RGPD dans un restaurant : les 9 documents dont vous avez besoin

Dernière révision : 16 juillet 2026. Auteur : Tranquilia by GRAC SA.

Sommaire

1. Pourquoi un petit restaurant a-t-il besoin de ces papiers ?
2. Document 1 — Le registre de ce que vous faites avec les données (RAT)
3. Document 2 — L'information pour vos clients
4. Document 3 — Le panneau de vidéosurveillance (si vous en avez)
5. Document 4 — Le contrat avec votre TPV, votre logiciel de réservation ou votre gestoría
6. Documents 5 et 6 — Ce que signe chaque salarié
7. Document 7 — Le registre du temps de travail, est-ce aussi de la protection des données ?
8. Document 8 — L'autorisation d'envoyer des offres par WhatsApp ou par e-mail
9. Document 9 — Combien de temps vous gardez chaque donnée
10. Les 9 documents en un coup d'œil
11. Que se passe-t-il si vous ne les avez pas ?
12. Questions fréquentes

Pourquoi un petit restaurant a-t-il besoin de ces papiers ?

Un restaurant manipule plus de données personnelles qu'il n'y paraît : celles de ses clients (réservations, factures, parfois allergies ou préférences), celles de ses salariés (bulletins de paie, horaires, parfois images des caméras) et celles de ses fournisseurs. Le RGPD n'exonère pas les petites entreprises. Il s'applique de la même façon à un bar de quartier qu'à une chaîne.

Vous n'avez pas besoin d'un service juridique. Vous avez besoin de 9 documents précis, la plupart d'une page, rédigés avec les données réelles de votre entreprise.

L'hôtellerie-restauration n'est pas un secteur mineur pour l'autorité qui surveille cela en Espagne, l'AEPD (Agencia Española de Protección de Datos, l'autorité espagnole de protection des données). Selon son propre rapport d'activité 2025, l'Agence a clos 326 procédures assorties d'une amende cette année-là (contre 281 en 2024), pour un montant total de 48 108 765 €. Deux euros sanctionnés sur trois se concentraient sur trois types d'infraction : les services internet, le commerce et l'hôtellerie-restauration, et les failles de sécurité. Vous le verrez plus bas avec un cas réel et sourcé, sans dramatiser : l'objectif de cet article est que vous ayez vos papiers en ordre, pas que vous ayez peur.

Document 1 — Le registre de ce que vous faites avec les données (RAT)

C'est le document de base. En langage technique, il s'appelle Registro de Actividades de Tratamiento (le registre des activités de traitement), mais ce n'est, tout simplement, que votre liste des données que vous manipulez et de leur finalité (art. 30 RGPD). Un restaurant a en général au moins 3-4 lignes dans cette liste : clients, salariés, fournisseurs et, s'il a des caméras, vidéosurveillance.

Pour chaque ligne, vous notez : quelles données vous traitez, pour quoi faire, sur quelle base légale, combien de temps vous les conservez et à qui vous les transmettez (par exemple, votre gestoría ou la plateforme de réservation). C'est le premier document parce que les autres s'appuient sur lui.

Document 2 — L'information pour vos clients

Chaque fois que vous demandez des données à un client (une réservation par téléphone ou par le web, une facture avec NIF, une fiche de fidélité), vous devez lui dire, brièvement, ce que vous faites de ces données (art. 13 RGPD). Cela s'appelle une cláusula informativa (une clause d'information) et cela comporte en général deux niveaux :

• Une phrase courte sur le formulaire lui-même ou sur la facture : qui vous êtes, à quoi vous servent les données et où trouver plus d'informations.
• Un texte plus complet, en lien ou disponible dans l'établissement, avec tous les détails.

Si vous avez un site avec un formulaire de réservation, une newsletter ou un bouton WhatsApp, chacun de ces points d'entrée a besoin de sa propre clause, adaptée à ce que vous y faites réellement.

Document 3 — Le panneau de vidéosurveillance (si vous en avez)

Si vous enregistrez des images de clients ou de salariés — la caméra de l'entrée, celle de la caisse, celle de la salle —, vous avez deux obligations qui vont ensemble :

1. Un panneau visible dans la zone filmée, avec le modèle officiel de l'AEPD (existence de la zone sous vidéosurveillance, qui est le responsable et où exercer vos droits).
2. Inscrire la caméra dans votre registre (document 1) et tenir l'information complète à disposition de qui la demande.

Ici, il convient d'être prudent sur le cadrage. Un cas réel : en 2022, l'AEPD a infligé une amende de 20 000 € à un restaurant pour avoir enregistré le son et l'image dans la zone de repos des salariés — un espace où la caméra n'est pas justifiée comme mesure de sécurité de l'entreprise — (source : FACUA, voir les sources à la fin). La règle générale de l'AEPD est simple : la caméra surveille l'entreprise (accès, caisse, réserve), elle n'espionne pas les personnes qui y travaillent ou qui y mangent.

Document 4 — Le contrat avec votre TPV, votre logiciel de réservation ou votre gestoría

Toute entreprise extérieure qui manipule des données pour vous est ce que la loi appelle un encargado del tratamiento (un sous-traitant) : votre gestoría quand elle fait les bulletins de paie, votre prestataire de TPV (le terminal de point de vente), la plateforme de réservation en ligne, l'entreprise qui gère votre page de livraison. Avec chacun d'eux, vous avez besoin d'un contrato de encargado del tratamiento (art. 28 RGPD) qui fixe ce qu'il peut faire de ces données et ce qu'il ne peut pas faire.

Il n'est pas nécessaire de le négocier de zéro : la plupart de ces prestataires ont déjà leur propre modèle de contrat, à signer ou à accepter en ligne. Votre travail consiste à identifier tous ceux qui touchent aux données de votre entreprise et à avoir le contrat signé avec chacun d'eux.

Documents 5 et 6 — Ce que signe chaque salarié

Chaque personne qui travaille avec vous signe, à son arrivée, deux documents courts :

• La clause d'information en matière d'emploi : quelles données la concernant vous traitez (bulletin de paie, horaires, parfois son image) et pour quoi faire. Elle vient en annexe au contrat de travail (art. 13 RGPD).
• L'engagement de confidentialité : l'accord de ne pas raconter ce qu'elle voit au travail — données des clients, recettes, chiffres de l'entreprise — (devoir de confidentialité, art. 5 LOPDGDD).

Si le salarié apparaît sur des photos destinées aux réseaux sociaux, il vous faut un troisième papier à part : son consentement à l'image, séparé et volontaire, qu'il peut retirer quand il le souhaite.

Document 7 — Le registre du temps de travail, est-ce aussi de la protection des données ?

Oui, même si cela n'en a pas l'air. Depuis 2019, toutes les entreprises, quelle que soit leur taille, sont tenues d'enregistrer l'heure d'arrivée et de départ de chaque salarié (art. 34.9 de l'Estatuto de los Trabajadores, le statut des travailleurs espagnol, introduit par le Real Decreto-ley 8/2019). Ce registre conserve des données personnelles, il entre donc aussi dans votre liste du document 1.

Un avertissement pratique : l'AEPD a publié un guide spécifique sur le pointage par empreinte digitale ou par d'autres données biométriques. Elle les considère comme des données sensibles et exige que l'entreprise démontre qu'il n'existe pas d'autre moyen raisonnable d'enregistrer le temps de travail avant de les utiliser. Si vous pouvez pointer avec une carte, un code PIN ou une application, c'est l'option qui demande le moins de paperasse et présente le moins de risque.

Document 8 — L'autorisation d'envoyer des offres par WhatsApp ou par e-mail

Si vous voulez informer vos clients d'une promotion, d'un événement ou du menu du jour par WhatsApp, SMS ou e-mail, vous avez besoin de leur autorisation explicite et spécifique pour cela : une case que le client coche lui-même, jamais pré-cochée, et qu'il peut décocher quand il le souhaite. Ce consentement est différent de celui que vous utilisez pour gérer une réservation ou une facture : l'un ne remplace pas l'autre.

Gardez une trace de quand et comment il l'a donnée (la date, le formulaire, le texte exact qu'il a accepté). C'est votre preuve si un jour on vous la demande.

Document 9 — Combien de temps vous gardez chaque donnée

Le dernier document est votre politique de conservation : combien de temps vous conservez chaque type de donnée avant de l'effacer. En Espagne, il existe des délais légaux qui fixent déjà le minimum : les factures, par exemple, se conservent par obligation fiscale et commerciale (demandez à votre gestoría les délais exacts applicables à votre cas, qui varient selon le type de document). Les données d'un client qui ne revient pas, ou d'un CV que vous n'avez pas retenu, ne se gardent pas "au cas où" : elles s'effacent quand elles ne servent plus.

Les 9 documents en un coup d'œil

Que se passe-t-il si vous ne les avez pas ?

La réalité, sans dramatiser : l'AEPD est celle qui surveille cela en Espagne et elle peut demander des explications, ordonner des changements ou infliger une amende. Le cas du restaurant sanctionné de 20 000 € que vous avez vu au document 3 n'est pas une exception rare : le rapport 2025 de l'AEPD place "le commerce et l'hôtellerie-restauration" parmi les trois types d'infraction qui concentrent les deux tiers du montant sanctionné cette année-là.

En pratique, la plupart des procédures contre les petites entreprises commencent par une plainte d'un client ou d'un salarié, pas par un contrôle au hasard. Avoir ces 9 documents en ordre, ce n'est pas seulement respecter la loi : c'est avoir une réponse claire et sous la main si un jour quelqu'un pose la question.

Questions fréquentes

Un bar avec un seul salarié a-t-il quand même besoin des 9 documents ? Oui, même si certains sont plus courts. Si vous n'avez pas de caméras, vous sautez le document 3. Si vous ne faites pas de marketing par WhatsApp ou par e-mail, vous sautez le document 8. Les autres s'appliquent dès le premier salarié.

Suffit-il de copier un modèle trouvé sur internet ? Un modèle générique ne mentionne pas votre NIF, vos prestataires réels ni vos caméras concrètes, il ne convient donc pas tel quel. Il sert de point de départ si vous l'adaptez avec les données de votre entreprise.

Qui peut m'aider à remplir tout cela ? Votre gestoría, si elle tient votre comptabilité, est la mieux placée : elle connaît déjà vos données fiscales et sociales. Vous pouvez aussi les générer vous-même en répondant à un questionnaire guidé sur votre entreprise.

Cela s'applique-t-il aussi à un food truck ou à un traiteur sans local fixe ? Oui. Ce qui détermine les documents dont vous avez besoin, ce n'est pas le local, mais les données que vous traitez : si vous avez des clients, des salariés et des fournisseurs, les mêmes 9 documents s'appliquent, adaptés à votre façon de travailler.

---

Vous voulez générer ces 9 documents avec les données réelles de votre restaurant ? Tranquilia propose un questionnaire guidé pensé pour l'hôtellerie-restauration : des questions simples, sans jargon, prêt en 15 minutes environ. Vous pouvez le voir dans le cas d'usage pour les restaurants.

Rapport établi à titre informatif. Il ne constitue pas un conseil juridique individualisé : pour votre cas concret, consultez votre gestoría ou un avocat spécialisé.