Reservation en ligne et prise de rendez-vous : les obligations RGPD pour les TPE et PME
Publie le 14/11/2026 · Temps de lecture : 9 min
Restaurant qui utilise TheFork, salon de coiffure equipe de Planity, cabinet medical ou paramedical sur Doctolib, garage ou institut qui propose un widget Calendly ou SimplyBook sur son site : la prise de rendez-vous en ligne s'est generalisee dans les TPE et PME francaises. Chaque reservation fait pourtant transiter des donnees personnelles, souvent vers un prestataire exterieur, parfois avec des informations plus sensibles qu'il n'y parait (allergies, besoin d'acces adapte, motif de consultation). Le RGPD encadre precisement cette chaine, de la collecte jusqu'au rappel par SMS.
Sommaire
- 1. Quelles donnees un systeme de reservation collecte reellement
- 2. Quelle base legale pour la reservation elle-meme
- 3. L'outil de reservation est un sous-traitant, pas un simple logiciel
- 4. Rappels par SMS ou email : transactionnel ou prospection ?
- 5. Listes de no-show et profilage des clients a risque
- 6. Allergies, handicap, motif de visite : des donnees particulieres
- 7. Duree de conservation de l'historique des rendez-vous
- Questions frequentes
1. Quelles donnees un systeme de reservation collecte reellement
Un formulaire de reservation minimal demande un nom, un telephone et un email : suffisant pour confirmer un creneau et relancer en cas d'empechement. Mais de nombreux secteurs vont plus loin sans toujours s'en rendre compte. Un restaurant demande le nombre de couverts et parfois une allergie ou un regime particulier. Un salon de coiffure ou un institut peut relier la fiche de reservation a un historique de prestations. Un garage note l'immatriculation du vehicule. Une consultation chez un professionnel de sante ou du bien-etre associe le rendez-vous a un motif de visite. Chacune de ces donnees est une donnee personnelle au sens de l'article 4.1 du RGPD, et certaines, on le verra, basculent dans une categorie particuliere.
2. Quelle base legale pour la reservation elle-meme
Beaucoup de professionnels ajoutent par reflexe une case « j'accepte que mes donnees soient utilisees » au moment de la reservation. Ce n'est pas la bonne base legale : collecter les coordonnees necessaires pour honorer une reservation releve de l'article 6.1.b du RGPD, l'execution d'un contrat ou une mesure prise a la demande de la personne avant la conclusion d'un contrat. Le consentement n'est donc pas la bonne case a cocher pour la reservation elle-meme ; il devient necessaire uniquement pour tout usage distinct, comme l'ajout a une liste de diffusion commerciale.
Cette distinction a une consequence concrete : un etablissement ne peut pas conditionner la reservation a l'acceptation de recevoir des offres promotionnelles. Les deux finalites doivent rester separees, avec deux cases distinctes si une case de consentement marketing est proposee.
3. L'outil de reservation est un sous-traitant, pas un simple logiciel
Que l'outil soit une plateforme generaliste (Calendly, SimplyBook) ou specialisee par secteur (TheFork pour la restauration, Planity ou Doctolib pour les prestations avec rendez-vous individuel), l'editeur traite les donnees de vos clients pour votre compte et selon vos instructions. Il s'agit d'un sous-traitant au sens de l'article 28 du RGPD, au meme titre qu'un hebergeur ou un prestataire d'emailing. Vous restez responsable de traitement : c'est votre nom qui figure dans la politique de confidentialite presentee au client, pas celui de l'editeur du widget.
Avant d'adopter un outil de reservation, verifiez ses conditions generales ou son addendum RGPD : elles doivent preciser la nature et la duree du traitement, les mesures de securite appliquees, et le sort des donnees en fin de contrat. Notre article sur les clauses RGPD obligatoires dans un contrat de sous-traitance detaille ce que ce document doit contenir point par point.
4. Rappels par SMS ou email : transactionnel ou prospection ?
Le rappel de rendez-vous envoye la veille est l'une des fonctions les plus appreciees de ces outils, et c'est aussi l'un des points les plus mal compris sur le plan legal. Un message qui se limite a confirmer la date, l'heure et le lieu du rendez-vous deja pris est un message transactionnel, necessaire a l'execution du contrat : il ne releve pas du regime de la prospection commerciale et ne necessite donc pas l'opt-in exige par le Code des postes et des communications electroniques pour l'emailing ou le SMS publicitaire.
La frontiere se deplace des que le message ajoute une incitation commerciale : une offre de remise sur la prochaine visite, une invitation a reserver un autre service, un lien vers une carte de fidelite. Ce contenu additionnel bascule la communication dans le regime de la prospection, avec les regles d'opt-in qui s'appliquent normalement au SMS marketing. Notre article sur les regles RGPD specifiques au SMS detaille ce regime et ses exceptions.
5. Listes de no-show et profilage des clients a risque
De nombreux outils de reservation permettent de suivre les rendez-vous non honores et de signaler un client comme « a risque ». Cette pratique est licite dans son principe, mais elle merite une vigilance particuliere lorsqu'elle devient automatique : si un algorithme refuse seul, sans intervention humaine, toute nouvelle reservation d'un client inscrit sur cette liste, ce refus peut constituer une decision entierement automatisee produisant un effet sur la personne, au sens de l'article 22 du RGPD. La solution la plus sure reste de faire valider chaque blocage par un humain, ou de remplacer le refus automatique par la demande d'un acompte pour les clients ayant un historique d'absences.
6. Allergies, handicap, motif de visite : des donnees particulieres
Une allergie alimentaire, un besoin d'acces adapte au handicap ou le motif d'une consultation medicale ou paramedicale constituent des donnees concernant la sante au sens de l'article 9 du RGPD, une categorie particuliere soumise a des conditions de traitement renforcees. Cela ne signifie pas qu'il est interdit de les demander : un restaurant peut legitimement interroger ses clients sur une allergie pour adapter un plat, et un professionnel de sante doit evidemment connaitre le motif de la visite. La regle operationnelle est differente : ne jamais rendre cette information obligatoire pour reserver, limiter strictement son acces aux personnes qui en ont besoin pour preparer la prestation, et ne jamais la reutiliser a une autre fin, par exemple un profilage commercial par type de regime alimentaire.
7. Duree de conservation de l'historique des rendez-vous
L'historique des rendez-vous passes rend service a l'etablissement (suivi client, statistiques de frequentation) mais ne peut pas etre conserve indefiniment. En l'absence de relation active avec le client, les donnees associees a une reservation ponctuelle doivent etre supprimees ou anonymisees apres un delai justifie par la finalite (par exemple quelques mois pour la gestion des litiges lies au rendez-vous), independamment des obligations comptables distinctes qui peuvent imposer de conserver la facture elle-meme plus longtemps. Notre article sur les durees de conservation des donnees clients detaille les delais applicables selon la categorie de donnees.
Votre systeme de reservation est-il vraiment conforme ?
ConformiteFacile vous aide a cadrer les bases legales, le contrat de sous-traitance et les durees de conservation de votre outil de reservation en quelques minutes.
Mettre mon site en conformiteQuestions frequentes
Dois-je demander un consentement RGPD avant d'accepter une reservation en ligne ?
Non, pas pour la reservation elle-meme. La collecte du nom, du telephone et de l'email necessaires pour honorer la reservation repose sur l'article 6.1.b du RGPD (execution d'un contrat ou mesure precontractuelle a la demande du client), pas sur le consentement. Le consentement redevient necessaire uniquement si vous souhaitez reutiliser ces coordonnees pour une autre finalite, par exemple l'inscription a une newsletter commerciale.
Un outil comme Calendly, TheFork ou Doctolib est-il mon sous-traitant RGPD ?
Oui dans la quasi-totalite des cas : l'editeur traite les donnees de vos clients pour votre compte et selon vos instructions, ce qui en fait un sous-traitant au sens de l'article 28 du RGPD. Vous devez disposer d'un contrat ou de conditions generales integrant les clauses obligatoires (nature et duree du traitement, mesures de securite, sort des donnees en fin de contrat), et verifier ou ces donnees sont hebergees si l'editeur n'est pas europeen.
Puis-je bloquer automatiquement la reservation d'un client qui a deja fait plusieurs no-show ?
Avec prudence. Si un algorithme refuse automatiquement, sans intervention humaine, toute nouvelle reservation d'un client inscrit sur une liste de no-show, ce refus peut relever d'une decision entierement automatisee produisant un effet sur la personne, au sens de l'article 22 du RGPD. Le plus sur reste de faire valider chaque refus par un humain, ou de demander un acompte plutot que d'exclure automatiquement le client.
Puis-je demander les allergies ou un besoin d'acces PMR au moment de la reservation ?
Oui, si c'est utile a la prestation, mais cette information merite une attention particuliere : une allergie ou un handicap constitue une donnee de sante au sens de l'article 9 du RGPD, soumise a des regles renforcees. Limitez la collecte a ce qui est strictement necessaire, ne la rendez jamais obligatoire pour reserver, et ne la reutilisez jamais a une autre fin que la prestation du jour concerne.
Les SMS et emails de rappel de rendez-vous necessitent-ils un opt-in prospection ?
Non. Un rappel qui porte uniquement sur un rendez-vous deja pris est un message transactionnel lie a l'execution du contrat, pas de la prospection commerciale : il ne necessite pas l'opt-in exige par le Code des postes et des communications electroniques pour les messages publicitaires. Des qu'un message de rappel glisse une offre promotionnelle ou un lien vers d'autres services, en revanche, il bascule dans le regime de la prospection et doit respecter les regles d'opt-in applicables.
A lire aussi
WhatsApp Business et RGPD : ce qu'implique l'utilisation de Meta pour la relation client
Lire
Sondages et enquetes de satisfaction client : ce que le RGPD impose (Typeform, Google Forms, NPS)
Lire