RGPD et formulaire de contact : mentions obligatoires + modèle

Ce que le RGPD exige vraiment pour un formulaire de contact

Un formulaire de contact collecte des données personnelles : nom, adresse e-mail, parfois un numéro de téléphone et le contenu du message. Dès la première soumission, votre entreprise devient responsable d’un traitement de données au sens du RGPD — même s’il s’agit de trois messages par mois sur un site vitrine.

Concrètement, le règlement vous impose quatre choses pour ce traitement précis :

• Une base légale valable (article 6 du RGPD) — et, contrairement à une idée reçue tenace, ce n’est généralement pas le consentement ;
• Une information claire des personnes au moment de la collecte (article 13) ;
• La minimisation : ne demander que les données nécessaires (article 5) ;
• La sécurité du circuit emprunté par les données (article 32) et l’encadrement des prestataires qui les touchent (article 28).

Ces obligations s’inscrivent dans la démarche globale de mise en conformité RGPD de l’entreprise ; le formulaire de contact en est simplement le point d’entrée le plus visible — et le plus contrôlable de l’extérieur : n’importe quel visiteur (ou la CNIL) voit en 10 secondes si la mention est présente.

Base légale : pourquoi la case à cocher n’est (souvent) pas nécessaire

C’est l’erreur la plus répandue sur les sites de PME : une case « J’accepte que mes données soient utilisées » sous le formulaire de contact, comme si le consentement était obligatoire partout. Le RGPD prévoit en réalité six bases légales, détaillées dans notre guide de l’article 6 du RGPD, et le consentement n’en est qu’une parmi d’autres.

Pour une simple demande de contact, deux bases sont bien mieux adaptées :

• Les mesures précontractuelles (art. 6.1.b) : le visiteur demande un devis ou des informations avant un éventuel contrat. Vous traitez ses données à sa demande.
• L’intérêt légitime (art. 6.1.f) : répondre aux personnes qui vous écrivent est un intérêt légitime évident de toute entreprise, et le visiteur s’attend précisément à cette utilisation.

La case à cocher redevient obligatoire dès que vous voulez faire autre chose que répondre : inscrire la personne à une newsletter, l’ajouter à une liste de prospection… Nous y revenons plus bas.

Les mentions obligatoires de l’article 13 (tableau complet)

L’article 13 du RGPD liste les informations à fournir au moment où les données sont collectées — donc au niveau du formulaire, pas seulement dans une page enfouie du site. En pratique, la CNIL admet une information « à deux niveaux » : une mention courte sous le formulaire, qui renvoie vers la politique de confidentialité pour le détail.

S’ajoutent, selon les cas : le caractère obligatoire ou facultatif de chaque champ (un astérisque suffit), l’existence d’un transfert hors Union européenne, et les coordonnées du délégué à la protection des données si vous en avez désigné un — question qui se pose lors d’un audit RGPD complet de l’organisation.

Minimisation : ne demandez que ce qui sert à répondre

L’article 5 du RGPD impose que les données collectées soient « adéquates, pertinentes et limitées à ce qui est nécessaire ». Pour un formulaire de contact, le test est simple : chaque champ doit être justifiable par la finalité « répondre à la demande ».

Attention également au champ « message » libre : si votre activité peut amener les visiteurs à y écrire des informations de santé ou d’autres données sensibles (cabinet médical, avocat…), le régime renforcé de l’article 9 du RGPD peut s’appliquer. Un simple avertissement du type « merci de ne pas indiquer d’informations médicales dans ce champ » limite le risque.

Case à cocher : quand oui, quand non

Combien de temps conserver les messages reçus ?

Le RGPD ne fixe aucune durée chiffrée : il exige une durée proportionnée à la finalité. Pour les demandes de contact et de devis, le repère le plus utilisé en pratique s’appuie sur les référentiels de la CNIL en matière de gestion commerciale : 3 ans à compter du dernier contact émanant du prospect. C’est un point de repère courant, pas une règle absolue — une durée plus courte est toujours défendable, une durée plus longue doit être justifiée.

Trois réflexes simples à mettre en place :

• Purger la boîte de réception (ou le CRM) des demandes sans suite au-delà du délai retenu — un rappel calendaire annuel suffit dans une TPE ;
• Vider régulièrement la base de données du site : la plupart des plugins de formulaires (Contact Form 7 avec Flamingo, WPForms, Gravity Forms…) stockent une copie de chaque soumission dans WordPress, souvent oubliée ;
• Distinguer les clients devenus actifs : leurs données basculent sur une autre finalité (exécution du contrat) avec ses propres durées, notamment comptables.

2 modèles prêts à copier + générateur de mention

Modèle n°1 : la mention courte sous votre formulaire

Voici un modèle générique de mention d’information de premier niveau, à adapter (remplacez les crochets) et à placer juste au-dessus du bouton « Envoyer ». Il couvre les exigences de l’article 13 en renvoyant au second niveau d’information.

Les données saisies dans ce formulaire sont traitées par [Nom de la société] afin de répondre à votre demande de contact ou de devis, sur la base de son intérêt légitime et des mesures précontractuelles prises à votre demande. Elles sont destinées à notre équipe et à nos prestataires techniques, et conservées au maximum 3 ans après notre dernier échange. Vous disposez de droits d'accès, de rectification, d'effacement et d'opposition, à exercer par e-mail à [adresse e-mail de contact]. Vous pouvez également adresser une réclamation à la CNIL (cnil.fr). Pour en savoir plus, consultez notre politique de confidentialité.

Modèle n°2 : le paragraphe complet pour votre politique de confidentialité

La mention courte renvoie vers votre politique de confidentialité. Ce second modèle détaille le traitement « formulaire de contact » à y insérer — dans l’esprit de nos autres modèles de courriers RGPD prêts à l’emploi.

Formulaire de contact

Responsable de traitement : [Nom de la société], [forme juridique], [adresse du siège], représentée par [nom du dirigeant].

Données collectées : nom, adresse e-mail, numéro de téléphone (facultatif) et contenu de votre message. Les champs obligatoires sont signalés par un astérisque ; à défaut, nous ne pouvons pas traiter votre demande.

Finalité : répondre à vos demandes de contact, d'information ou de devis, et en assurer le suivi.

Base légale : l'intérêt légitime de [Nom de la société] à répondre aux personnes qui la sollicitent (article 6.1.f du RGPD) et, pour les demandes de devis, les mesures précontractuelles prises à votre demande (article 6.1.b).

Destinataires : les personnes en charge du traitement des demandes au sein de [Nom de la société], ainsi que nos sous-traitants techniques (hébergeur du site, outil de messagerie), qui n'y accèdent que dans la mesure nécessaire à leurs prestations.

Durée de conservation : 3 ans à compter de votre dernier contact. Si votre demande aboutit à une relation contractuelle, vos données sont conservées selon les durées applicables à la gestion des clients.

Vos droits : vous disposez d'un droit d'accès, de rectification, d'effacement, de limitation et d'opposition sur vos données. Vous pouvez les exercer en écrivant à [adresse e-mail de contact], en justifiant de votre identité en cas de doute raisonnable. Vous disposez également du droit d'introduire une réclamation auprès de la CNIL (www.cnil.fr).

Générez votre mention en 30 secondes

Sécurité du formulaire : HTTPS, anti-spam et sous-traitants

La mention légale ne suffit pas : l’article 32 du RGPD impose de sécuriser les données collectées. Pour un formulaire de contact, quatre points concentrent l’essentiel du risque :

• HTTPS obligatoire : un formulaire servi en HTTP transmet nom, e-mail et message en clair sur le réseau. C’est incompatible avec l’obligation de sécurité — et les navigateurs affichent de toute façon « Non sécurisé », ce qui fait fuir vos prospects.
• Anti-spam : un formulaire sans protection (honeypot, CAPTCHA) se remplit de soumissions automatisées qui polluent votre base et peuvent servir de vecteur d’attaque. Si vous utilisez reCAPTCHA de Google, mentionnez-le : l’outil dépose des traceurs.
• Savoir où partent les données : boîte mail du dirigeant ? Copie stockée dans la base WordPress ? Envoi automatique vers un CRM ou un outil d’emailing ? Chaque destinataire technique doit être identifié — c’est aussi ce qui vous permet de rédiger honnêtement la ligne « destinataires » de votre mention.
• Encadrer les sous-traitants (article 28) : hébergeur, agence web qui maintient le site, CRM, outil d’emailing… chacun doit être lié par un contrat comportant les clauses de l’article 28 du RGPD. Les acteurs sérieux (OVHcloud, o2switch, Brevo, HubSpot…) fournissent un « Data Processing Agreement » standard : vérifiez simplement qu’il est signé ou accepté.

Les 4 erreurs qui se voient immédiatement

Mise en conformité de votre formulaire en 6 étapes

1. Listez les champs, supprimez le superfluPassez chaque champ au test de la nécessité : sert-il à répondre à la demande ? Sinon, supprimez-le. Marquez les champs obligatoires d’un astérisque.
2. Déterminez votre base légaleSimple contact ou devis : intérêt légitime / mesures précontractuelles, sans case à cocher. Newsletter ou prospection en plus : case de consentement dédiée, non pré-cochée.
3. Ajoutez la mention courte sous le formulaireCopiez le modèle n°1 (ou générez-le avec l’outil ci-dessus), adaptez les crochets, et liez « politique de confidentialité » vers la page correspondante.
4. Complétez la politique de confidentialitéInsérez le modèle n°2 dans une section « Formulaire de contact ». Vérifiez la cohérence : mêmes destinataires, même durée, même adresse de contact que la mention courte.
5. Cartographiez et encadrez le circuit des donnéesIdentifiez où partent les soumissions (boîte mail, base du site, CRM, outil d’emailing), signez ou vérifiez les DPA de chaque prestataire, contrôlez le HTTPS et l’anti-spam.
6. Instaurez la purge et documentezProgrammez la suppression des demandes au-delà de la durée retenue (site + messagerie + CRM), et inscrivez ce traitement dans votre registre des activités de traitement.

FAQ — RGPD et formulaire de contact

Pour aller plus loin : le guide RGPD pour l’entreprise, les modèles de courriers RGPD, ou votre diagnostic cybersécurité offert pour vérifier que votre site ne laisse rien fuir.