme adéquat par la Commission européenne) vous évite les complications liées aux transferts internationaux. Ce n'est pas une question technique abstraite : c'est une question de responsabilité en cas de fuite.

La durée de conservation

Un prestataire sérieux doit pouvoir vous dire combien de temps il conserve les données de vos clients. En règle générale, des données de commande peuvent être conservées entre 3 et 5 ans pour des raisons comptables et fiscales. Au-delà, elles doivent être supprimées ou anonymisées. Si votre prestataire n'a pas de politique claire sur ce point, posez-lui la question par écrit.

Les risques concrets en cas de non-conformité

Des amendes proportionnées, pas symboliques

La CNIL peut sanctionner jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial pour les manquements les plus graves. Pour un restaurant indépendant, les sanctions restent proportionnées — mais elles existent. Entre 2022 et 2024, plusieurs PME françaises ont reçu des mises en demeure publiques pour des infractions relatives aux cookies ou à l'absence de politique de confidentialité.

Au-delà de l'amende, c'est la publication de la sanction sur le site de la CNIL qui frappe : une réputation locale se construit sur des années, elle peut se fragiliser en quelques jours.

Les plaintes clients

Un client peut saisir la CNIL directement s'il estime que ses données ont été mal utilisées. Avec la montée en puissance de la sensibilité au sujet, notamment chez une clientèle urbaine et CSP+, un litige sur ce terrain peut aussi se retrouver sur les plateformes d'avis. Ce n'est pas le risque le plus probable, mais il est réel.

Ce que je ferais à votre place

Commencez par auditer votre menu digital actuel : demandez à votre prestataire la liste exhaustive des cookies et traceurs utilisés, l'emplacement des serveurs, et un modèle de contrat de sous-traitance. Parallèlement, rédigez ou mettez à jour votre politique de confidentialité — une page simple et lisible, accessible depuis votre menu, suffit.

Si vous êtes en train de choisir une nouvelle solution de menu digital, ajoutez ces questions à votre grille d'évaluation au même titre que le design ou la facilité de mise à jour. Un menu beau mais non conforme vous expose. Un menu conforme et bien pensé, lui, travaille pour vous sans vous mettre en risque.

La conformité RGPD n'est pas une contrainte supplémentaire à gérer en plus du service — c'est une partie de ce que vos clients attendent désormais, sans toujours le formuler.