Mention RGPD sous un formulaire de contact : contenu obligatoire et modèle
Un formulaire de contact collecte des données personnelles : nom, adresse e-mail, téléphone, parfois le contenu d’un message. L’article 13 du RGPD impose d’informer la personne au moment de la collecte. En pratique, cela passe par une courte mention placée sous le formulaire et par une politique de confidentialité complète. Voici ce qu’elle doit dire, un modèle à adapter et les erreurs à éviter.
Ce que la mention doit contenir
L’information complète due au titre de l’article 13 comprend notamment :
- l’identité et les coordonnées du responsable de traitement (et du DPO s’il en existe un) ;
- les finalités et la base légale du traitement ;
- les destinataires des données ;
- les éventuels transferts hors de l’Union européenne ;
- la durée de conservation ;
- les droits de la personne (accès, rectification, effacement, opposition, limitation, portabilité) et le droit d’introduire une réclamation auprès de la CNIL ;
- le caractère obligatoire ou facultatif des champs.
Tout ne doit pas figurer sous le formulaire. La CNIL recommande une approche en deux niveaux : l’essentiel à proximité immédiate du bouton d’envoi, le reste dans la politique de confidentialité.
Modèle de mention à adapter
« Les informations recueillies dans ce formulaire sont traitées par [nom de l’entreprise] pour répondre à votre demande et, le cas échéant, assurer le suivi de la relation commerciale. Les champs marqués d’un astérisque sont obligatoires. Vos données sont destinées à nos seules équipes [et à notre prestataire d’hébergement / CRM] et sont conservées pendant [3 ans à compter de notre dernier échange]. Vous pouvez accéder à vos données, les rectifier, demander leur effacement ou vous opposer à leur traitement en écrivant à [adresse e-mail]. Vous pouvez également introduire une réclamation auprès de la CNIL. En savoir plus : [lien vers la politique de confidentialité]. »
Ce texte n’est qu’une base : il doit décrire ce qui se passe réellement. Si les demandes arrivent dans un CRM hébergé hors de l’Union européenne, ou si vous envoyez une newsletter aux contacts, la mention doit le dire.
Case à cocher : quand est-elle nécessaire ?
Répondre à une demande ne nécessite pas de consentement. Une case obligatoire « J’accepte le traitement de mes données » est donc inutile, voire trompeuse, car elle laisse croire que le consentement est la base légale.
La situation change pour la prospection par e-mail. Envers un particulier, l’article L34-5 du Code des postes et des communications électroniques impose en principe un consentement préalable : il faut une case distincte, facultative et non pré-cochée, par exemple « J’accepte de recevoir les actualités et offres de [entreprise] par e-mail ». Envers un professionnel, la prospection est possible sans consentement préalable si le message est en rapport avec sa profession, à condition qu’il ait été informé et puisse s’y opposer simplement. Le détail figure dans notre page formulaires et prospection.
Les champs du formulaire
Le principe de minimisation impose de ne collecter que ce qui est nécessaire. Pour un formulaire de contact, l’adresse e-mail (ou le téléphone) et le message suffisent souvent. Date de naissance, adresse postale complète ou fonction exacte n’ont généralement pas leur place dans un premier contact. Indiquez clairement les champs obligatoires et évitez les zones de texte libre qui invitent à transmettre des données sensibles quand ce n’est pas utile.
Erreurs fréquentes
- aucune information sous le formulaire, ou seulement un lien générique ;
- case de consentement obligatoire pour pouvoir envoyer le message ;
- inscription automatique à la newsletter, ou case d’inscription pré-cochée ;
- mention qui annonce une durée de conservation que personne n’applique ;
- données envoyées à un outil tiers (CRM, e-mailing, anti-spam) non cité dans la politique ;
- formulaire servi en HTTP ou sans protection contre les envois automatisés.
Ces points font partie des vérifications d’un audit RGPD de site internet. Si vous avez un doute sur un formulaire précis, posez-nous la question.
Questions fréquentes
Faut-il une case à cocher RGPD sous un formulaire de contact ?
Pas pour répondre à la demande. Traiter une demande de contact ou de devis repose généralement sur les mesures précontractuelles ou l’intérêt légitime, pas sur le consentement. Une case « J’accepte la politique de confidentialité » n’apporte rien juridiquement. Une case distincte, non pré-cochée, est en revanche nécessaire si vous voulez utiliser l’adresse e-mail d’un particulier pour de la prospection commerciale.
Peut-on simplement mettre un lien vers la politique de confidentialité ?
La CNIL admet une information à deux niveaux : une mention courte au plus près du formulaire, qui donne l’essentiel (qui, pourquoi, droits), et un lien vers la politique de confidentialité pour le détail. Un lien seul, sans aucune information au premier niveau, est généralement insuffisant.
Combien de temps conserver les données d’un formulaire de contact ?
Le temps nécessaire au traitement de la demande, puis, si la personne devient prospect, jusqu’à trois ans à compter du dernier contact émanant d’elle, selon le référentiel de la CNIL pour la gestion commerciale. Pour un client, la durée de la relation contractuelle, puis les durées d’archivage légales.
Faire vérifier votre site
Un audit du site public relève les écarts visibles (cookies, formulaires, pages juridiques, outils tiers, sécurité apparente) et les classe par priorité, avec les corrections à appliquer.