RGPD en restaurant en 2026 : empreinte bancaire et pré-autorisation anti no-show, ce qui est légal et ce qu’il faut éviter

Le no-show pèse directement sur la rentabilité de nombreux établissements. En restauration, l’empreinte bancaire ou la pré-autorisation sont devenues des outils courants pour sécuriser les réservations, surtout sur les créneaux à forte demande. Mais en 2026, une question revient souvent : jusqu’où pouvez-vous aller sans créer de risque RGPD ?

Si vous gérez un restaurant en France, vous devez concilier trois enjeux : protéger votre chiffre d’affaires, informer clairement vos clients et encadrer correctement le traitement des données de réservation. Nous vous expliquons ici ce qui est autorisé, ce qui est interdit ou risqué, les durées de conservation à prévoir et les mentions obligatoires, avec une checklist conformité à la fin.

Pourquoi le sujet est devenu central en restauration

Depuis 2022, de nombreux établissements ont renforcé leurs politiques de réservation pour limiter les annulations tardives et les tables non honorées. Plusieurs outils de réservation ont largement démocratisé la demande de carte bancaire au moment de la réservation, en particulier pour les services du soir, les groupes ou les créneaux de forte affluence.

Le sujet est loin d’être anecdotique : Zenchef France évoque une estimation de 10 à 15 % de chiffre d’affaires perdu à cause du no-show. Ce chiffre doit être pris comme un ordre de grandeur éditorial, mais il illustre bien l’enjeu business pour les exploitants.

Dans le langage courant côté CHR, il est utile de distinguer trois mécanismes :

• Empreinte bancaire : la carte est enregistrée comme garantie de réservation.
• Pré-autorisation bancaire : un montant est temporairement réservé ou vérifié, sans encaissement immédiat.
• Débit : la somme est effectivement prélevée, par exemple en cas de no-show prévu dans vos conditions de réservation.

Bon à savoir : demander une carte pour garantir une réservation ne vous autorise pas à réutiliser cette donnée pour d’autres finalités. En pratique, une newsletter ou une prospection commerciale nécessitent un consentement séparé, spécifique et traçable.

Quel cadre RGPD s’applique à votre restaurant en France ?

Pour les restaurants en France, la logique est simple : dès lors que vous collectez des données liées à une réservation, vous traitez des données à caractère personnel. Le RGPD s’applique donc pleinement, y compris si la collecte passe par une plateforme tierce.

Dans la plupart des cas, votre restaurant reste le responsable de traitement, car c’est vous qui décidez de demander ou non une garantie de réservation, d’appliquer une politique d’annulation, de définir vos accès internes et de conserver certaines informations. La solution de réservation agit souvent comme sous-traitant, même si certaines configurations peuvent créer des responsabilités partagées selon les usages et les paramétrages.

Pour cadrer vos obligations de base, vous pouvez déjà vous appuyer sur notre checklist RGPD CHR pour restaurants et hôtels, qui pose les fondamentaux utiles avant d’entrer dans le détail du no-show.

Les finalités qui peuvent être justifiées

Dans ce contexte, les finalités les plus faciles à documenter sont les suivantes :

• garantir une réservation ;
• prévenir les réservations abusives ;
• gérer les annulations tardives et les no-shows ;
• conserver une preuve en cas de contestation ou de litige.

La base légale la plus souvent mobilisée est l’intérêt légitime, à condition que votre dispositif reste proportionné, transparent et limité à ce qui est nécessaire.

En revanche, si vous souhaitez utiliser les données collectées pour :

• envoyer des newsletters,
• faire de la prospection commerciale,
• réaliser du profilage marketing,
• partager les données avec des partenaires pour leur propre compte,

vous changez de finalité. Dans ce cas, un consentement distinct devient généralement nécessaire.

Le principe de minimisation : collecter moins, mais mieux

En matière de réservation restaurant, le bon réflexe consiste à ne collecter que ce qui est strictement utile. Vous devez éviter toute dérive du type :

• copie de carte bancaire,
• conservation inutile de données complètes de paiement,
• exports locaux non sécurisés,
• accès trop larges pour l’équipe.

En pratique, votre objectif n’est pas de “garder la carte du client”, mais de mettre en place un mécanisme de garantie cohérent avec votre politique d’annulation.

Mentions obligatoires : ce que le client doit savoir avant de valider

Le point le plus sensible n’est pas seulement technique. Il est aussi informationnel et contractuel. Avant la validation de la réservation, le client doit comprendre ce que vous collectez, pourquoi vous le faites et dans quelles conditions un montant peut être facturé.

Vos mentions de réservation doivent faire apparaître de façon claire :

• l’identité du responsable de traitement ;
• les finalités du traitement ;
• la base légale retenue ;
• les catégories de données collectées ;
• les destinataires ou catégories de destinataires ;
• la durée de conservation ;
• les droits de la personne : accès, rectification, effacement, opposition selon les cas ;
• la possibilité d’introduire une réclamation auprès de la CNIL.

Il faut aussi ajouter un point essentiel, qui relève à la fois de la transparence RGPD et de la relation contractuelle : le montant ou les règles de facturation en cas de no-show ou d’annulation tardive doivent être portés à la connaissance du client avant validation.

Autrement dit, une clause floue du type “des frais pourront s’appliquer” est trop faible. Votre politique doit être lisible : délai d’annulation, montant, cas d’application, modalités de débit et canal de contact en cas de contestation.

Si vous souhaitez aller plus loin dans votre organisation interne, nous pouvons aussi vous accompagner sur les sujets de procédures, d’outils et de pilotage via nos parcours autour de la digitalisation des outils en CHR et des bonnes pratiques RGPD.

Durée de conservation : le point de vigilance le plus fréquent

La durée de conservation doit rester courte, justifiée et documentée. En pratique, pour une garantie de réservation, la logique attendue est une purge rapide après l’issue du service, lorsque le statut devient “présent”, “annulé selon les règles” ou “no-show traité”.

Bonne pratique opérationnelle : prévoir une conservation très courte après la date de réservation, avec un délai additionnel strictement limité si vous devez gérer :

• une contestation client,
• une preuve de facturation,
• un traitement comptable ou un litige ponctuel.

Dans votre cadre interne, vous pouvez retenir une règle simple : éviter toute conservation au-delà de 7 jours après la réservation sans justification documentée. Ce n’est pas une “durée magique” universelle, mais une règle prudente de conformité pour limiter le risque de conservation excessive.

Plus la conservation dure, plus vous devez pouvoir expliquer pourquoi elle reste nécessaire. À défaut, vous augmentez votre exposition en cas de contrôle ou de demande d’effacement.

Empreinte bancaire et no-show : ce qui est légal, interdit ou risqué

Pratique	Statut	Point de vigilance
Demander une empreinte bancaire pour garantir une réservation	Oui	À condition que la finalité soit claire, proportionnée et expliquée au client
Facturer un no-show prévu par une clause claire avant validation	Oui	Le montant, le délai d’annulation et le mécanisme de débit doivent être transparents
Conserver l’empreinte plusieurs jours ou semaines sans justification	Non ou très risqué	Prévoir une purge rapide et documenter tout délai supplémentaire
Réutiliser la donnée pour une newsletter sans consentement séparé	Non	La prospection commerciale obéit à une autre logique de collecte
Partager les données avec un tiers pour son propre compte	Non	Hors sous-traitance encadrée, revente ou échange de données à proscrire
Limiter la garantie aux services, horaires ou profils à risque	Oui, avec prudence	Documenter la proportionnalité et éviter toute logique discriminatoire

Les zones grises à documenter

Certaines situations ne sont pas interdites par principe, mais demandent une justification plus solide :

• liste d’attente avec carte demandée en amont ;
• empreinte seulement aux heures de pointe ;
• traitement différent pour les clients récurrents ;
• réservations de groupe ou d’entreprise.

Dans ce type de cas, le bon réflexe consiste à documenter la proportionnalité : pourquoi ce paramètre, pour quel objectif, avec quelle durée, et avec quelles garanties pour le client.

Comment sécuriser vos outils de réservation

Que vous utilisiez TheFork, Zenchef, Sunday, CoverManager, Resmio ou une autre solution, le principe reste le même : la plateforme a son propre parcours RGPD, mais vous restez responsable de vos choix de paramétrage.

Vous devez notamment vérifier :

• l’existence d’un contrat de sous-traitance ou DPA ;
• la localisation de l’hébergement ;
• la liste éventuelle des sous-sous-traitants ;
• les mesures de sécurité ;
• les modalités d’exercice des droits ;
• les paramètres de purge automatique ;
• les exports de données disponibles ;
• les journaux d’accès ou de traçabilité.

Sur le terrain, quelques réglages simples réduisent déjà beaucoup le risque :

• limiter les accès aux seules personnes qui en ont besoin ;
• désactiver ou supprimer les exports inutiles ;
• éviter les fichiers locaux contenant des données clients ;
• activer la journalisation si elle existe ;
• formaliser une procédure de suppression et de réponse aux demandes clients.

Pour compléter votre socle documentaire, vous pouvez prévoir dans votre stratégie de contenu interne un futur guide dédié à la politique d’annulation et à la prévention du no-show en restaurant, afin d’articuler clairement la partie contractuelle et la partie données personnelles.

Quels risques en cas de mauvais cadrage ?

Le RGPD prévoit des sanctions pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Pour un restaurant indépendant, le risque concret ne se résume toutefois pas au niveau théorique de l’amende.

Les conséquences les plus immédiates sont souvent :

• une réclamation client ;
• une perte de confiance locale ;
• un litige sur un débit contesté ;
• une difficulté à produire la preuve de l’information donnée ;
• une charge administrative importante en cas de contrôle.

En clair, la conformité sert aussi à protéger votre réputation et à fluidifier vos relations clients, pas seulement à éviter une sanction.

Checklist conformité : 12 points à vérifier dans votre restaurant

Voici une base opérationnelle à adapter à votre établissement et, si besoin, à valider avec votre DPO ou votre conseil.

• Vérifier que la politique no-show est affichée avant validation de la réservation.
• Vérifier que le montant ou les règles de facturation sont clairement indiqués.
• Vérifier que la base légale du traitement est identifiée et documentée.
• Vérifier que les mentions RGPD sont accessibles dans le parcours de réservation.
• Vérifier que les données collectées sont limitées au strict nécessaire.
• Vérifier que la purge post-service est paramétrée ou organisée en interne.
• Vérifier que tout délai supplémentaire de conservation est justifié par écrit.
• Vérifier que le DPA ou contrat de sous-traitance avec l’outil de réservation est signé.
• Vérifier que le registre RGPD mentionne ce traitement de réservation garanti.
• Vérifier que les accès staff sont limités, revus et tracés.
• Vérifier que les exports de données sont supprimés ou strictement encadrés.
• Vérifier que la procédure de gestion des droits et incidents est connue par la personne référente.

Si vous voulez structurer cela rapidement, le plus utile est souvent de partir d’un support simple, puis de compléter au fil de l’exploitation. Notre guide pratique RGPD en restaurant et hôtel peut vous servir de base de travail, notamment pour le registre, les sous-traitants et les durées.

Mettre vos équipes et vos outils au bon niveau

La conformité réservation ne repose pas uniquement sur un texte juridique. Elle dépend aussi de vos réflexes d’exploitation : qui a accès à l’outil, qui répond aux contestations, qui supprime les données, qui met à jour les paramètres.

C’est précisément là que la formation peut faire gagner du temps. Nous pouvons vous aider à transformer des obligations parfois abstraites en procédures concrètes : paramétrage des outils, sécurisation des accès, coordination manager/équipe, bonnes pratiques digitales et traitement des demandes clients.

Selon votre besoin, vous pouvez aussi explorer nos solutions de formation en digital CHR, en protection des données ou en procédures internes, avec un accompagnement adapté à votre taille d’établissement et à vos outils.

Sécuriser votre politique de réservation sans alourdir l’expérience client

Une politique anti no-show bien conçue n’a pas besoin d’être compliquée. Elle doit surtout être claire, proportionnée et cohérente entre vos conditions de réservation, votre outil et vos pratiques internes.

Si vous souhaitez avancer de façon structurée, nous vous recommandons de commencer par un audit simple : mentions affichées, montant annoncé, durée de conservation, accès staff, contrat avec la plateforme et procédure en cas de demande client. Nous pouvons ensuite vous accompagner pour auditer vos mentions de réservation, vos paramétrages d’outil et vos procédures internes, puis vous orienter vers nos formations RGPD et digital CHR les plus pertinentes.