Formulaire de contact RGPD : mentions et contrôles

Un formulaire de contact n’exige pas systématiquement une case de consentement. Pour répondre à une demande de devis, vous pouvez utiliser les données nécessaires sur le fondement des mesures précontractuelles demandées par la personne. Une inscription à une newsletter constitue une autre finalité. La conformité repose sur une collecte limitée, une information accessible, un circuit sécurisé et une suppression organisée.

Une case « J’accepte la politique de confidentialité » ne résout pas ces questions. L’information décrit le traitement ; le consentement l’autorise seulement lorsque cette base est pertinente.

Choisir la base légale de la réponse

La base dépend de la demande et du contexte. L’Art. 6(1)(b) du RGPD peut couvrir les mesures précontractuelles prises à la demande de la personne, par exemple les informations nécessaires à son propre devis. L’Art. 6(1)(f) peut convenir à certaines demandes générales adressées à une entreprise après analyse de l’intérêt légitime. Une personne publique peut relever d’un autre fondement. Ne cochez donc pas « consentement » par défaut dans tous les formulaires. RGPD, chapitre II.

Pour formaliser ce choix, notre guide de la base légale d’un traitement permet de distinguer l’objectif de l’entreprise de ce qui est nécessaire à la réponse.

Exemple hypothétique : une personne sollicite le prix d’une prestation. Son adresse sert à répondre ; son inscription permanente à une newsletter est une autre opération. La première demande n’autorise pas toutes les communications futures.

Prévoir une information courte et un second niveau

L’Art. 13(1) et (2) du RGPD fixe les informations à fournir lors de la collecte directe : responsable, finalités, base légale, destinataires, durée ou critères, droits et autres éléments applicables. Le caractère obligatoire des champs et les conséquences d’une absence de réponse doivent aussi être expliqués. RGPD, chapitre III.

La CNIL admet une information en plusieurs niveaux. Le premier doit donner les éléments essentiels et rendre le complément directement accessible ; renvoyer discrètement à une politique générale ne suffit pas si elle ne permet pas de comprendre ce formulaire. Conseils CNIL sur la transparence.

Voici un exemple fictif pour une menuiserie préparant un devis demandé par un particulier. La durée indiquée est un choix pédagogique à justifier, pas un délai légal :

La menuiserie Atelier Exemple utilise votre adresse électronique et votre message pour préparer le devis que vous demandez. Les champs marqués d’un astérisque sont nécessaires pour vous répondre. Notre équipe commerciale traite votre demande sur la base des mesures précontractuelles sollicitées. Si le projet n’aboutit pas, nous supprimons le dossier courant six mois après sa clôture, sauf conservation justifiée d’éléments nécessaires à un litige. Consultez notre notice pour connaître les destinataires et exercer vos droits.

Cet exemple est une trame à adapter, pas une notice complète prête à publier. La notice liée doit notamment préciser l’identité et les coordonnées réelles de l’entreprise, les coordonnées du DPO s’il existe, les prestataires ou catégories de destinataires, les transferts éventuels et leurs garanties, les droits applicables et la possibilité de saisir la CNIL. Le visiteur doit pouvoir la lire avant l’envoi, sur mobile comme sur ordinateur.

Réduire les champs et les copies

Demandez uniquement les informations utiles à la réponse. Un téléphone peut être facultatif si le service répond par email. Une adresse postale complète n’est généralement pas nécessaire à une première question. Expliquez les pièces utiles plutôt que d’ouvrir un dépôt de documents sans indication.

Examinez aussi le circuit invisible : notification dans plusieurs boîtes, copie CRM, ticket support, feuille de calcul, sauvegarde de l’extension. Chaque copie augmente le travail de sécurisation et de suppression. La minimisation s’applique à la collecte et aux accès, pas seulement à la longueur visible du formulaire.

Pour la menuiserie de notre exemple, la fiche de conception pourrait être remplie ainsi :

Il n’existe pas une durée légale universelle de douze mois pour tous les formulaires. Une demande sans suite, une réclamation et un échange ayant abouti à un contrat n’ont pas nécessairement le même cycle.

Dérouler une demande du premier message à sa clôture

Exemple hypothétique. Une particulière souhaite faire installer une bibliothèque. Elle précise la largeur approximative du mur et son budget indicatif. À cette étape, la menuiserie n’a besoin ni d’une pièce d’identité ni de connaître tous les occupants du logement. Elle peut discuter du projet avant de demander l’adresse nécessaire au déplacement.

Le formulaire propose « Recevoir une réponse par email » par défaut et un choix facultatif « Je préfère être rappelé ». Le téléphone devient nécessaire seulement pour ce second parcours. Ce raisonnement rend la mention « obligatoire » compréhensible : le champ correspond à une action choisie, pas à une réserve de coordonnées pour les commerciaux.

Après envoi, un identifiant de demande est créé. La notification reçue par les commerciaux renvoie au dossier sécurisé plutôt que de recopier tout le texte et ses pièces jointes dans plusieurs boîtes. Le chargé du projet vérifie le message et demande uniquement les précisions manquantes. Il ne transforme pas le budget déclaré en segment publicitaire permanent.

La cliente accepte ensuite une visite technique. L’adresse est ajoutée au dossier pour organiser cette visite. Si elle signe, les éléments nécessaires rejoignent le dossier contractuel selon ses règles de conservation. Si elle renonce, le chargé du projet marque la date de clôture : la suppression ne dépend plus d’un souvenir individuel ou d’une boîte email oubliée.

La règle de six mois retenue dans cet exemple laisse un temps de traitement des échanges tardifs ; elle doit être confrontée au cycle réel de l’entreprise. Si des éléments sont nécessaires pour défendre un droit, l’entreprise les sélectionne et restreint leur accès dans une archive distincte. Elle ne conserve pas automatiquement l’intégralité des messages au motif qu’un contentieux est toujours imaginable. Ces décisions mettent en œuvre la limitation des finalités, la minimisation et la conservation de l’Art. 5(1)(b), (c) et (e).

Traiter les demandes incomplètes ou mal orientées

Si l’adresse est incorrecte, n’exportez pas le message vers un outil d’enrichissement pour retrouver la personne. Signalez l’erreur de format avant l’envoi lorsque c’est possible ; après un échec de distribution, classez la demande comme non joignable et appliquez une durée adaptée. Un accusé de réception à l’écran doit permettre au visiteur de savoir si la demande a été enregistrée.

Si un candidat utilise le formulaire commercial, orientez-le vers le canal de recrutement. Évitez que son CV reste simultanément dans le CRM marketing et les archives de l’équipe commerciale. Si le message contient des documents médicaux ou bancaires sans utilité pour le devis, demandez une version limitée et supprimez les éléments inutiles des copies courantes. Les données sensibles relèvent en plus des conditions de l’Art. 9 ; leur envoi spontané ne rend pas toutes leurs réutilisations permises.

Pour les photos d’un logement, indiquez avant le dépôt de ne pas montrer de personnes ou de documents personnels. Vous pouvez d’abord demander un plan sommaire et ne proposer un dépôt sécurisé que si une image apporte réellement quelque chose. La bonne question est ce qui permet de répondre, non ce que l’extension du formulaire permet d’accepter.

Séparer la demande et les offres commerciales

Si vous proposez une newsletter, présentez ce choix séparément et ne conditionnez pas la réponse à l’inscription. En prospection électronique, les règles diffèrent selon la cible et le contexte : accord préalable des particuliers en principe, exception encadrée des clients pour des produits analogues, régime professionnel sous conditions. Règles CNIL sur la prospection électronique.

Pour éviter les erreurs de parcours, conservez deux événements dans votre système : demande reçue et, lorsqu’il a été donné, accord commercial. La création d’un contact CRM ne doit pas déclencher automatiquement une séquence marketing.

Adaptez les contrôles au parcours : la fiche QR code d’inscription à un événement suit la collecte depuis le support physique ; celle sur la visibilité de la liste des inscrits examine les destinataires ; le guide quiz marketing et données sensibles aide à revoir les questions posées.

Contrôler l’antispam et les outils intégrés

Un formulaire peut charger un CAPTCHA, une vidéo, un gestionnaire de balises ou un outil de suivi avant même l’envoi. Examinez les requêtes, les cookies et les destinataires de données. Un bouton antirobot n’est pas une certification de conformité de l’ensemble du parcours.

Commencez par les mesures nécessaires à votre risque réel, puis justifiez les données supplémentaires. Le dossier sur reCAPTCHA et les alternatives détaille ce choix technique.

Un prestataire hébergeant le formulaire ou les demandes doit être qualifié selon son rôle. Lorsqu’il traite les données pour votre compte, les instructions, accès, sous-traitants, suppression et assistance doivent être encadrés conformément à l’Art. 28(3). Vérifiez aussi les garanties de sécurité de l’Art. 32(1), notamment les habilitations et la protection des pièces jointes. Source : RGPD, chapitre IV.

Une recette de livraison avec des résultats attendus

Avant ouverture au public, le responsable du formulaire et le développeur parcourent ensemble quatre situations fictives : une demande ordinaire, un rappel téléphonique facultatif, une demande sans accord newsletter et une suppression à échéance. Pour chacune, conservez la version de la notice, le résultat et les outils effectivement alimentés.

La demande sans accord marketing doit recevoir sa réponse normale sans entrer dans une campagne. Le champ téléphone doit pouvoir rester vide dans le parcours email. La suppression doit atteindre l’outil du formulaire et ses exports courants, pas seulement masquer la fiche à l’écran. Enfin, le refus des traceurs facultatifs ne doit pas rendre le formulaire inutilisable si son fonctionnement ne les exige pas.

Si l’un de ces contrôles échoue, bloquez la fonction concernée avant lancement : désactivez l’inscription automatique au marketing, corrigez le caractère obligatoire du champ ou la suppression. Gardez un moyen de contact fonctionnel pendant la correction. Si des données ont été envoyées à un destinataire indu, faites qualifier l’incident ; la seule suppression ultérieure ne dispense pas d’examiner une éventuelle violation de données.

Ce qu’il faut retenir

• Définissez la demande et sa base légale avant d’ajouter une case.
• Rendez l’information accessible au moment de la collecte.
• Limitez les champs, les copies et la conservation selon le besoin réel.
• Séparez la réponse attendue de l’inscription commerciale facultative.

FAQ

La case de consentement est-elle obligatoire ?

Pas lorsque la réponse repose valablement sur une autre base légale. Une case attestant la lecture de la politique ne remplace ni l’information ni l’analyse du traitement.

Peut-on envoyer ensuite une newsletter au demandeur ?

La demande de contact ne suffit pas à elle seule. Vérifiez les règles applicables à cette prospection et recueillez un accord distinct lorsqu’il est requis.

Faut-il une entrée de registre par formulaire ?

Pas nécessairement. L’entrée doit décrire correctement l’activité de traitement ; plusieurs formulaires peuvent relever de la même activité s’ils ont un fonctionnement et des finalités cohérents.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.