Notre formulaire de contact est-il conforme au RGPD ?

« Nous sommes un cabinet d'architectes de six personnes. Le formulaire de contact de notre site demande le nom, l'e-mail, le téléphone et un message, et tout arrive dans la boîte mail de l'accueil. Il y a aussi une case pour s'inscrire à notre lettre d'information. On nous a dit qu'il fallait une « mention RGPD » et une case à cocher : qu'est-ce qui est vraiment obligatoire ? »

La situation, telle qu'on la raconte à une IA

Quelles règles s'appliquent à un simple formulaire ?

Dès qu'un formulaire recueille un nom ou une adresse e-mail, il traite des données personnelles : le RGPD s'applique, quelle que soit la taille de l'entreprise ou de l'association. Quatre de ses règles concernent directement le formulaire¹ :

• ne collecter que les données nécessaires (principe de minimisation, article 5) ;
• informer la personne au moment de la collecte (article 13) ;
• protéger les données contre les accès non autorisés et les fuites (article 32) ;
• encadrer par contrat les prestataires qui les traitent pour vous (article 28).

Pour répondre, nul besoin du consentement de la personne : le traitement repose sur sa demande elle-même ou sur votre intérêt légitime à lui répondre (article 6)¹.

Quelles informations demander ?

Le nom, l'adresse e-mail et le message suffisent en général pour répondre. Le téléphone, le nom de l'entreprise ou l'adresse d'un projet peuvent être utiles, mais plutôt en champs facultatifs. Distinguez clairement les champs obligatoires, par exemple avec un astérisque expliqué sous le formulaire, comme le propose la CNIL².

Évitez les champs « au cas où » (date de naissance, adresse complète) : chaque donnée en plus doit être justifiée, protégée et supprimée à temps. Et comme un visiteur peut écrire dans le message des informations sensibles, sur sa santé par exemple, une phrase sous le champ peut l'inviter à ne pas le faire.

Que doit dire la mention sous le formulaire ?

L'article 13 du RGPD liste ce que la personne doit savoir au moment où elle remplit le formulaire¹, et la CNIL en propose des exemples à adapter² :

• qui traite les données : le nom et les coordonnées de votre organisme, et ceux de votre délégué à la protection des données si vous en avez un ;
• pourquoi, et sur quelle base légale ;
• qui les reçoit : l'équipe concernée, vos prestataires ;
• combien de temps vous les gardez ;
• les droits de la personne (accès, rectification, effacement, opposition, limitation) et comment les exercer ;
• la possibilité d'adresser une réclamation à la CNIL ;
• les transferts hors de l'Union européenne, s'il y en a.

La CNIL admet deux niveaux : l'essentiel sous le formulaire, le détail sur une page de confidentialité accessible par un lien². Par exemple : « Vos données servent uniquement à répondre à votre demande et sont supprimées au bout de trois ans au plus. Pour y accéder, les corriger ou les effacer : [adresse]. En savoir plus : [lien]. »

Faut-il une case à cocher ?

Pour répondre à la demande, non. Une case « J'ai lu et j'accepte la politique de confidentialité » n'est pas exigée par le RGPD : l'information se donne, elle ne s'accepte pas, et elle ne remplace jamais la mention. Une case devient nécessaire pour réutiliser les coordonnées :

• Lettre d'information ou offres par e-mail à des particuliers : il faut leur consentement préalable, par une case non cochée par défaut, et chaque envoi doit permettre de se désinscrire simplement³. Vous devez pouvoir prouver ce consentement (article 7 du RGPD)¹.
• E-mails de prospection à des professionnels : pas de consentement préalable si l'offre a un rapport avec leur métier, mais une information au moment de la collecte et un moyen simple de s'y opposer³.
• Démarchage téléphonique de particuliers : depuis le 11 août 2026, il faut leur consentement préalable, valable un an au plus, sauf exceptions comme un contrat en cours⁴. Rappeler une personne qui l'a demandé reste possible sous conditions strictes : selon la CNIL, dans un délai de cinq jours ouvrables et pour les seuls biens ou services concernés⁴.

Combien de temps garder les messages ?

Le RGPD ne fixe pas de durée : c'est à vous de la définir et de l'annoncer. Pour les échanges commerciaux, la CNIL donne un repère : les données d'un prospect peuvent être gardées trois ans à compter de leur collecte ou du dernier contact venant de lui, celles d'un client pendant la relation commerciale puis trois ans⁵. Une question ponctuelle sans suite n'a pas de raison d'être gardée aussi longtemps.

La durée vaut pour toutes les copies : la boîte mail qui reçoit les messages, la base de données de l'extension de formulaire, le CRM, les exports. Une suppression automatique évite d'y penser.

Les pièges techniques : chiffrement, captcha, outils

• Le chiffrement : la CNIL demande de mettre en œuvre le protocole TLS (le « https ») sur tous les sites, et de l'imposer sur les pages qui transmettent des données personnelles⁶.
• Le captcha : le reCAPTCHA de Google est soumis au consentement ; la CNIL a sanctionné en 2023 une société qui l'utilisait sans accord⁷. Un champ piège invisible pour les humains ou une limite du nombre d'envois évitent ce traceur.
• L'outil de formulaire : certaines extensions enregistrent les messages en plus de les envoyer par e-mail. Un service en ligne (formulaire hébergé, CRM) est votre sous-traitant : contrat conforme à l'article 28¹, lieu d'hébergement connu, transferts hors de l'Union encadrés.
• La boîte mail : accès réservé aux personnes qui traitent les demandes, chacune avec son mot de passe.
• Les mises à jour : la CNIL recommande de limiter le nombre de composants du site et de les tenir à jour⁶.

Que risque-t-on ?

Le RGPD impose de répondre à une demande d'accès, de rectification ou d'effacement dans un délai d'un mois, prolongeable de deux mois si elle est complexe¹. Sur les 23 sanctions de sa procédure simplifiée annoncées le 6 juillet 2026, la CNIL en compte 19 faisant suite à une plainte, et 8 pour des demandes d'accès ou d'effacement restées sans réponse ou traitées en retard⁸. Dans cette procédure, l'amende peut atteindre 20 000 € pour une entreprise dont le chiffre d'affaires est inférieur à 50 millions d'euros⁹.

Les limites : ce qui dépend de votre cas

Certains formulaires demandent plus de précautions : ceux qui recueillent des données de santé ou de mineurs, des candidatures, ou des demandes transmises à des partenaires. Les règles de prospection dépendent aussi du secteur : le démarchage téléphonique est par exemple interdit dans la rénovation énergétique⁴. Dans ces cas, ou face à une plainte, demandez l'avis d'un délégué à la protection des données ou d'un avocat.

Et chez Prestalgo ?

Chaque site créé par Prestalgo est livré avec son formulaire de contact et ses pages légales (voir création de site internet). Sur prestalgo.fr, le formulaire repose sur la demande elle-même, les coordonnées ne sont ni vendues ni transmises à des tiers, et chaque demande est supprimée automatiquement trois ans après son envoi. Pour un site existant, l'audit RGPD, dès 500 € HT, vérifie vos formulaires, vos mentions et vos outils, et nous pouvons faire les corrections, dont la suppression automatique des données anciennes. Voir la page Tarifs.

Questions fréquentes

Alexandre Gougeon, fondateur de Prestalgo, développeur full stack depuis 2015. Prestalgo fait tourner et maintient les applications de SAUVLife, Youngs Job et Groume.