Visibilité et pérennité
Comment concevoir des formulaires de contact conformes au RGPD ?
Un formulaire conforme au RGPD ne se résume pas à une case à cocher. Il faut définir pourquoi les données sont collectées, sur quelle base, qui les utilise, combien de temps et avec quelles protections. Le visiteur doit comprendre l’usage de ses informations, tandis que l’entreprise doit pouvoir tenir le fonctionnement annoncé.
L'essentiel.
- Demandez seulement ce qui est nécessaire à l’étape concernée.
- Le consentement n’est pas la base obligatoire de tous les formulaires ; chaque finalité doit être examinée.
- Reliez l’information affichée aux destinataires, aux outils et aux règles de conservation réellement utilisés.
Définissez une finalité avant de choisir les champs
« Contacter l’entreprise » peut recouvrir plusieurs situations : demander un devis, signaler un problème, postuler ou recevoir une newsletter. Les informations utiles et leur traitement ne sont pas identiques.
Écrivez l’objectif de chaque formulaire en une phrase. Puis justifiez chaque champ par rapport à cet objectif. Une information peut être utile plus tard sans être nécessaire au premier échange.
Cette méthode évite de reprendre un formulaire standard contenant téléphone, adresse complète, budget et pièce jointe obligatoire sans vérifier leur utilité. Le site doit rester adapté au besoin, pas à la richesse du modèle disponible.
Un exemple de formulaire resserré
Pour une demande initiale de projet web fictive, voici une proposition à adapter et à faire valider, pas une déclaration de conformité universelle.
| Champ envisagé | Rôle | Arbitrage possible |
|---|---|---|
| Adresse e-mail | Permettre une réponse | Nécessaire si ce canal est retenu |
| Description du besoin | Comprendre la demande | Texte court avec consigne claire |
| Nom de l’entreprise | Situer le contexte | Facultatif selon le public |
| Téléphone | Proposer un autre contact | Ne pas imposer sans nécessité |
| Document joint | Compléter un sujet précis | Éviter au premier stade si inutile |
La simplification ne consiste pas à supprimer toute qualification. Elle consiste à réserver chaque information au moment où elle est utile. Un formulaire peut être court tout en transmettant une demande exploitable.
Choisissez la base légale adaptée
Il ne faut pas demander mécaniquement « J’accepte le traitement de mes données » pour toute action. La base légale doit correspondre à la finalité et aux circonstances.
La CNIL explique que les mesures précontractuelles demandées par la personne peuvent relever de la base contractuelle lorsque le traitement est nécessaire à ces mesures. Cela ne couvre pas automatiquement une utilisation commerciale supplémentaire des coordonnées. CNIL — Le contrat : dans quels cas fonder un traitement sur cette base légale ?
Une inscription à des communications promotionnelles doit être examinée séparément. Lorsque le consentement est requis, il doit pouvoir être recueilli de façon distincte et non imposée pour obtenir un service qui n’en dépend pas. Faites valider le montage retenu selon vos publics et vos pratiques.
Informez au bon endroit et au bon niveau
L’information doit être accessible au moment de la collecte. Elle doit notamment permettre d’identifier l’organisme, les finalités, la base légale, les destinataires, la conservation ou ses critères et les droits applicables. Les informations particulières, comme certains transferts, dépendent du traitement. CNIL — Informer les personnes
Vous pouvez organiser plusieurs niveaux de lecture : un texte court près du formulaire et une information complète accessible par un lien. Le premier niveau ne doit pas masquer un usage inattendu.
Les exemples publiés par la CNIL peuvent aider à structurer les mentions, mais doivent être adaptés. Ne copiez pas l’identité, la durée ou la base d’un autre organisme comme si elles correspondaient à votre activité. CNIL — Exemples de formulaire de collecte de données à caractère personnel
Organisez le traitement après l’envoi
Identifiez le destinataire, les personnes habilitées et les outils qui reçoivent la demande. Vérifiez les copies automatiques, les notifications et les journaux. Une information annoncée comme limitée à une équipe ne doit pas être diffusée à des comptes sans rôle dans le traitement.
Définissez une règle de conservation correspondant au besoin et au cadre applicable. Évitez de garder toutes les demandes indéfiniment parce que l’outil ne les supprime pas par défaut. Les durées pertinentes doivent être déterminées, pas inventées dans la page de confidentialité.
La connexion au CRM doit respecter ces choix. Un transfert supplémentaire ne devient pas légitime simplement parce qu’il est techniquement facile.
Limitez les risques de saisie et de pièces jointes
Les visiteurs peuvent transmettre spontanément des informations confidentielles. Donnez une consigne adaptée et évitez les champs qui les invitent à fournir des données sensibles sans besoin clairement établi.
Les pièces jointes demandent des contrôles techniques, des accès restreints et une procédure de suppression. Pour un dossier médical, juridique ou particulièrement sensible, un formulaire généraliste peut être inadapté. Le canal doit être choisi avec la compétence nécessaire.
Un dispositif antispam ou une carte intégrée peut lui aussi ajouter un prestataire et des traitements. L’examen du formulaire doit inclure ces composants, ainsi que les traceurs éventuels.
Testez la promesse jusqu’à sa fin
Envoyez une demande de test et vérifiez ce qui arrive réellement, où les données sont stockées et qui peut les consulter. Testez aussi la correction d’une erreur et la manière dont une demande d’exercice des droits sera transmise au bon interlocuteur.
Cette recette ne constitue pas un audit juridique complet, mais elle révèle les écarts entre le texte et le fonctionnement. LVX peut concevoir l’interface et documenter le parcours pour faciliter la validation par votre référent compétent. La conformité exige ensuite que l’organisation conserve cette cohérence dans le temps.
Concevez avec LVX des formulaires utiles et compréhensibles, dont les données et le traitement peuvent être documentés et validés.
