L’ouverture de certains établissements situés dans les zones d’alerte maximale dépend dorénavant du respect d’un protocole sanitaire renforcé. Il comprend notamment la tenue d’un « cahier de rappel » papier ou non (ex : formulaire en ligne, QR code, etc.), qui constitue un traitement de données personnelles soumis à la réglementation (RGPD et loi Informatique et Libertés) des clients, conditionnant leur accès à l’établissement.

La CNIL vient donc d'émettre ses recommandations en la matière, les règles à respecter, ainsi qu'un « modèle » à cet effet. Elle rappelle que ces « cahiers » ne doivent collecter que les seules données nécessaires, à savoir l’identité de la personne (nom/prénom) ainsi que son numéro de téléphone, et qu'« il est interdit de collecter davantage de données ».

Elle rappelle par ailleurs que les informations collectées « doivent uniquement être utilisées pour faciliter la recherche des « cas contacts », lorsque les  autorités sanitaires en font la demande », et que « toute autre utilisation (ex : inviter les clients à une soirée à thème, faire des promotions sur les menus proposés, transmettre les données à des partenaires commerciaux, envoyer un questionnaire de satisfaction aux clients, etc.) est strictement interdite ».  

En outre, « les clients doivent être informés de l’objet de cette collecte et des droits dont ils disposent concernant leurs données », qu'elle doit être « claire, précise et simple », et comporter :

• l’identité et les coordonnées de l’établissement ;
• l’objectif de la collecte des données (faciliter le traçage des « cas contacts par les autorités sanitaires) ;
• la durée de conservation des données (14 jours) ;
• les droits dont dispose la personne concernée (notamment le droit d’accès et de rectification) ;
• les éventuels destinataires, et en particulier à quelles autorités sanitaires pourraient être transmises ces données au cas où une infection à la COVID-19 serait détectée.

Lesdites données devront donc être « détruites au bout de 14 jours », mais également sécurisées entre-temps, de sorte d'éviter que « chacun ait accès aux coordonnées de l’ensemble des clients présents au même moment que lui » : 

Qu’il s’agisse d’un « cahier de rappel » papier ou non, les informations renseignées par les clients ne doivent pas être accessibles et consultées par l’ensemble du personnel de l’établissement, mais uniquement à des personnes spécifiquement identifiées (ex : le gérant de l’établissement).

À toutes fins utiles, la CNIL propose à ce titre deux formulaire-types, utilisables par les établissements soumis (ou non) au protocole sanitaire renforcé.