Que demande le RGPD à un petit commerce ?
Le RGPD (règlement général sur la protection des données) s’applique depuis 2018 à toutes les entreprises qui traitent des données personnelles, quelle que soit leur taille. Un nom et un numéro de téléphone pris pour une réservation, une adresse email pour une carte de fidélité, une image de caméra : ce sont des données personnelles.
Pas de panique pour autant. La CNIL, l’autorité française de protection des données, publie de nombreuses fiches pratiques pour les TPE. Ce guide en reprend l’essentiel pour un commerce de proximité, sans jargon. Pour les règles des emails commerciaux, reportez-vous à notre guide de la fidélisation, qui les détaille déjà.
Quelles données personnelles mon commerce collecte-t-il ?
Plus que vous ne le pensez. Faites le tour de vos habitudes, du comptoir au téléphone :
| Où | Données | Pour quoi faire |
|---|---|---|
| Réservations, rendez-vous | Nom, téléphone, email, nombre de personnes, remarques | Gérer la réservation, confirmer, rappeler |
| Fichier client | Coordonnées, préférences, historique, allergies | Mieux servir, reconnaître les habitués |
| Emails, lettre d’information | Adresse email, consentement | Informer, faire revenir |
| Devis, commandes | Nom, adresse, téléphone, détails de la demande | Établir le devis, livrer, facturer |
| Factures | Nom, adresse, montants | Obligations comptables |
| Caméras | Images des clients et du personnel | Sécurité des biens et des personnes |
| Avis et jeux | Nom, email, participation | Gérer le jeu, remettre le lot |
| Personnel | Identité, contrat, paie | Gestion des salariés |
La CNIL rappelle un principe utile dans sa fiche « Maîtrisez votre relation client » : vendre un bien ou un service ne nécessite pas toujours de recueillir des données. Une baguette ne demande pas d’email. Demandez seulement ce qui sert vraiment, et rendez le reste facultatif.
Attention aux données de santé : une allergie ou une intolérance notée dans un fichier client est une donnée sensible. Notez-la seulement si le client vous l’a donnée pour que vous en teniez compte, et pour rien d’autre.
Outil gratuit, sans inscription
Simulez vos gains en 1 minute
Trois questions pour estimer ce que vous rapporte un fichier clients qui reste chez vous : réservations directes, commissions économisées, temps gagné.
Dois-je tenir un registre, et à quoi ressemble-t-il ?
Le registre des traitements est un document qui liste ce que vous faites des données personnelles. Selon la fiche de la CNIL sur le registre, les entreprises de moins de 250 salariés bénéficient d’une dérogation, mais elle est très limitée : doivent figurer dans le registre les traitements qui ne sont pas occasionnels (la gestion des clients et des fournisseurs, la paie), ceux qui présentent un risque (comme la vidéosurveillance) et ceux qui portent sur des données sensibles (comme la santé). Autrement dit, un commerce a presque toujours besoin d’un registre.
Bonne nouvelle : il peut tenir sur une page, papier ou numérique. La CNIL propose un modèle de registre simplifié (tableur à télécharger). Pour un restaurant, il peut ressembler à ceci :
| Traitement | Données | Qui y accède | Durée |
|---|---|---|---|
| Réservations | Nom, téléphone, email, allergies | Équipe de salle, logiciel de réservation | Durée fixée par vous, par exemple après la dernière visite |
| Lettre d’information | Gérant, outil d’envoi | Jusqu’à la désinscription, ou 3 ans sans contact | |
| Facturation | Nom, montants | Gérant, comptable | 10 ans |
| Vidéosurveillance | Images | Gérant | En principe un mois au plus |
| Personnel | Identité, contrat, paie | Gérant, cabinet de paie | Selon les obligations sociales |
Pour chaque ligne, le modèle de la CNIL demande aussi la finalité, les catégories de personnes, les éventuels transferts hors de l’Union européenne et les mesures de sécurité. Remplissez-le une fois, puis relisez-le quand vous changez d’outil.
Comment informer mes clients, et que mettre sous mes formulaires ?
Au moment où vous recueillez une donnée, la personne doit savoir qui la reçoit, pour quoi faire, combien de temps vous la gardez et comment exercer ses droits. La CNIL conseille une mention d’information courte sur chaque formulaire, avec un lien vers une politique de confidentialité plus complète. Entreprendre Service Public précise que cette politique doit être accessible depuis chaque page du site.
Modèle de mention à placer sous un formulaire de réservation :
Les informations de ce formulaire sont utilisées par [Nom du commerce] pour gérer votre réservation, vous envoyer une confirmation et un rappel, et noter vos préférences (allergies, occasion) si vous nous les indiquez. Elles sont accessibles à notre équipe et à notre prestataire de réservation, et conservées [durée choisie, par exemple 3 ans après votre dernière visite]. Vous pouvez y accéder, les corriger ou demander leur suppression en écrivant à [adresse email]. En cas de difficulté, vous pouvez saisir la CNIL (www.cnil.fr).
Modèle à afficher près de la caisse si vous tenez un fichier client sur papier ou sur tablette :
Fichier client de [Nom du commerce] : si vous nous donnez vos coordonnées, nous les utilisons uniquement pour [vous prévenir quand votre commande est prête / gérer votre carte de fidélité / vous envoyer nos nouvelles si vous l’avez accepté]. Nous ne les transmettons à personne. Vous pouvez demander à les consulter, les corriger ou les supprimer à tout moment, en boutique ou à [adresse email].
Ces mentions complètent vos mentions légales, qui disent qui vous êtes : notre guide des mentions légales d’un site de commerce donne le modèle correspondant.
Combien de temps puis-je garder les données de mes clients ?
Le temps nécessaire à ce pour quoi vous les avez recueillies, puis vous les supprimez ou les archivez. La CNIL distingue les données en usage courant, les archives gardées pour une obligation légale ou un éventuel litige (avec un accès restreint), et la suppression.
Les repères publiés par la CNIL :
- Clients utilisés pour vous faire connaître (emails, offres) : pendant la relation commerciale, puis 3 ans après sa fin, selon le référentiel de la CNIL sur la gestion commerciale ;
- Prospects (personnes qui ne sont pas clientes) : 3 ans à compter de la collecte ou du dernier contact venant d’eux. Un clic sur un lien dans un de vos emails compte comme contact ;
- Données de facturation : 10 ans, en application du Code de commerce, d’après la fiche de la CNIL sur les durées de conservation ;
- Images de vidéosurveillance : en principe un mois au plus (voir plus bas).
Ce référentiel n’est pas obligatoire, mais si vous retenez une autre durée, vous devez pouvoir la justifier. À la fin des 3 ans, vous pouvez recontacter la personne pour savoir si elle veut continuer à recevoir vos messages ; sans réponse positive, supprimez ses données.
En pratique, fixez deux rendez-vous par an dans votre agenda pour faire le ménage : clients inactifs depuis longtemps, vieilles listes, tableurs en double, carnets de réservations des années passées.
Un client me demande ses données : que faire ?
Vos clients ont le droit d’accéder aux données que vous avez sur eux, de les faire corriger, d’en demander la suppression, de s’opposer à recevoir vos messages. La CNIL indique que vous devez répondre le plus rapidement possible, et au plus tard dans un délai d’un mois. Ce délai peut être prolongé de deux mois si la demande est complexe, à condition de prévenir la personne dans le premier mois (CNIL, délai de réponse).
La marche à suivre :
- notez la date de la demande ;
- vérifiez qu’il s’agit bien de la personne concernée (sans demander plus que nécessaire) ;
- cherchez ses données partout : logiciel de réservation, tableur, carnet, boîte mail, outil d’envoi d’emails ;
- répondez par écrit, et gardez une trace de votre réponse.
Modèle de réponse à une demande de suppression :
Bonjour [Prénom], Nous avons bien reçu votre demande du [date]. Nous avons supprimé les données vous concernant de notre fichier client et de notre liste d’envoi : [nom, téléphone, email, préférences]. Seules les factures sont conservées, car la loi nous oblige à les garder. Vous ne recevrez plus de messages de notre part. Pour toute question, vous pouvez nous écrire à [adresse email]. Bien cordialement, [Prénom], [Nom du commerce]
Comment protéger mes fichiers et choisir mes prestataires ?
Les gestes de sécurité
- un mot de passe différent par outil, et un compte par membre de l’équipe plutôt qu’un identifiant partagé ;
- pas de fichier client sur une clé USB qui traîne ou dans un tableur envoyé par email ;
- le carnet de réservations rangé, pas ouvert sur le comptoir ;
- chacun n’accède qu’à ce dont il a besoin : le serveur voit les réservations du jour, pas forcément l’historique complet.
En cas de fuite ou de perte
Un ordinateur volé, un fichier envoyé au mauvais destinataire, un compte piraté : c’est une violation de données. La CNIL demande de la lui notifier dans les 72 heures si elle présente un risque pour les personnes, de prévenir les personnes si le risque est élevé, et dans tous les cas de la noter dans un document interne.
Vos prestataires (site, réservation, emails)
Quand un prestataire traite des données pour votre compte (votre outil de réservation, votre site, votre logiciel de caisse), il est votre sous-traitant. Vous restez responsable, et le RGPD (article 28) impose un contrat qui précise ce qu’il fait des données. La CNIL, dans ses bonnes pratiques responsable de traitement et sous-traitant, conseille de choisir des outils qui aident : recueil du consentement, lien de désinscription automatique, mentions d’information, suppression des données au bout de la durée prévue, accès différents selon les rôles. Demandez à votre prestataire où sont hébergées les données et quels sont ses propres sous-traitants.
Chez Voxtya, le service Réservations tient le fichier clients à partir des réservations (habitués, allergies, occasions) ; Voxtya le traite pour le compte du commerce, en tant que sous-traitant, et sa politique de confidentialité liste ses propres prestataires.
Puis-je installer des caméras dans mon commerce ?
Oui, pour la sécurité des biens et des personnes, avec des règles précises. La fiche de la CNIL sur la vidéosurveillance dans les commerces (que la CNIL indique être en cours de mise à jour) retient notamment :
- filmer les zones de circulation et les zones marchandes, sans porter atteinte à la vie privée ; jamais les cabines d’essayage ni les toilettes ;
- ne pas utiliser les caméras pour surveiller le travail du personnel ; une caméra sur la caisse doit filmer la caisse plus que le caissier ;
- pour les zones ouvertes au public (entrée, surfaces de vente, caisses), le dispositif doit être autorisé par le préfet ;
- une durée de conservation qui, en principe, n’excède pas un mois, et quelques jours suffisent généralement ;
- un accès aux images réservé à la direction ou aux responsables de la sécurité ;
- des panneaux visibles en permanence ;
- l’inscription du dispositif dans votre registre.
Modèle de panneau d’information (à compléter du pictogramme caméra) :
Établissement placé sous vidéoprotection Pour la sécurité des personnes et des biens, ce commerce est équipé de caméras. Responsable : [Nom du commerce], [adresse]. Les images sont conservées [durée, par exemple 15 jours]. Vous pouvez accéder aux images vous concernant en contactant [adresse email ou téléphone]. Vous pouvez adresser une réclamation à la CNIL (www.cnil.fr).
Quels points d’attention selon mon métier ?
- Restaurant : les allergies notées dans les réservations sont des données de santé ; ne les gardez que pour servir le client et protégez le fichier. Le carnet papier des réservations doit lui aussi être rangé et jeté au bout d’un temps défini. Voir Voxtya pour les restaurants.
- Coiffeur, institut de beauté : la fiche technique (couleur, soins, contre-indications de peau) peut contenir des informations de santé ; limitez-vous à l’utile. Les photos avant/après demandent l’accord écrit de la cliente.
- Boutique, caviste : la carte de fidélité numérique suppose un email ou un téléphone ; une carte tamponnée n’en demande aucun. Les caméras de surface de vente demandent une autorisation préfectorale.
- Boulangerie : les commandes de gâteaux (nom, téléphone) peuvent être supprimées une fois la commande retirée et payée, sauf la facture.
- Artisan : devis et factures contiennent l’adresse du client ; les factures se gardent 10 ans, les devis refusés n’ont pas à être gardés aussi longtemps.
- Hôtel, chambre d’hôtes : vérifiez les formalités propres à l’hébergement auprès de votre mairie ou de votre fédération, et ne gardez pas de copies de pièces d’identité au-delà de ce qui est exigé.
Quelles erreurs éviter, et par où commencer ?
Les erreurs les plus courantes dans les commerces :
- un fichier client « fourre-tout » jamais trié, avec des clients d’il y a dix ans ;
- des remarques désobligeantes sur un client dans un fichier (il peut demander à le voir) ;
- un identifiant unique partagé par toute l’équipe pour le logiciel de réservation ;
- une caméra qui filme en continu le poste de travail d’un salarié ;
- une case d’inscription aux emails cochée d’avance ;
- pas de mention d’information sous les formulaires du site.
La check-list pour être en règle :
- J’ai listé les données que je collecte et pourquoi
- J’ai rempli le registre simplifié de la CNIL
- Chaque formulaire a sa mention d’information et un lien vers la politique de confidentialité
- J’ai fixé une durée de conservation pour chaque fichier
- Je fais le ménage dans mes fichiers deux fois par an
- Chaque membre de l’équipe a son propre accès, avec un mot de passe solide
- Je sais répondre à une demande d’un client en moins d’un mois
- Mes prestataires ont un contrat qui couvre les données
- Mes caméras sont autorisées, signalées et les images ne sont pas gardées trop longtemps
- Ma bannière cookies permet de refuser aussi facilement que d’accepter
Les étapes, en résumé
Les étapes simples pour qu’un petit commerce respecte le RGPD sans y passer des semaines.
- Faire l’inventaire. Listez où vous collectez des données : réservations, fichier client, emails, devis, caméras, personnel.
- Trier. Supprimez les données inutiles et rendez facultatif ce qui n’est pas indispensable.
- Remplir le registre. Téléchargez le modèle simplifié de la CNIL et remplissez une ligne par traitement.
- Informer. Ajoutez une mention d’information sous chaque formulaire et une politique de confidentialité sur le site.
- Fixer les durées. Choisissez une durée de conservation pour chaque fichier, en vous appuyant sur les repères de la CNIL.
- Sécuriser. Un accès par personne, des mots de passe solides, des fichiers rangés.
- Vérifier ses prestataires. Assurez-vous qu’un contrat encadre les données confiées à vos outils.
- Faire le ménage. Deux fois par an, supprimez ce qui a dépassé la durée prévue.
Le faire sans y passer vos soirées
Réservations Voxtya
Vos clients réservent sur votre site, sans commission. Confirmation et rappel par email, et un fichier clients qui reste à vous : habitués, allergies, occasions. 29 €/mois, 30 jours d’essai gratuit.
Ce guide pour votre métier
Pour aller plus loin
Sources
Les règles citées dans ce guide viennent de ces pages officielles, consultées le 17 octobre 2026.
- CNIL : le registre des activités de traitement
- CNIL : les durées de conservation des données
- CNIL : référentiels gestion commerciale (questions-réponses)
- CNIL : maîtrisez votre relation client
- CNIL : délai de réponse aux demandes de droits
- CNIL : notifier une violation de données
- CNIL : responsable de traitement et sous-traitant
- CNIL : la vidéosurveillance dans les commerces
- Entreprendre Service Public : cookies et autres traceurs