Données clients et Loi 25 : ton restaurant est-il conforme?

Ton carnet de réservations contient des noms, des numéros de téléphone, des courriels, parfois des notes sur les allergies d'un client régulier. Ton logiciel de réservation garde l'historique des visites, les préférences, peut-être une carte de crédit enregistrée pour les no-shows. Ton infolettre a une liste de 800 adresses.

Tout ça, c'est des renseignements personnels. Et depuis septembre 2024, la Loi 25 est pleinement en vigueur au Québec. Elle s'applique à toi, que tu aies 20 places ou 200.

La bonne nouvelle : se conformer n'est pas aussi compliqué que les firmes de consultants veulent te le faire croire. Pour un restaurant indépendant, c'est une question de bon sens structuré.

Quelles données ton restaurant collecte vraiment?

Avant de parler d'obligations légales, regarde ce que tu as déjà entre les mains. La plupart des restaurateurs sous-estiment la quantité de données personnelles qu'ils accumulent.

Type de donnée	Exemples concrets	Où ça vit
Réservation	Nom, téléphone, courriel, taille du groupe, date, heure	Logiciel de réservation, cahier papier
Profil client	Historique des visites, préférences alimentaires, allergies, notes (« fête le 12 mars »), tags VIP	CRM, logiciel de réservation
Carte enregistrée	Derniers 4 chiffres, marque de la carte, identifiant Stripe	Logiciel de réservation via Stripe
Marketing	Adresses courriel, numéros de cellulaire, préférences de communication	Mailchimp, plateforme SMS
Employés	NAS, coordonnées bancaires, horaires, évaluations	Système de paie, dossiers RH

Chaque ligne de ce tableau est un renseignement personnel au sens de la Loi sur la protection des renseignements personnels dans le secteur privé. Le nom d'un client associé à son numéro de téléphone et ses allergies? Renseignement personnel. Les quatre derniers chiffres de sa carte Visa liés à son profil? Aussi.

Ce que la Loi 25 exige de toi, concrètement

La loi a été déployée en trois phases entre 2022 et 2024. Depuis septembre 2024, toutes les obligations sont en vigueur. La Commission d'accès à l'information (CAI) a publié de nouvelles lignes directrices en janvier 2026, signe que l'application s'intensifie.

Voici les six obligations qui touchent directement un restaurant.

1. Désigner une personne responsable

Par défaut, c'est la personne ayant la plus haute autorité dans l'entreprise. Dans un restaurant indépendant, c'est toi, le propriétaire. Tu peux déléguer la fonction à un gérant ou un responsable administratif, mais tu restes ultimement responsable.

Ce que ça veut dire en pratique : quelqu'un dans ton équipe doit savoir où sont les données, qui y a accès, et quoi faire si quelque chose tourne mal. Publie le titre et les coordonnées de cette personne sur ton site web.

2. Adopter une politique de gouvernance

Tu dois avoir une politique écrite qui couvre la collecte, l'utilisation, la conservation et la destruction des renseignements personnels. Cette politique doit être accessible sur ton site web.

Pour un restaurant de 30 places, ça n'a pas besoin d'être un document de 40 pages. Une page claire qui explique quelles données tu collectes, pourquoi, combien de temps tu les gardes, et comment quelqu'un peut demander leur suppression. C'est tout.

3. Obtenir un consentement valide

Selon la CAI, un consentement valide doit être manifeste, libre, éclairé, spécifique, temporaire et compréhensible. En restauration, ça se traduit comme suit.

Pour une réservation : tu collectes le nom, le téléphone et le courriel parce que c'est nécessaire pour confirmer la réservation. C'est le critère de nécessité, il a préséance sur le consentement. Tu n'as pas besoin d'un formulaire de 12 cases à cocher pour prendre une réservation. Mais tu ne peux pas utiliser ce courriel pour envoyer des promotions sans consentement séparé.

Pour une infolettre : le client doit cocher une case distincte (pas pré-cochée) pour s'inscrire. « En réservant, tu acceptes de recevoir nos promotions » n'est pas un consentement valide parce qu'il n'est ni distinct ni libre.

Pour une carte enregistrée : le client doit comprendre pourquoi tu gardes sa carte, ce que tu peux faire avec (la charger en cas de no-show, par exemple) et combien de temps tu la conserves. Un message clair au moment de la réservation suffit.

4. Tenir un registre des incidents

Un incident de confidentialité, c'est un accès non autorisé, une perte ou une communication non autorisée de renseignements personnels. Exemples en restauration : un employé qui envoie la liste de courriels de tes clients à un ami, un ordinateur volé contenant des données de réservation, un courriel de confirmation envoyé au mauvais client.

Tu dois consigner chaque incident dans un registre, même ceux qui ne semblent pas graves. Le registre doit être conservé cinq ans minimum.

Si l'incident présente un risque sérieux de préjudice, tu dois aviser la CAI et les personnes touchées. Le délai recommandé : 72 heures après la découverte.

5. Détruire les données quand elles ne servent plus

C'est la règle que la plupart des restaurants ignorent. La CAI est claire : dès que les objectifs pour lesquels tu as collecté des renseignements sont réalisés, tu dois les détruire de manière sécuritaire.

Un client a réservé une fois il y a trois ans et n'est jamais revenu? Son profil complet avec allergies, numéro de cellulaire et historique de visites n'a plus de raison d'exister dans ton système. Définis une durée de conservation raisonnable, mets-la dans ta politique de gouvernance, et applique-la.

Suggestion pratique : conserve les données de réservation actives tant que le client revient. Si un profil est inactif depuis plus de 24 mois, supprime-le ou anonymise-le. Pour les cartes enregistrées, efface-les dès que la réservation est honorée (ou que le no-show est réglé).

6. Permettre la portabilité et la suppression

Depuis septembre 2024, tes clients ont le droit de te demander leurs données dans un format portable et le droit d'en demander la suppression. En pratique, ça arrive rarement dans la restauration, mais tu dois être capable de le faire si quelqu'un le demande.

La carte enregistrée : le cas le plus sensible

Si ton restaurant utilise un système de carte enregistrée pour les no-shows, tu manipules des données financières. C'est le type de donnée qui attire le plus d'attention en cas d'incident.

La bonne approche : la tokenisation. Au lieu de stocker le numéro de carte complet, tu utilises un fournisseur de paiement comme Stripe qui conserve le numéro réel de son côté et te donne un identifiant (un « token »). Toi, tu gardes seulement les quatre derniers chiffres et la marque de la carte pour que ton équipe puisse identifier le moyen de paiement. Le numéro complet ne passe jamais par tes serveurs.

C'est conforme au standard PCI DSS (la norme mondiale de sécurité des cartes de paiement) et ça réduit considérablement ton risque sous la Loi 25. Si ton système se fait pirater, les tokens sans la clé Stripe ne valent rien.

Point critique : explique au client, au moment de la réservation, que sa carte est enregistrée via un processeur de paiement sécurisé, qu'aucun numéro complet n'est stocké dans ton système, et qu'elle sera effacée après sa visite (ou après le règlement d'un no-show). C'est du consentement éclairé.

Les amendes : un risque réel pour les indépendants?

Les chiffres font peur : jusqu'à 25 millions de dollars ou 4 % du chiffre d'affaires mondial pour les amendes pénales, et jusqu'à 10 millions ou 2 % pour les sanctions administratives.

En pratique, la CAI ne va pas débarquer dans un bistro de 30 places pour lui coller une amende de 10 millions. Mais une plainte d'un client mécontent, un incident de confidentialité mal géré, ou une absence totale de politique de gouvernance pourrait déclencher une enquête. Et les amendes sont proportionnelles : même une sanction « modeste » de quelques milliers de dollars fait mal à un restaurant indépendant.

Le vrai risque n'est pas l'amende maximale. C'est la plainte d'un seul client insatisfait qui découvre que ses données personnelles n'étaient pas protégées.

Un plan de conformité en cinq étapes

Tu n'as pas besoin d'un consultant à 200 $ de l'heure. Voici ce qu'un restaurant indépendant peut faire cette semaine.

Étape 1 : Dresse la liste de toutes les données personnelles que tu collectes (utilise le tableau plus haut comme point de départ).

Étape 2 : Désigne officiellement un responsable de la protection des renseignements personnels. Publie son titre et ses coordonnées sur ton site web.

Étape 3 : Rédige ta politique de gouvernance. Une page qui couvre : quelles données tu collectes, pourquoi, combien de temps tu les gardes, comment les clients peuvent demander la suppression ou la portabilité de leurs données, et comment signaler un incident.

Étape 4 : Crée un registre des incidents de confidentialité (un simple fichier Excel suffit). Conserve-le cinq ans.

Étape 5 : Vérifie que ton logiciel de réservation et ton système de paiement utilisent la tokenisation pour les cartes. Si tu gardes des numéros de carte complets quelque part, c'est un problème urgent.

Ton logiciel de réservation, ton allié

Un bon logiciel de réservation fait une partie du travail pour toi. La tokenisation des cartes via Stripe, la gestion structurée des profils clients, la possibilité de supprimer ou d'anonymiser des données sur demande : tout ça, c'est de la conformité intégrée dans l'outil.

Ce qui reste à ta charge : la politique de gouvernance publiée sur ton site, le registre des incidents, et le consentement distinct pour le marketing. Mais le gros du stockage et de la sécurité des données est géré par le logiciel et le processeur de paiement.

Sources : CAI — Principaux changements Loi 25, CAI — Conservation et destruction, CAI — Consentement, Gouvernement du Québec — Loi 25, Stripe — Stockage des cartes.

---