RGPD et menu digital : ce que tout restaurateur doit savoir en 2026

Vous avez installé un menu digital avec QR code, peut-être même un système de fidélisation ou de prise de commande en ligne. Vos clients scannent, consultent, commandent — et quelque part dans cette chaîne, des données sont collectées. La question n'est pas de savoir si vous collectez des données, mais de savoir si vous le faites correctement. Depuis le RGPD (Règlement Général sur la Protection des Données), la CNIL dispose de pouvoirs de sanction élargis, et les contrôles dans la restauration se sont intensifiés. Voici ce qu'il faut mettre en ordre avant la fin 2026.

---

Ce que signifie concrètement « collecter des données » dans un restaurant

Beaucoup de restaurateurs pensent que le RGPD ne les concerne que s'ils ont une base de données clients bien remplie. C'est inexact. Dès lors que votre menu digital, votre outil de réservation ou votre programme de fidélité enregistre une information permettant d'identifier un client — directement ou indirectement — vous êtes soumis au règlement.

Les données les plus fréquemment collectées sans s'en rendre compte

L'adresse email fournie pour recevoir une confirmation de réservation
Le numéro de téléphone laissé pour les notifications de commande
Les préférences alimentaires cochées dans un profil de fidélité (données sensibles au sens du RGPD si elles révèlent une religion ou une allergie)
Les données de navigation sur votre menu en ligne (via cookies, pixels de tracking)
L'adresse IP enregistrée par votre prestataire technique à chaque scan de QR code

Certains outils de menu 3D ou de commande à table transmettent ces données à des serveurs tiers — hébergeurs, plateformes analytics, CRM marketing. Vous en êtes responsable même si c'est votre logiciel qui le fait à votre place.

---

Les bases légales : sur quel fondement collectez-vous ?

Le RGPD impose que chaque collecte repose sur une base légale. En restauration, trois bases sont couramment utilisées :

1. Le contrat

Si un client passe commande en ligne ou réserve une table, vous pouvez traiter ses données dans la stricte mesure nécessaire à l'exécution de cette commande. Son nom, son email de confirmation, l'heure de réservation : légitimes. Lui envoyer une newsletter commerciale deux mois plus tard sur cette même base : illégal.

2. Le consentement

Pour tout ce qui va au-delà de la transaction (fidélisation, email marketing, personnalisation des recommandations), il vous faut un consentement explicite, libre, éclairé et révocable. Une case pré-cochée ne vaut rien juridiquement. Le client doit cocher lui-même, après avoir lu ce à quoi il consent.

3. L'intérêt légitime

Base souvent invoquée à tort. Elle peut s'appliquer pour des analyses d'usage internes (savoir quelles sections de votre menu 3D sont les plus consultées, sans identifier les personnes), mais elle ne justifie pas le démarchage commercial.

---

Vos obligations pratiques en 2026

La réglementation n'a pas fondamentalement changé depuis 2018, mais son application s'est durcie. Voici ce qui doit être en place.

Une politique de confidentialité accessible

Si votre menu est consultable en ligne ou via QR code, une mention d'information doit être accessible avant ou au moment de la collecte. Elle doit indiquer :

Qui est responsable du traitement (vous, en tant que gérant)
Quelles données sont collectées et pourquoi
Combien de temps elles sont conservées
Comment le client peut exercer ses droits (accès, rectification, suppression)

Une page dédiée sur votre site suffit, à condition qu'elle soit visible — un lien en pied de page de votre menu digital, par exemple.

La durée de conservation

C'est le point le plus souvent négligé. Vous ne pouvez pas conserver des données indéfiniment. Une règle raisonnable pour la restauration :

Données de commande : 3 ans (durée de prescription commerciale)
Données de fidélité : pendant la durée d'activité du compte, puis suppression dans un délai raisonnable après inactivité (12 à 24 mois selon votre programme)
Données marketing (emails, préférences) : jusqu'au retrait du consentement

Assurez-vous que votre prestataire de menu digital ou de caisse applique ces durées. Posez-leur la question par écrit — la réponse fait partie de votre documentation RGPD.

Le registre des traitements

Toute entreprise, quelle que soit sa taille, doit tenir un registre des traitements de données. C'est un document interne (une feuille Excel suffit) qui liste chaque type de données collectées, leur finalité, leur base légale, leur durée de conservation et les tiers auxquels elles sont transmises. La CNIL met à disposition un modèle téléchargeable sur son site.

Les sous-traitants et prestataires

Si vous utilisez un logiciel de menu digital, un CRM, une plateforme de réservation ou un outil analytics, ces entreprises sont vos sous-traitants au sens du RGPD. Vous devez avoir signé avec eux un contrat qui précise leurs obligations en matière de protection des données (ce qu'on appelle un DPA, Data Processing Agreement). La plupart des éditeurs sérieux le proposent dans leurs conditions générales — vérifiez qu'il est bien en place.

---

Les cas particuliers à surveiller en 2026

Les menus 3D et la réalité augmentée

Les menus en réalité augmentée ou en 3D n'impliquent pas nécessairement de collecte de données personnelles si la consultation est anonyme. Mais dès que vous couchez ces usages à des fins de personnalisation ("ce client a regardé 3 fois le filet de bœuf"), vous entrez dans le périmètre RGPD. La règle : anonymisez les analytics d'usage, et ne croisez pas ces données avec des profils identifiés sans consentement.

Les avis clients et les formulaires de satisfaction

Un formulaire de satisfaction envoyé par email après le repas suppose que vous avez l'adresse email du client et une base légale pour l'utiliser à cette fin. Si l'email a été collecté uniquement pour la confirmation de commande, l'envoyer pour demander un avis Google nécessite un consentement séparé — ou de vous appuyer sur l'intérêt légitime, en vous assurant que la démarche n'est pas disproportionnée (un seul email, pas de relance automatique en série).

Les données de mineurs

Si votre établissement cible les familles et que vous collectez des données via une carte fidélité ou une application, soyez attentifs : le traitement de données concernant des enfants de moins de 15 ans nécessite le consentement parental en France.

---

Ce que je ferais à votre place

Avant de passer à autre chose, prenez deux heures pour faire le tour de tous les outils numériques que vous utilisez — menu digital, caisse, réservation, newsletter, analytics — et listez ce que chacun collecte. Pour chaque ligne, posez-vous la question : sur quelle base légale ? Est-ce qu'on en a vraiment besoin ? Est-ce que le client est informé ?

C'est ce qu'on appelle un mini-audit de conformité, et c'est le point de départ de tout le reste. Si vous utilisez MenuMakers3D, les données de consultation du menu sont anonymisées par défaut — vérifiez simplement que vos autres outils respectent le même niveau d'exigence. La CNIL dispose d'un service de questions-réponses en ligne et d'un guide spécifique pour les TPE-PME qui vaut le détour. Aucun cabinet spécialisé n'est nécessaire pour poser ces premières bases : avec un peu de méthode, vous pouvez mettre l'essentiel en ordre vous-même.

RGPD et menu digital : ce que tout restaurateur doit savoir en 2026