Le RGPD et le formulaire de contact : les points qui comptent en pratique

Tout formulaire de contact traite des données à caractère personnel : un nom, une adresse e-mail, souvent un numéro de téléphone et un message libre qui peut contenir presque n’importe quoi. Le RGPD n’interdit rien de tout cela, mais il pose quelques exigences – pour le formulaire lui-même, pour ce qui se charge autour de lui et pour ce qu’il advient ensuite du message.

Au niveau du formulaire : informer et demander peu

L’article 13 du RGPD vous impose d’informer les personnes au moment où vous collectez leurs données. Pour un formulaire de contact, cela signifie au niveau du formulaire – et pas seulement via un lien en pied de page tout en bas. L’approche courante est une information à plusieurs niveaux : une courte phrase à côté du bouton d’envoi, par exemple « Nous utilisons vos informations uniquement pour répondre à votre demande – plus de détails dans notre politique de confidentialité », avec un lien vers la politique. Celle-ci couvre ensuite l’ensemble des détails.

Le deuxième principe est la minimisation des données (article 5(1)(c)). Pour répondre, vous avez généralement besoin d’un moyen de répondre et du message lui-même. Un nom est utile, un numéro de téléphone l’est parfois, une adresse postale rarement. Omettez ce dont vous n’avez pas besoin et marquez les champs simplement utiles comme facultatifs. Imaginez un cabinet dentaire dont le formulaire rend le numéro de téléphone obligatoire : toute personne qui préfère l’e-mail est poussée à fournir davantage que ce que la finalité exige.

Répondre à une demande ne nécessite généralement pas de case de consentement

De nombreux formulaires comportent une case obligatoire indiquant « J’accepte le traitement de mes données ». Cela semble prudent, mais c’est généralement le mauvais outil. Lorsque quelqu’un pose une question ou demande un devis, la base juridique est généralement l’article 6(1)(b) – mesures précontractuelles prises à la demande de la personne – ou l’article 6(1)(f), votre intérêt légitime à répondre. Le consentement entraîne ses propres obligations : il doit être donné librement et peut être retiré à tout moment. Les catégories particulières de données sont un cas à part : si un formulaire demande des informations de santé, par exemple dans un cabinet médical ou dentaire, l’Art. 9 RGPD s’applique et la base juridique doit faire l’objet d’un examen distinct.
Le marketing est différent. Une newsletter nécessite un véritable consentement : une case à cocher distincte, non cochée par défaut – le considérant 32 précise que les cases cochées par défaut ne valent pas consentement – et le formulaire doit fonctionner sans elle.

Ce qui se charge par ailleurs sur la page du formulaire

Les champs sont rarement seuls sur la page. Un CAPTCHA d’un fournisseur externe, un pixel publicitaire ou d’analyse ou un outil d’enregistrement de session peuvent s’exécuter pendant que quelqu’un tape. Chacun peut envoyer des données – au moins l’adresse IP – à un tiers, et le stockage ou la lecture d’informations sur l’appareil nécessite en règle générale un consentement en vertu des règles ePrivacy transposées en droit national, en Allemagne et en Pologne comme ailleurs, sauf si cela est strictement nécessaire. L’enregistrement de session est le plus délicat : sans masquage, il peut enregistrer ce que les personnes tapent avant même qu’elles ne cliquent sur Envoyer.
C’est là que la bannière de consentement doit tenir ses promesses : après « Refuser », les pixels doivent rester muets. La question de savoir si un CAPTCHA tiers est strictement nécessaire fait débat. S’il ne se charge qu’après consentement, offrez aux personnes qui ont refusé un autre moyen de vous joindre, par exemple une simple adresse e-mail. Une protection sans tiers – un champ honeypot, un contrôle de durée, un défi de preuve de travail – évite complètement la question.

• Ouvrez la page du formulaire dans une fenêtre de navigation privée, refusez la bannière et consultez l’onglet Réseau des outils de développement : quelles requêtes externes partent encore ?
• Recherchez des pixels publicitaires et d’analyse sur la page du formulaire et sur la page de remerciement après l’envoi.
• Si vous utilisez l’enregistrement de session, assurez-vous que les champs de formulaire sont masqués ou que les pages de formulaire sont exclues.
• Notez quel fournisseur de CAPTCHA se charge, et quand – avant ou après le consentement.
• Mentionnez chaque tiers restant, avec sa finalité, dans votre politique de confidentialité.

Où vont les messages – et combien de temps ils sont conservés

Tout service qui traite les messages pour votre compte – hébergement, fournisseur de messagerie, SaaS de formulaire auquel le formulaire envoie les données, outil d’assistance ou CRM – est un sous-traitant au sens de l’article 28 du RGPD. Vous avez besoin d’un contrat de sous-traitance (DPA) avec chacun d’eux ; la plupart des fournisseurs en proposent un standard. Si des données sont traitées en dehors de l’UE/EEE, le transfert nécessite en outre une base au titre du chapitre V, telle qu’une décision d’adéquation – par exemple le cadre de protection des données UE–États-Unis (Data Privacy Framework) pour les entreprises certifiées – ou des clauses contractuelles types.

Les demandes ne doivent pas être conservées indéfiniment. En vertu du principe de limitation de la conservation (article 5(1)(e)), vous fixez une durée de conservation et supprimez effectivement les données – y compris les copies dans les boîtes aux lettres, les bases de données des plugins et le CRM. Si une demande débouche sur une relation commerciale, les règles commerciales et fiscales – l’Allemagne comme la Pologne en ont – peuvent imposer de conserver une partie de la correspondance pendant des années ; c’est alors cette obligation qui fixe la durée. Enfin, la sécurité : l’article 32 cite le chiffrement comme exemple de mesure appropriée. Un formulaire servi sans HTTPS ou avec un certificat expiré transmet des données à caractère personnel sans protection.

Le scanner formexposed examine plusieurs de ces points depuis l’extérieur : un lien vers la politique de confidentialité au niveau du formulaire, le fait que le refus de la bannière de cookies arrête réellement le pistage, les pixels et outils d’enregistrement de session sur les pages de formulaire, et la visibilité de l’adresse du destinataire dans le code source de la page. Il ne soumet rien. Une vérification gratuite sans compte vous donne le niveau global et les principaux constats relatifs à la protection ; les détails RGPD figurent dans le rapport complet.