RGPD et menu digital : ce que votre carte collecte vraiment

Ce que votre menu numérique sait sur vos clients

Quand un client scanne votre QR code en terrasse, il ne voit qu'une belle carte digitale. De votre côté, un outil de menu numérique peut enregistrer bien plus que le nombre de personnes qui ont regardé votre plat du jour. Adresses IP, habitudes de navigation, préférences alimentaires, horaires de visite : selon la solution choisie, la collecte est parfois plus large qu'on ne le pense. Et en France, le RGPD s'applique à votre établissement exactement comme à une grande enseigne.

---

Ce que le RGPD impose concrètement à un restaurant

Le Règlement Général sur la Protection des Données n'est pas réservé aux grandes entreprises tech. Dès que vous traitez des données personnelles — c'est-à-dire toute information permettant d'identifier directement ou indirectement une personne — vous êtes concerné.

Les obligations de base, sans jargon

Collecter avec une finalité claire. Vous ne pouvez pas récupérer l'adresse e-mail d'un client via un formulaire de réservation et l'utiliser ensuite pour lui envoyer votre newsletter sans son accord explicite. Ces deux usages sont distincts et nécessitent deux consentements séparés.

Informer les clients. Si votre menu digital utilise des cookies ou collecte des données de navigation, vos clients doivent en être informés au moment de l'accès — et de façon lisible, pas enterrée dans des conditions générales de 12 pages.

Durée de conservation limitée. Vous ne pouvez pas conserver indéfiniment les données d'un client qui a mangé chez vous une seule fois il y a trois ans. La CNIL recommande en général une durée proportionnelle à l'objectif poursuivi — souvent entre 12 et 36 mois pour la relation commerciale.

Droit d'accès et d'effacement. Si un ancien client vous demande quelles données vous détenez sur lui, ou vous demande de les supprimer, vous avez l'obligation de traiter sa demande dans un délai d'un mois.

---

Ce qu'un menu 3D ou digital collecte selon les outils

Tous les menus numériques ne sont pas équivalents sur ce point. Il faut distinguer plusieurs niveaux de collecte.

Les données de navigation anonymisées

Ce sont les plus courantes et les moins sensibles : nombre de vues par page, durée de consultation, clics sur certaines catégories. Ces statistiques agrégées ne permettent pas d'identifier un client en particulier. Elles servent à comprendre quels plats intéressent, lesquels sont ignorés. Ce type de donnée est généralement hors champ RGPD si l'agrégation est réelle et qu'aucun identifiant individuel n'est conservé.

Les cookies tiers

C'est là que les choses se compliquent. Certains outils de menu digital s'appuient sur des solutions tierces — outils d'analytics, régies publicitaires, plateformes de réservation — qui déposent leurs propres cookies sur le terminal de votre client. Ces cookies peuvent tracer des comportements bien au-delà de votre établissement. Dans ce cas, c'est votre responsabilité de faire apparaître un bandeau de consentement conforme dès l'accès au menu.

Les données explicitement saisies

Formulaire de réservation en ligne, fidélité, commande à table avec création de compte : ici vous récupérez des données nominatives (prénom, e-mail, numéro de téléphone, parfois les préférences alimentaires ou les allergies). Ces dernières sont même considérées comme des données de santé par le RGPD — catégorie particulièrement protégée. Collecter les allergies de vos clients, même avec les meilleures intentions, vous soumet à des obligations renforcées.

---

Les erreurs fréquentes chez les restaurateurs

Ignorer ce que fait vraiment l'outil choisi

Beaucoup de gérants choisissent une solution de menu digital sans demander à l'éditeur comment il traite les données. Posez la question directement : l'outil est-il hébergé en Europe ? L'éditeur signe-t-il un DPA (Data Processing Agreement, ou accord de traitement des données) ? Quels cookies tiers sont embarqués ? Ces questions ne sont pas bureaucratiques : elles déterminent votre niveau de responsabilité.

Croire que le RGPD ne s'applique pas parce qu'on n'a pas de compte client

Même sans système de fidélité ni compte client, si votre menu digital dépose des cookies sur les appareils de vos visiteurs, vous êtes soumis aux règles d'information et de consentement. L'absence d'une base de données clients ne vous exonère pas.

Copier-coller une politique de confidentialité générique

Nombreux sont ceux qui téléchargent un modèle de politique de confidentialité sans l'adapter à leur situation réelle. Si vous indiquez dans ce document que vous ne collectez pas d'adresses e-mail, mais que votre formulaire de réservation en collecte une, vous vous exposez à une contradiction qui peut coûter cher en cas de contrôle.

---

Ce que vous pouvez faire concrètement, sans vous noyer dans la paperasse

Faites un audit rapide de votre chaîne numérique

Listez tous les outils numériques en contact avec vos clients : menu digital, système de réservation, solution de paiement à table, newsletter, Google Business Profile. Pour chacun, demandez-vous : est-ce que cet outil collecte des données ? Lesquelles ? Où sont-elles stockées ? Qui y a accès ?

Ce n'est pas un exercice d'une journée, mais une heure de travail honnête suffit souvent à identifier les deux ou trois points les plus urgents à corriger.

Choisissez des outils avec des éditeurs européens (ou transparents)

Les outils hébergés hors Europe — notamment aux États-Unis — soulèvent des questions supplémentaires depuis l'arrêt Schrems II de la Cour de Justice de l'UE. Privilégiez des éditeurs capables de vous fournir un DPA clair, indiquant que les données de vos clients restent dans l'Espace Économique Européen.

Séparez collecte et consentement

Si vous souhaitez collecter des e-mails pour votre newsletter, faites-le via un formulaire dédié avec une case à cocher non pré-cochée et une mention explicite du traitement prévu. Ne récupérez jamais un e-mail de réservation pour l'ajouter à une liste de diffusion sans accord exprès.

Tenez un registre de traitement simplifié

La CNIL met à disposition des modèles adaptés aux petites structures. Pour un restaurant indépendant, ce registre tient souvent en une ou deux pages et liste : les types de données collectées, leur finalité, leur durée de conservation, les sous-traitants impliqués. C'est ce document qu'on vous demandera en premier lieu lors d'un contrôle.

---

Ce que je ferais à votre place

Commencez par demander à votre prestataire de menu digital — ou à n'importe quel outil numérique que vous utilisez — une copie de sa politique de traitement des données et vérifiez qu'il signe un DPA. Si l'éditeur ne sait pas de quoi vous parlez, c'est un signal d'alerte sérieux.

Ensuite, ouvrez votre propre menu digital depuis le téléphone d'un client et regardez si un bandeau de consentement aux cookies apparaît. Si ce n'est pas le cas, et que l'outil embarque des cookies tiers, c'est votre première correction à faire — c'est visible, mesurable, et c'est ce que la CNIL contrôle en priorité.

Le RGPD n'est pas une contrainte réservée aux grandes chaînes. C'est aussi une occasion de clarifier ce que vous collectez vraiment, et pourquoi — ce qui, au passage, rend votre usage des données bien plus efficace.