Blog

QR code en magasin, au restaurant ou sur un flyer : ce que le RGPD vous impose avant d'en installer un

Publie le 21/10/2026 · Temps de lecture : 9 min

Carte de fidelite dematerialisee, acces au Wi-Fi invite, menu digital, jeu-concours, redirection vers vos avis Google : le QR code est devenu l'outil marketing le moins cher a deployer dans un commerce, un restaurant ou un salon professionnel. Ce qu'on oublie souvent, c'est que le carre noir et blanc lui-meme n'est jamais vise par le RGPD : c'est ce qu'il y a derriere qui compte. Dans la grande majorite des usages, scanner un QR code ouvre un formulaire, et ce formulaire collecte des donnees personnelles exactement comme n'importe quel autre point d'entree de votre site.

Ce guide fait le tour des usages les plus courants pour une TPE ou une PME, et precise, pour chacun, la base legale a retenir, l'information a afficher et la duree de conservation raisonnable.

Sommaire

• Le QR code n'est qu'un raccourci : c'est la destination qui compte
• Les usages courants et ce qu'ils collectent reellement
• Wi-Fi invite : une obligation qui depasse le RGPD
• Jeu-concours et carte de fidelite : consentement et duree
• Redirection vers vos avis Google : ce que la loi encadre
• Les mentions a afficher pres du QR code
• Le risque de fraude : le quishing
• Checklist avant d'installer un QR code
• Questions frequentes

Le QR code n'est qu'un raccourci : c'est la destination qui compte

Techniquement, un QR code n'est qu'un encodage visuel d'une URL ou d'un texte, au meme titre qu'un lien hypertexte imprime sur un flyer. Il n'a donc, en lui-meme, aucune existence juridique propre au regard du RGPD. La question a se poser n'est jamais « dois-je declarer ce QR code », mais « que se passe-t-il une fois que la personne a scanne ». Si la page affichee est purement informative (un menu, des horaires, un plan d'acces), aucune obligation specifique ne s'ajoute a celles que vous avez deja pour votre site. Si elle demande un nom, un email, un numero de telephone ou une date de naissance, vous venez de creer un nouveau point de collecte de donnees personnelles, qui doit figurer dans votre registre des traitements au meme titre que votre formulaire de contact.

Cette distinction simple evite l'erreur la plus frequente : traiter tous les QR codes de la meme maniere, alors que leurs obligations varient entierement selon ce qu'ils collectent.

Les usages courants et ce qu'ils collectent reellement

Dans un commerce ou un restaurant, cinq usages reviennent le plus souvent :

• Le menu ou catalogue digital : generalement aucune collecte, sauf si le site mesure l'audience avec des cookies non exemptes (voir notre article sur Google Analytics).
• Le Wi-Fi invite : collecte quasi systematique d'une adresse email ou d'un numero de telephone pour l'authentification, parfois couplee a une inscription newsletter presentee a tort comme obligatoire.
• La carte de fidelite dematerialisee : nom, email, date de naissance, historique d'achats.
• Le jeu-concours : coordonnees completes, parfois une photo ou une adresse postale pour l'envoi du lot.
• La redirection vers un avis Google ou Trustpilot: aucune donnee collectee par vous directement, mais un lien vers une plateforme tierce qui, elle, traite les donnees du client qui laisse son avis.

Pour chacun de ces usages, l'obligation centrale reste la meme : informer la personne de la finalite exacte avant qu'elle ne saisisse ses donnees, conformement a l'article 13 du RGPD.

Wi-Fi invite : une obligation qui depasse le RGPD

Proposer un reseau Wi-Fi gratuit accessible par QR code place votre etablissement dans une situation particuliere : vous devenez, pour ce reseau, assimilable a un fournisseur d'acces a internet au sens du Code des postes et des communications electroniques (CPCE). Au-dela du RGPD, cette qualification peut entrainer une obligation de conservation de certaines donnees de connexion, destinee a permettre une identification en cas d'usage illicite du reseau par un utilisateur. Le regime exact de cette obligation a evolue ces dernieres annees au gre de plusieurs decisions europeennes et nationales : plutot que de vous fier a une duree precise qui pourrait avoir change, demandez a votre prestataire de borne Wi-Fi ou a votre operateur quelle configuration il applique par defaut, et assurez-vous simplement que l'utilisateur est informe, avant de se connecter, que l'usage du reseau peut etre trace a des fins de securite.

Cote RGPD a proprement parler, si le formulaire de connexion demande un email pour, en realite, l'inscrire a une newsletter, cette seconde finalite doit etre presentee de maniere distincte, avec une case de consentement separee et non precochee : on ne peut pas conditionner l'acces au Wi-Fi a l'acceptation d'emails commerciaux.

Jeu-concours et carte de fidelite : consentement et duree

Un jeu-concours accessible par QR code (scan d'une table, d'une etiquette produit, d'une affiche) reste un traitement de donnees personnelles soumis a l'article 6 du RGPD. La base legale la plus adaptee est generalement l'execution du contrat que constitue le reglement du jeu (livraison du lot aux gagnants), ce qui ne necessite pas de case de consentement pour cette seule finalite. En revanche, toute exploitation ulterieure des coordonnees a des fins commerciales exige un consentement explicite et distinct, recueilli via une case non precochee dans le formulaire de participation.

Pour une carte de fidelite dematerialisee, la logique est comparable : la collecte du nom, de l'email et de l'historique d'achats s'appuie sur l'execution du programme de fidelite (base contractuelle ou interet legitime selon le montage retenu), mais l'envoi d'offres promotionnelles par email reste soumis aux regles d'opt-in detaillees dans notre article sur l'e-mailing et le RGPD. La duree de conservation recommandee correspond a la duree de la relation commerciale active, generalement trois ans a compter du dernier contact, au-dela de laquelle les donnees doivent etre supprimees ou anonymisees.

Redirection vers vos avis Google : ce que la loi encadre

Un QR code qui redirige directement vers la page « laisser un avis » de votre fiche Google Business Profile ne vous fait pas collecter de donnees personnelles : c'est Google qui traite les donnees du client au moment ou il redige son avis. L'encadrement juridique porte alors sur la maniere dont vous sollicitez cet avis, pas sur le QR code lui-meme. La DGCCRF et la norme NF Z74-501 interdisent de filtrer la collecte pour n'orienter vers la publication que les avis positifs, ou d'offrir une contrepartie (reduction, cadeau) en echange d'un avis favorable. Notre article dedie aux avis clients en ligne detaille ces obligations et les sanctions encourues.

Les mentions a afficher pres du QR code

Lorsque le QR code ouvre un formulaire de collecte, l'article 13 du RGPD impose d'informer la personne avant qu'elle ne saisisse ses donnees, et non apres. En pratique, deux options respectent cette exigence :

• une mention courte directement sous le QR code physique (sur le flyer, l'autocollant de table ou l'affiche), par exemple « En scannant ce code, vous acceptez de recevoir nos offres par email. Voir notre politique de confidentialite » ;
• a defaut de place suffisante sur le support physique, une premiere page intermediaire affichee immediatement apres le scan, avant tout champ de saisie, qui rappelle la finalite et renvoie vers la politique de confidentialite complete.

Dans tous les cas, le lien vers votre politique de confidentialite doit rester accessible depuis cette page intermediaire, exactement comme depuis le pied de page de votre site.

Le risque de fraude : le quishing

Le quishing (contraction de « QR code » et « phishing ») consiste a recouvrir un QR code legitime d'un autocollant frauduleux redirigeant vers un faux site de paiement ou de collecte de donnees bancaires. La CNIL et l'ANSSI alertent regulierement sur cette technique, en forte progression depuis que les QR codes se sont generalises dans la restauration et le stationnement. Si un client est victime d'un QR code frauduleux substitue au votre, la responsabilite penale revient a l'auteur de la substitution. Mais en tant qu'exploitant du support, l'article 32 du RGPD vous impose des mesures de securite proportionnees : controler visuellement vos QR codes affiches, preferer un support durable (gravure, impression sur le menu) a un simple autocollant facile a recouvrir, et retirer immediatement tout support dont l'aspect a ete modifie sans votre intervention.

Checklist avant d'installer un QR code

• Verifier ce qui se trouve reellement derriere le code (page informative ou formulaire de collecte).
• Si un formulaire est present, identifier la ou les finalites exactes (fidelite, jeu, Wi-Fi, newsletter).
• Separer la finalite principale de toute finalite commerciale annexe, avec une case de consentement distincte pour cette derniere.
• Afficher une mention d'information claire sur le support physique ou sur une page intermediaire avant la saisie.
• Fixer et documenter une duree de conservation pour les donnees collectees.
• Verifier regulierement que le support physique du QR code n'a pas ete remplace par un tiers.

Questions frequentes

A lire aussi

Collecte de donnees & RGPD

Formulaire de contact : les mentions RGPD a afficher pour etre en conformite

Lire

Profilage & decisions automatisees

Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir

Lire

E-mailing & prospection

Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee

Lire