Conformité RGPD et sécurité des données clients : obligations légales

Entre les réservations en ligne, les programmes de fidélité, les newsletters et les photos publiées sur Instagram, un restaurant du bassin lémanique manipule chaque jour des dizaines de données personnelles. La question n'est plus de savoir si vous êtes concerné par la protection des données, mais comment vous mettre en règle avec la nLPD suisse (la loi fédérale révisée, en vigueur depuis septembre 2023) et, dès que vous touchez des clients européens, avec le RGPD. Voici un guide concret pour ne pas transformer votre fichier clients en risque juridique.

LPD ou RGPD : quelle loi s'applique à votre restaurant ?

Beaucoup de restaurateurs romands croient que le RGPD est « une affaire européenne » qui ne les concerne pas. C'est faux à deux titres. D'abord, la Suisse dispose de sa propre loi, la nouvelle loi fédérale sur la protection des données (nLPD), qui impose des obligations très proches du RGPD. Ensuite, le RGPD européen s'applique aussi à un établissement suisse dès lors qu'il cible activement une clientèle de l'Union, ce qui est fréquent à Genève, Nyon ou Montreux avec leurs flux de touristes et de frontaliers.

Concrètement, si vous proposez un site en plusieurs langues, acceptez des réservations depuis la France voisine ou envoyez des promotions à des clients résidant en zone euro, vous êtes probablement soumis aux deux régimes. La bonne nouvelle : aligner votre établissement sur la nLPD vous met déjà à un très bon niveau de conformité. L'autorité de référence en Suisse est le PFPDT (Préposé fédéral à la protection des données et à la transparence), dont le site publie des aide-mémoire gratuits.

Quelles données collectez-vous, vraiment ?

Premier réflexe : faire l'inventaire. Un restaurant collecte bien plus de données qu'il ne le pense. Listez chaque point de contact :

• Réservations : nom, téléphone, e-mail, parfois préférences alimentaires ou allergies. Si vous utilisez un outil de réservation en ligne, ces données transitent par un prestataire.
• Programme de fidélité et CRM : historique de visites, montant dépensé, dates d'anniversaire. Un CRM de fidélité centralise des informations sensibles sur le comportement de vos habitués.
• Marketing direct : adresses e-mail et numéros pour vos campagnes d'e-mail marketing ou de SMS marketing.
• Paiements : données de carte traitées par votre terminal et votre caisse.
• Photos et vidéos : images de clients publiées sur vos réseaux, un sujet à part entière.

Cet inventaire (le « registre des activités de traitement ») n'est obligatoire que pour certaines entreprises, mais il reste l'outil le plus utile pour piloter votre conformité. Tenez-le à jour comme vous tenez votre registre d'hygiène : c'est la même logique de traçabilité.

Les cinq principes à respecter au quotidien

La nLPD comme le RGPD reposent sur quelques principes simples à garder en tête.

1. Finalité : ne collectez que pour un usage clair et annoncé. Une adresse e-mail prise pour confirmer une réservation ne peut pas servir automatiquement à du démarchage.
2. Minimisation : ne demandez pas la date de naissance complète si seul le jour vous sert pour un cadeau d'anniversaire.
3. Transparence : informez le client de ce que vous faites de ses données, via une politique de confidentialité accessible.
4. Sécurité : protégez vos fichiers contre la perte et le vol (mots de passe, accès limités, sauvegardes).
5. Droits des personnes : tout client peut demander à consulter, corriger ou supprimer ses données.

Ces règles ne sont pas théoriques. Un serveur qui note un numéro de carte sur un Post-it, un fichier Excel de clients partagé sans mot de passe, une ancienne tablette de réservation revendue sans effacement : autant de manquements concrets que l'on voit dans les établissements romands.

Newsletter et SMS : la question du consentement

C'est le point qui pose le plus de problèmes. En Suisse, l'envoi de publicité de masse sans accord préalable est encadré par la loi contre la concurrence déloyale (LCD), et le RGPD impose un consentement libre, éclairé et documenté pour les clients européens. En pratique, retenez ces règles :

• Une case à cocher non pré-cochée pour s'inscrire à votre newsletter, jamais un consentement caché dans des conditions générales.
• Un lien de désinscription clair et fonctionnel dans chaque envoi.
• La preuve du consentement conservée (date, source de collecte).

Si vous récupérez des e-mails via un formulaire de programme de fidélité ou un concours, soyez transparent dès l'inscription sur le fait que ces coordonnées serviront aussi à vos communications commerciales. Un client de Vevey qui s'inscrit pour un café offert ne s'attend pas forcément à recevoir une promotion chaque semaine.

Photos de clients : un piège fréquent sur les réseaux

Publier l'ambiance de votre terrasse de Morges un dimanche d'été, c'est tentant. Mais la photo d'un client reconnaissable est une donnée personnelle, et son image relève aussi de la protection de la personnalité du Code civil suisse. La règle de prudence : obtenez un accord avant de publier un visage identifiable, surtout pour un usage promotionnel. Pour les contenus créés par vos clients eux-mêmes, le sujet du droit à l'image mérite une procédure claire au sein de l'équipe. Une bonne pratique : afficher une mention discrète à l'entrée et privilégier les plans qui ne montrent pas les visages.

Sécurité technique : les bases à verrouiller

La conformité, ce n'est pas que du papier. Vos données doivent être protégées techniquement. Quelques mesures accessibles à n'importe quel établissement :

• Des mots de passe forts et individuels sur la caisse, le système de réservation et les boîtes mail, jamais partagés sur un tableau en cuisine.
• Des accès limités : un extra du service du soir n'a pas besoin d'accéder à tout le fichier clients.
• Des sauvegardes régulières et chiffrées de votre base de données.
• Le choix de prestataires sérieux, idéalement hébergés en Suisse ou dans l'UE, avec un contrat de sous-traitance des données.

En cas de fuite de données présentant un risque élevé pour vos clients, la nLPD vous oblige à annoncer la violation au PFPDT dans les meilleurs délais. Mieux vaut donc avoir pensé la sécurité en amont. Si vous intégrez plusieurs outils numériques, vérifiez la cohérence de votre écosystème logiciel et qui a accès à quoi.

Par où commencer cette semaine ?

Pas besoin de tout révolutionner d'un coup. Cette semaine, lancez trois actions concrètes : faites l'inventaire des données que vous collectez et des outils qui les stockent, rédigez ou mettez à jour une politique de confidentialité simple à publier sur votre site, et vérifiez que votre newsletter dispose bien d'un consentement et d'un lien de désinscription. Ces trois chantiers couvrent l'essentiel des risques pour un restaurant de quartier. Pour les zones grises (clientèle européenne, registre obligatoire, contrats avec vos prestataires), n'inventez rien : appuyez-vous sur les aide-mémoire du PFPDT ou faites valider votre cas par un juriste.

Mettre son établissement en conformité, c'est aussi gagner la confiance de ses clients, un atout précieux pour fidéliser sur le bassin lémanique. Si ces démarches vous semblent chronophages au milieu d'un service, l'Agence AutoResto accompagne les restaurateurs de Genève, Lausanne et toute la Suisse romande pour structurer leurs outils numériques et leur collecte de données dans les règles. Un coup de main entre pros, le temps que vous restiez concentré sur vos fourneaux.