Blog

Formulaire de contact : les mentions RGPD a afficher pour etre en conformite

Publie le 23/10/2026 · Temps de lecture : 9 min

Presque tous les sites de TPE et de PME affichent un formulaire de contact : « demandez un devis », « une question ? », « rappelez-moi ». Ce bloc de trois ou quatre champs est pourtant un traitement de donnees a caractere personnel a part entiere, soumis aux memes obligations que n'importe quel fichier client. L'erreur la plus frequente consiste a considerer qu'un lien vers la politique de confidentialite, perdu dans le pied de page, suffit a couvrir ce formulaire. Ce n'est pas ce que demande le RGPD : l'article 13 impose une information specifique, au moment meme de la collecte.

Voici ce que le texte exige precisement, ou placer ces mentions sur la page, et comment les distinguer des obligations issues de la LCEN.

Sommaire

• 1. Un formulaire de contact est un traitement de donnees
• 2. Les mentions imposees par l'article 13 du RGPD
• 3. Ou et comment afficher ces informations
• 4. Quels champs rendre obligatoires, quels champs rendre facultatifs
• 5. Combien de temps conserver un message de contact
• 6. Consentement, interet legitime : quelle base legale ?
• 7. Le cas particulier de la case « newsletter »
• Questions frequentes

1. Un formulaire de contact est un traitement de donnees

L'article 4 du RGPD definit une donnee a caractere personnel comme toute information se rapportant a une personne physique identifiee ou identifiable. Un nom, une adresse email professionnelle ou personnelle, un numero de telephone : chacun de ces elements, pris isolement, permet deja d'identifier quelqu'un. Le fait que le volume soit faible (quelques messages par semaine pour une TPE, contre des millions d'enregistrements pour une multinationale) ne change rien a la qualification juridique : des la premiere soumission du formulaire, un traitement existe et doit respecter le RGPD au meme titre que la LCEN impose des mentions legales sur le site.

Cela implique trois consequences concretes : le traitement doit figurer dans le registre des traitements de l'entreprise (article 30), il doit reposer sur une base legale precise (article 6), et la personne qui remplit le formulaire doit etre informee avant ou au moment de l'envoi, pas seulement si elle va chercher cette information elle-meme dans un document annexe.

2. Les mentions imposees par l'article 13 du RGPD

Lorsque les donnees sont collectees directement aupres de la personne concernee, ce qui est le cas d'un formulaire de contact rempli par le visiteur lui-meme, l'article 13 du RGPD impose de porter a sa connaissance une liste precise d'informations :

• l'identite et les coordonnees du responsable du traitement (la societe qui exploite le site) ;
• les coordonnees du delegue a la protection des donnees, si l'entreprise en a designe un ;
• la ou les finalites du traitement (ex. « repondre a votre demande de contact ») et la base legale sur laquelle il repose ;
• les destinataires ou categories de destinataires des donnees (ex. « l'equipe commerciale », « notre prestataire d'emailing ») ;
• le cas echeant, l'intention de transferer les donnees hors de l'Union europeenne et les garanties prevues ;
• la duree de conservation des donnees, ou les criteres permettant de la determiner ;
• l'existence des droits d'acces, de rectification, d'effacement, de limitation, d'opposition et de portabilite, ainsi que les modalites pour les exercer ;
• le droit de retirer son consentement a tout moment, lorsque le traitement repose sur le consentement ;
• le droit d'introduire une reclamation auprès de la CNIL ;
• le caractere obligatoire ou facultatif de la fourniture de chaque donnee et les consequences d'une non-fourniture (article 13.2.e) ;
• l'existence, le cas echeant, d'une prise de decision automatisee, y compris un profilage.

Pour un formulaire de contact classique, ce dernier point ne s'applique generalement pas : il concerne des traitements comme le scoring automatique de credit, pas la simple reception d'un message. Le reste de la liste, en revanche, s'applique integralement, meme pour trois champs et un bouton « Envoyer ».

3. Ou et comment afficher ces informations

L'article 12 du RGPD impose que l'information soit fournie « d'une facon concise, transparente, comprehensible et aisement accessible, en des termes clairs et simples ». La CNIL precise dans ses guides pratiques pour les professionnels que cette information doit etre donnee au moment de la collecte, c'est-a-dire a proximite immediate du formulaire, et non uniquement dans un document juridique distinct que le visiteur doit aller chercher de sa propre initiative.

En pratique, la solution la plus lisible consiste a afficher directement sous le formulaire un texte court reprenant l'essentiel (finalite, destinataire principal, duree de conservation, existence des droits), suivi d'un lien explicite « En savoir plus sur le traitement de vos donnees » qui renvoie vers la politique de confidentialite complete du site. Cette politique, elle, doit detailler l'ensemble des traitements de l'entreprise, pas seulement celui du formulaire de contact.

Cette logique en deux niveaux (resume au plus pres du formulaire, detail dans la politique de confidentialite) distingue l'obligation RGPD d'information de l'obligation LCEN de mentions legales, qui concerne l'identite de l'editeur et de l'hebergeur du site et se trouve, elle, sur une page dediee accessible depuis chaque page.

4. Quels champs rendre obligatoires, quels champs rendre facultatifs

Le principe de minimisation (article 5.1.c du RGPD) impose de ne collecter que les donnees adequates, pertinentes et limitees a ce qui est necessaire au regard de la finalite. Pour un formulaire dont l'unique objectif est de permettre une reponse par email, le nom et l'adresse email suffisent generalement.

Un champ telephone systematiquement obligatoire, alors que la reponse peut etre apportee par email, est difficile a justifier au regard de ce principe. A l'inverse, s'il s'agit d'un formulaire « faites-vous rappeler », le telephone devient logiquement indispensable a la finalite poursuivie. Chaque champ rendu obligatoire doit pouvoir se justifier par la finalite affichee ; les champs qui ne le sont pas doivent etre clairement marques comme facultatifs (une mention « optionnel » suffit), conformement a l'article 13.2.e du RGPD qui impose d'indiquer le caractere obligatoire ou facultatif de chaque donnee demandee.

5. Combien de temps conserver un message de contact

Le RGPD n'impose pas de duree chiffree unique pour les messages recus via un formulaire de contact : l'article 5.1.e demande seulement une duree « limitee », adaptee a la finalite. En pratique, un message traite sans suite commerciale (demande d'information ponctuelle, question resolue par email) n'a plus de raison d'etre conserve indefiniment une fois la demande traitee : conserver ce type de message plusieurs annees sans justification expose a un rappel de la CNIL en cas de controle, qui verifie systematiquement si les durees affichees correspondent aux durees reellement appliquees.

Si l'echange debouche sur une relation commerciale (devis accepte, prospect qualifie, client), les donnees basculent alors dans le fichier prospects ou clients de l'entreprise et suivent les durees de conservation propres a cette categorie, en general alignees sur la duree de la relation commerciale puis sur les obligations comptables et fiscales applicables aux factures.

6. Consentement, interet legitime : quelle base legale ?

Contrairement a une idee repandue, repondre a un message envoye par le visiteur lui-meme ne necessite pas systematiquement une case de consentement. L'article 6 du RGPD propose six bases legales possibles ; pour un simple formulaire de contact, deux d'entre elles s'appliquent generalement. Si la demande porte sur un devis ou une offre precontractuelle, la base legale est l'execution de mesures prises a la demande de la personne avant la conclusion d'un contrat (article 6.1.b). Si la demande est une simple question, la base legale est le plus souvent l'interet legitime du responsable de traitement a repondre aux sollicitations qui lui sont adressees (article 6.1.f), a condition que cet interet ne porte pas une atteinte disproportionnee aux droits de la personne concernee.

Le consentement (article 6.1.a) ne devient la base legale pertinente que lorsque le formulaire sert a une finalite distincte de la simple reponse a la demande, typiquement l'inscription a une newsletter ou de la prospection commerciale non directement liee a la question posee.

7. Le cas particulier de la case « newsletter »

De nombreux formulaires de contact ajoutent une case « je souhaite recevoir les actualites de l'entreprise ». Cette case relevant d'une finalite differente de la simple reponse au message, elle doit respecter les regles propres a la prospection par email : case decochee par defaut, distincte de l'envoi du formulaire principal, et possibilite de retirer ce consentement aussi facilement qu'il a ete donne. Les regles d'opt-in applicables en B2C et en B2B different sensiblement sur ce point, et sont detaillees dans notre article consacre a l'e-mailing et au RGPD.

Cocher cette case ne doit jamais etre une condition pour pouvoir envoyer le message principal : rendre ce consentement obligatoire pour acceder au formulaire de contact constituerait un consentement non libre au sens de l'article 4.11 du RGPD, et donc juridiquement invalide.

Questions frequentes

A lire aussi

Collecte de donnees & RGPD

QR code en magasin, au restaurant ou sur un flyer : ce que le RGPD vous impose avant d'en installer un

Lire

Profilage & decisions automatisees

Decision automatisee et profilage (article 22 du RGPD) : ce qu'une TPE ou PME doit savoir

Lire

E-mailing & prospection

Achat ou location de fichiers de prospection : ce que le RGPD exige avant d'utiliser une base de contacts achetee

Lire