Un formulaire de contact paraît anodin : un nom, un e-mail, un message, et le tout arrive dans votre boîte de réception. Pourtant, dès que vous collectez le nom et l'adresse e-mail d'une personne, vous traitez des données personnelles, et le règlement européen sur la protection des données, le RGPD, s'applique, quelle que soit la taille de votre entreprise.
La bonne nouvelle, c'est que pour un formulaire de contact, les obligations restent raisonnables et se règlent une fois pour toutes, à la conception du site. Cet article s'appuie sur le texte du règlement lui-même. Il ne reprend que ce qu'il dit, et signale quand il s'agit d'un choix de votre part.
Pourquoi un formulaire de contact est un « traitement »
Le RGPD s'intéresse à toute information qui se rapporte à une personne identifiable : un nom, une adresse e-mail, un numéro de téléphone, mais aussi le contenu d'un message qui parle d'elle. Collecter, enregistrer, consulter, conserver, transmettre ces informations, c'est les « traiter ». Votre formulaire en fait donc partie, avec tout ce qui se passe ensuite : l'e-mail reçu, sa copie dans votre messagerie, votre tableau de suivi.
Dans ce cadre, vous êtes le « responsable du traitement » : celui qui décide pourquoi les données sont collectées et comment. Les prestataires qui interviennent pour vous (hébergeur du site, service d'envoi des e-mails, messagerie) sont, eux, des sous-traitants, un point que nous reprenons plus bas.
Les principes à respecter
L'article 5 du règlement pose les principes qui valent pour toute collecte. Ceux qui concernent directement un formulaire :
- La finalité : les données doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être réutilisées d'une manière incompatible avec elles. Un e-mail laissé pour obtenir un devis ne devient pas, sans autre base, une adresse de prospection.
- La minimisation : les données doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard de la finalité.
- La limitation de la conservation : elles ne doivent pas être conservées sous une forme permettant d'identifier la personne plus longtemps que nécessaire.
- La sécurité : elles doivent être traitées de façon à garantir une sécurité appropriée, y compris contre l'accès non autorisé et la perte accidentelle.
- La responsabilité : le règlement ajoute que vous devez être en mesure de démontrer que vous respectez ces principes.
Sur quelle base légale répondre aux messages ?
Le traitement n'est licite que s'il repose sur l'une des bases prévues à l'article 6. Deux d'entre elles sont les plus naturelles pour un formulaire de contact :
- Les mesures précontractuelles : le traitement est nécessaire à l'exécution de mesures prises à la demande de la personne avant la conclusion d'un contrat. C'est le cas d'une demande de devis.
- L'intérêt légitime : le traitement est nécessaire aux intérêts légitimes poursuivis par le responsable du traitement, sauf si les droits et libertés de la personne prévalent. C'est un cadre possible pour répondre à une simple question.
C'est à vous de choisir celle qui correspond à votre situation, et de l'indiquer dans l'information que vous donnez. Le consentement (une case à cocher) est une autre base de l'article 6, mais l'article 13 ne l'exige pas : ce qu'il impose, c'est d'informer la personne.
L'information à afficher sous le formulaire
L'article 13 liste ce que vous devez communiquer à la personne au moment de la collecte, et l'article 12 demande que cette information soit concise, transparente, compréhensible et facilement accessible, en termes clairs et simples. Concrètement, les éléments suivants doivent apparaître, sous le formulaire ou dans une politique de confidentialité à laquelle il renvoie clairement.
- Qui êtes-vous : l'identité et les coordonnées du responsable du traitement (et, le cas échéant, d'un délégué à la protection des données).
- Pourquoi : la finalité du traitement, et sa base légale. Si c'est l'intérêt légitime, lequel.
- Qui reçoit les données : les destinataires ou catégories de destinataires, s'il y en a.
- Si les données quittent l'Union européenne : le fait que vous avez l'intention de les transférer vers un pays tiers, l'existence ou non d'une décision d'adéquation de la Commission, ou les garanties appropriées (article 46) et le moyen d'en obtenir une copie.
- Combien de temps : la durée de conservation, ou à défaut les critères utilisés pour la déterminer.
- Les droits de la personne : accès, rectification, effacement, limitation, opposition, portabilité.
- Le droit de réclamation auprès d'une autorité de contrôle (en France, la CNIL).
- Le caractère obligatoire des champs : si la fourniture des données est exigée et quelles sont les conséquences si la personne ne les fournit pas.
Le même article précise que ces obligations ne s'appliquent pas dans la mesure où la personne dispose déjà de l'information. En pratique, on affiche donc une courte mention sous le bouton d'envoi, avec un lien vers la page complète (mentions légales ou politique de confidentialité), plutôt qu'un pavé de texte illisible.
Quels champs demander (et lesquels éviter)
La minimisation est le principe le plus simple à appliquer, et le plus souvent oublié. Pour répondre à une demande, il faut un moyen de répondre (une adresse e-mail), un nom pour s'adresser à la personne, et le message lui-même. Chaque champ supplémentaire doit pouvoir se justifier par la finalité.
- Le téléphone : à demander seulement si vous rappelez réellement, et à marquer facultatif s'il ne conditionne pas la réponse.
- L'adresse postale, la date de naissance, l'entreprise, le budget : posez-vous la question, champ par champ, de ce que vous en feriez. Notre propre formulaire n'a plus de champ « budget » depuis septembre 2026.
- Les cases pré-cochées et les champs obligatoires par habitude : un champ n'est obligatoire que s'il l'est vraiment pour traiter la demande, et la personne doit pouvoir le savoir (d'où l'astérisque et sa mention).
- Les données sensibles : n'invitez pas, dans un champ libre, à détailler une situation de santé, des opinions ou toute information de ce type quand cela n'a aucune utilité pour votre réponse.
Combien de temps garder les messages ?
Le règlement ne fixe aucune durée chiffrée. Il pose le principe (ne pas conserver plus longtemps que nécessaire) et vous oblige à indiquer la durée, ou les critères qui servent à la déterminer. C'est donc à vous de décider, et de vous y tenir.
Un repère de bon sens : une demande qui n'a pas abouti ne se conserve pas indéfiniment, et une relation client suit d'autres règles (comptables, contractuelles) que la simple prise de contact. Choisissez une durée par catégorie, notez-la, et prévoyez une purge réelle, par exemple un tri annuel de la boîte de réception qui reçoit les messages. Une durée affichée sur le site mais jamais appliquée est pire que pas de durée du tout.
Quand quelqu'un demande à voir ou à effacer ses données
Chaque personne peut vous demander l'accès à ses données, leur rectification ou leur effacement, ou s'opposer au traitement. L'effacement (article 17) s'applique dans plusieurs cas listés par le règlement, et l'opposition (article 21) joue notamment quand le traitement repose sur l'intérêt légitime : vous devez alors cesser, sauf à démontrer des motifs légitimes impérieux. Pour la prospection commerciale, l'opposition est un droit à tout moment.
Le délai est précis : vous devez répondre sans retard injustifié et, en tout état de cause, dans un délai d'un mois à compter de la réception de la demande. Ce délai peut être prolongé de deux mois si la complexité ou le nombre de demandes le justifie, à condition d'en informer la personne dans le premier mois en indiquant les raisons. Une demande par voie électronique appelle, si possible, une réponse par voie électronique.
Concrètement : prévoyez une adresse de contact dédiée dans votre mention, sachez où se trouvent les messages (boîte de réception, sauvegardes, tableau de suivi, prestataire d'envoi), et notez la date de réception de chaque demande pour tenir le délai.
Vos prestataires : sous-traitants et transferts hors UE
Dès qu'un outil tiers reçoit les messages de votre formulaire (service d'envoi d'e-mails, messagerie, outil de gestion de contacts, hébergeur), il intervient comme sous-traitant. L'article 28 impose de ne recourir qu'à des sous-traitants présentant des garanties suffisantes, et que le traitement soit encadré par un contrat ou un autre acte juridique qui précise notamment son objet, sa durée, sa nature, sa finalité, les types de données et les catégories de personnes concernées.
Deux vérifications utiles : le prestataire propose-t-il ce cadre contractuel, et où les données sont-elles traitées ? Si elles sortent de l'Union européenne, l'article 13 vous oblige à le dire et à mentionner les garanties qui encadrent le transfert, ainsi que le moyen d'en obtenir une copie. Nommer ses prestataires dans sa politique de confidentialité n'est donc pas une formalité de plus : c'est une exigence du règlement.
Le registre des traitements
L'article 30 demande de tenir un registre des activités de traitement : qui est le responsable, les finalités, les catégories de données et de personnes, les destinataires, les transferts, les durées d'effacement prévues, et si possible les mesures de sécurité. Les entreprises de moins de 250 salariés en sont dispensées, mais pas si le traitement n'est pas occasionnel, ou s'il est susceptible d'engendrer un risque pour les droits et libertés des personnes.
Un formulaire de contact en ligne fonctionne en permanence : il n'est pas occasionnel. Le plus prudent est donc de tenir ce registre, même minuscule : une page qui décrit le formulaire, la finalité, les données, les destinataires, la durée et les prestataires. Cela se fait vite, et c'est aussi la meilleure façon de pouvoir démontrer votre conformité, comme l'article 5 l'exige.
La sécurité, au quotidien
L'exigence de sécurité ne se limite pas au site. Les messages reçus vivent dans une boîte de réception : protégez-la par un mot de passe robuste et une double authentification, limitez les personnes qui y ont accès, et évitez de transférer des messages à des adresses personnelles ou de les copier dans des outils non maîtrisés. Côté site, servez le formulaire en HTTPS et validez les champs côté serveur, pas seulement dans le navigateur.
Notre expérience : le formulaire de ce site
Nous appliquons ces principes à notre propre formulaire, et c'est le plus sûr moyen de vérifier qu'ils sont tenables par une petite structure.
- Peu de champs : le nom, l'adresse e-mail, le type de projet et le message. Le champ « budget » a été retiré en septembre 2026.
- Une mention claire sous le bouton d'envoi, avec un lien vers nos mentions légales, qui détaillent la finalité, les destinataires, la durée et les droits.
- Un prestataire d'envoi nommé dans nos mentions légales, avec le fait qu'il est établi hors de l'Union européenne et que le transfert est encadré par les clauses contractuelles types de la Commission européenne.
- Une durée de conservation écrite : au plus trois ans à compter du dernier contact. C'est notre choix, à nous de le tenir, avec une purge réelle de la boîte de réception.
- Pas de recopie du message dans l'e-mail de confirmation envoyé au visiteur : nous y reprenons seulement ce qui est nécessaire, pour que notre domaine ne serve pas à relayer, vers l'adresse d'un tiers, un texte saisi par n'importe qui.
En résumé : votre checklist
- Ne demandez que les champs dont vous avez réellement besoin pour répondre.
- Marquez les champs obligatoires, et laissez les autres facultatifs.
- Choisissez et écrivez votre base légale (mesures précontractuelles, intérêt légitime…).
- Affichez sous le formulaire une courte mention, avec un lien vers la politique complète.
- Indiquez l'identité du responsable, la finalité, les destinataires, la durée, les droits et le droit de réclamation.
- Nommez vos prestataires et précisez les transferts hors Union européenne et leurs garanties.
- Fixez une durée de conservation, et purgez réellement.
- Prévoyez une adresse de contact pour les demandes de droits, et tenez le délai d'un mois.
- Tenez un petit registre des traitements.
- Sécurisez la boîte qui reçoit les messages.
Cette information va de pair avec celle des mentions légales d'un site professionnel, et avec la question des traceurs que nous traitons dans notre article sur le bandeau cookies. Un formulaire conforme se décide dès la conception du site : c'est ce que nous faisons pour chaque site vitrine : parlons-en.
Sources
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 5, 6, 12, 13, 17, 21, 28, 30 et 77 (EUR-Lex)
- RGPD : exemples de mentions d'information (CNIL, pour aller plus loin : modèles à adapter)
- RGPD en pratique : communiquer en ligne (CNIL, pour aller plus loin)
