RGPD pour les restaurants : l'essentiel expliqué simplement

Les données personnelles sont toute information se rapportant à une personne identifiable : un nom, un numéro de téléphone, une adresse e-mail ou même une adresse IP. En restauration, ces données se rejoignent en de nombreux endroits, souvent sans qu'on y prête consciemment attention. Même une réservation par téléphone avec le nom noté constitue un traitement au sens du RGPD.

• Réservations avec nom, numéro de téléphone, nombre de couverts et parfois demandes particulières ou mentions d'allergies.
• Commandes en ligne avec adresse de livraison ou de retrait, coordonnées et informations de paiement.
• Inscriptions à la newsletter avec l'adresse e-mail et, le cas échéant, un prénom pour une adresse personnalisée.
• Accès Wi-Fi pour les clients, où, selon la solution, des données d'appareil ou de connexion sont enregistrées.
• Formulaires de contact sur le site web ainsi que les demandes via messagerie ou réseaux sociaux.
• Vidéosurveillance (CCTV) dans la salle ou à l'entrée, ainsi que les candidatures du personnel.

Plus vous utilisez de canaux numériques, plus de sources de données apparaissent. Un premier pas judicieux consiste donc à se faire une vue d'ensemble : quelles données collectons-nous, où sont-elles stockées et qui y a accès ? Cet inventaire constitue la base de tout le reste.

Le RGPD repose sur quelques principes clairs. Vous n'avez pas besoin de les connaître par cœur, mais leur logique aide à agir correctement au quotidien. Au fond, il s'agit de ne collecter que les données dont vous avez réellement besoin et de les traiter de façon transparente. Qui intègre cette logique prend généralement la bonne décision en cas de doute.

Les principes les plus importants

• Base légale : chaque traitement a besoin d'un motif autorisé, comme le consentement, un contrat (p. ex. une commande) ou un intérêt légitime.
• Limitation des finalités : les données ne peuvent servir qu'à la finalité pour laquelle elles ont été collectées ; les données de réservation pas pour la publicité sans demander.
• Minimisation des données : ne collectez que le strict nécessaire et évitez les champs obligatoires sans finalité.
• Transparence : les clients doivent comprendre clairement quelles données vous traitez et comment ; c'est le rôle de la politique de confidentialité.
• Limitation de la conservation : les données ne peuvent être conservées plus longtemps que la finalité ou les délais légaux ne l'exigent.
• Sécurité : les données personnelles doivent être protégées contre la perte et l'accès non autorisé par des mesures techniques et organisationnelles appropriées.

Ces principes s'appliquent dans toute l'UE, car le RGPD est un règlement européen. Dans chaque pays, il est complété sur certains points par la réglementation nationale de protection des données. Quelle base légale convient dans un cas précis ne peut être tranché de façon générale : en cas de doute, clarifiez-le avec l'autorité de contrôle compétente ou un conseil juridique qualifié.

Dès que vous traitez des données personnelles, il vous faut une politique de confidentialité, généralement sur votre site web, facile à trouver et en langage compréhensible. Elle explique notamment quelles données vous collectez et dans quel but, combien de temps vous les conservez et quels droits ont les clients. Si vous recourez à des prestataires externes qui traitent des données pour votre compte sur des tâches précises, un contrat de sous-traitance (en allemand : Auftragsverarbeitungsvertrag, AVV) s'y ajoute.

1. 1Faites le point sur tous les outils et prestataires qui traitent des données clients pour votre compte : réservations, commandes, newsletter ou hébergement.
2. 2Vérifiez pour chacun de ces services s'il existe un contrat de sous-traitance (AVV) ; les prestataires sérieux le proposent et le concluent avec vous.
3. 3Créez ou mettez à jour une politique de confidentialité qui reflète fidèlement tous les services et types de données utilisés.
4. 4Documentez les traitements réalisés dans votre établissement ; cela relève du registre des activités de traitement.
5. 5Vérifiez les informations régulièrement et ajustez-les dès que vous adoptez de nouveaux outils ou modifiez des procédures.

Un AVV régit les obligations du prestataire et garantit que les données ne sont traitées que sur vos instructions. La responsabilité du respect du RGPD reste la vôtre en tant qu'établissement, même lorsque les données se trouvent techniquement chez un tiers. Une politique de confidentialité juridiquement solide devrait donc être adaptée individuellement à votre établissement, avec un appui qualifié en cas de doute.

Le RGPD accorde aux clients une série de droits auxquels il faut être préparé. Si quelqu'un formule une demande, par exemple d'accès ou de suppression, vous devez en règle générale répondre dans un délai d'un mois. Il est utile d'avoir un processus interne clair pour que ces demandes ne se perdent pas dans le quotidien.

• Droit d'accès : les clients peuvent savoir si vous conservez des données les concernant et lesquelles.
• Droit de rectification : les données erronées ou obsolètes doivent être corrigées sur demande.
• Droit à l'effacement : si les données ne sont plus nécessaires ou que la base manque, elles doivent être supprimées, sauf obligation de conservation contraire.
• Droit à la limitation et à la portabilité des données, ainsi que le droit d'opposition à certains traitements.
• Retrait du consentement : un consentement accordé, par exemple pour la newsletter, doit pouvoir être retiré simplement à tout moment.

Comme premiers pas pratiques, on recommande : un inventaire de toutes les sources de données, une politique de confidentialité à jour, des AVV avec tous les prestataires, une collecte de données mesurée et une gestion encadrée des demandes. Formez aussi brièvement votre équipe à la manière de traiter les données clients. Ainsi se construit, pas à pas, un niveau solide de protection des données, sans que tout doive être parfait d'emblée.

Une partie pratique de la protection des données, c'est l'ordre : plus vos données clients sont organisées clairement, plus leur traitement responsable est facile. gastronomx rassemble réservations et commandes en ligne en un seul endroit, de sorte que vous n'avez plus à naviguer entre listes éparses, notes et boîtes de réception. Cette vue d'ensemble centrale facilite le suivi et la réponse ordonnée aux demandes.

L'ordre crée la base

Au sein du produit, les données de réservation et de commande sont traitées de manière structurée plutôt que dispersées sans contrôle en de multiples endroits. Cela ne vous décharge pas de la responsabilité juridique : les obligations du RGPD restent les vôtres en tant qu'établissement, mais une base de données ordonnée est un bon point de départ pour une protection des données propre. Des sujets dédiés à la politique de confidentialité et à la sécurité des données approfondissent chaque aspect.

L'essentiel demeure : gastronomx est un outil, non un substitut à un examen individuel en matière de protection des données. Quelles bases légales, délais et formulations s'appliquent à votre établissement, vous devriez le clarifier en cas de doute avec l'autorité de contrôle compétente ou un conseil juridique qualifié. Cet article offre une orientation générale et ne constitue pas un conseil juridique.