Formulaire de contact et RGPD : ce que doit faire une petite entreprise

Nom, e-mail, téléphone : chaque message envoyé par le formulaire de contact de votre site contient des données personnelles. Le RGPD s'applique donc, même si vous travaillez seul. Rassurez-vous : pour un formulaire classique, l'essentiel tient en cinq gestes.

• Demander le strict nécessaire.
• Informer la personne au moment où elle écrit.
• Fixer une durée de conservation.
• Sécuriser l'envoi.
• Ne pas envoyer de publicité à un particulier sans son accord.

Trois mots à connaître :

• une donnée personnelle est une information qui permet d'identifier une personne, comme un nom, une adresse e-mail ou un numéro de téléphone ;
• le RGPD (Règlement général sur la protection des données) est le texte européen qui encadre leur utilisation ;
• le responsable du traitement, c'est vous : vous décidez pourquoi et comment ces données sont utilisées.

Pourquoi votre formulaire est concerné

Service Public Entreprendre est clair : le RGPD s'applique à « toute entreprise, quelle que soit sa taille et son secteur d'activité ». Artisans, micro-entrepreneurs et petits commerces sont concernés comme les autres.

La CNIL rappelle toutefois qu'une TPE dont le métier n'est pas de traiter des données a beaucoup moins d'obligations qu'une grande entreprise.

Sur un site vitrine, la CNIL repère deux points de collecte : le formulaire de contact et, éventuellement, l'abonnement à une lettre d'information. Elle y recommande notamment :

• des mentions d'information en bas du formulaire de contact ;
• un moyen de contact électronique pour que les personnes puissent exercer leurs droits ;
• des mentions légales qui identifient l'éditeur du site.

Pour ce dernier point, notre guide des mentions légales pour un site d'artisan vous aide à vérifier les vôtres.

Ne demander que le nécessaire

C'est le principe de minimisation, inscrit à l'article 5 du RGPD. Service Public Entreprendre le résume ainsi : seules les données « strictement nécessaires à la réalisation de l'objectif » peuvent être collectées.

Pour chaque champ, posez-vous une seule question : en ai-je vraiment besoin pour répondre à cette personne ?

La CNIL recommande aussi de distinguer les champs obligatoires des champs facultatifs, par exemple avec un astérisque, et de préciser les conséquences éventuelles si un champ obligatoire n'est pas rempli. Vous pouvez écrire : « Les champs marqués d'un astérisque sont nécessaires pour traiter votre demande. »

Dans le même esprit, évitez d'inviter vos visiteurs à détailler dans le champ « message » ce dont vous n'avez pas besoin, comme des informations sur leur santé.

Informer la personne au moment où elle écrit

L'article 13 du RGPD impose d'informer la personne au moment où ses données sont obtenues. Pour un formulaire, cela veut dire : sur le formulaire lui-même, avant qu'elle clique sur « Envoyer ».

D'après la CNIL, l'information doit notamment indiquer :

• qui vous êtes : le nom de votre entreprise et vos coordonnées ;
• à quoi servent les données : répondre à la demande, établir un devis ;
• sur quelle base légale vous vous appuyez, c'est-à-dire la raison prévue par le RGPD qui vous autorise à utiliser ces données ;
• quels champs sont obligatoires et lesquels sont facultatifs ;
• qui les reçoit, y compris vos prestataires ;
• combien de temps vous les gardez ;
• les droits de la personne (accès, rectification, effacement, notamment) et comment les exercer ;
• son droit de réclamation auprès de la CNIL.

Pas question pour autant d'écrire un pavé illisible. La CNIL recommande une information en plusieurs niveaux : l'essentiel sous le formulaire, puis un lien vers une notice complète, souvent appelée page confidentialité. Elle insiste sur un point : les personnes ne doivent pas avoir à chercher l'information.

Voici un exemple de premier niveau, à adapter à votre situation :

Les informations recueillies par [nom de votre entreprise] servent à répondre à votre demande et, si vous le souhaitez, à établir un devis. Elles sont conservées [durée choisie]. Vous pouvez y accéder, les rectifier ou demander leur effacement en écrivant à [votre adresse e-mail]. Pour en savoir plus, consultez notre [page confidentialité].

La page complète reprend tous les points de la liste. Rendez-la facile à trouver, par exemple à côté de vos mentions légales.

Ne prenez pas cette étape à la légère. Selon Service Public Entreprendre, le fait de ne pas informer la personne dont on recueille les données est puni d'une amende pénale de 1 500 € pour les entrepreneurs individuels et de 7 500 € pour les sociétés.

La case à cocher : utile ou pas ?

Beaucoup de formulaires affichent une case « J'accepte que mes données soient utilisées ». Elle n'est pas toujours nécessaire. Service Public Entreprendre rappelle que le traitement doit reposer sur l'une des six bases légales prévues par le RGPD, et le consentement n'en est qu'une.

L'article 6 du RGPD cite par exemple les traitements nécessaires à des « mesures précontractuelles prises à la demande » de la personne. Une demande de devis, faite à l'initiative du visiteur, peut relever de ce cas. Quelle que soit la base retenue, indiquez-la dans votre page confidentialité.

La question change si vous voulez réutiliser l'adresse pour de la publicité : lettre d'information, promotions, offres de saison. Envers les particuliers, la CNIL pose le principe du consentement préalable. Autrement dit, sans « oui » de la personne, la réponse est « non ». Elle précise aussi :

• la case ne doit pas être pré-cochée ;
• accepter des conditions générales ne suffit pas ;
• l'exception prévue pour les clients ne vaut que pour une personne déjà cliente chez vous, et pour des produits ou services analogues que vous fournissez. Elle ne joue pas si aucune vente ni prestation n'a eu lieu : quelqu'un qui vous a seulement écrit par le formulaire n'est donc pas concerné.

Envers les professionnels, la règle est plus souple selon la CNIL : vous pouvez leur écrire sans accord préalable si le message est en rapport avec leur profession, à condition qu'ils aient été informés de cet usage et puissent s'y opposer. Dans tous les cas, chaque message doit indiquer qui l'envoie et permettre de refuser simplement les envois suivants, par exemple avec un lien de désinscription.

En pratique : prévoyez une case distincte, non cochée, du type « Je souhaite recevoir les actualités de [votre entreprise] ». Si la personne ne la coche pas, vous répondez à sa demande, et c'est tout.

Les cookies obéissent à d'autres règles, non traitées ici.

Combien de temps garder les messages

Le RGPD ne fixe pas de durée unique. Son article 5 demande de ne pas garder les données plus longtemps que nécessaire au regard de leur objectif. Service Public Entreprendre ajoute que la durée doit être définie dès la mise en place du dispositif qui collecte les données.

La CNIL donne des repères dans ses référentiels sur la gestion des activités commerciales. Pour les données utilisées à des fins de prospection commerciale, ils indiquent :

• une personne qui vous a contacté sans devenir cliente (un prospect) : trois ans à compter de la collecte ou du dernier contact venant d'elle ;
• un client : la durée de la relation commerciale, puis trois ans à compter de sa fin.

Ces référentiels ne sont pas contraignants : vous pouvez retenir une autre durée, à condition de pouvoir justifier ce choix. Si vous n'utilisez pas les messages pour de la prospection, appliquez simplement l'article 5 : gardez-les le temps nécessaire pour traiter la demande et son suivi, puis supprimez-les. Notez la durée choisie et reprenez-la dans votre mention.

N'oubliez pas votre boîte e-mail : les messages du formulaire y arrivent souvent aussi. La durée choisie vaut également pour ces copies. Le plus simple est de fixer une date dans l'année pour faire le tri.

Sécurité, prestataires et demandes des personnes

La sécurité. La CNIL recommande de sécuriser les échanges avec le protocole TLS, le chiffrement qui fait apparaître « https » au début de l'adresse du site. Elle conseille aussi de limiter le nombre de composants du site, de les surveiller et de les tenir à jour.

Vos prestataires. Si votre formulaire passe par un service extérieur (hébergeur, outil de formulaire, logiciel d'envoi de lettres d'information), ce prestataire est en général un sous-traitant au sens du RGPD : il traite les données pour votre compte. La CNIL recommande de choisir des prestataires présentant des garanties suffisantes, de signer un contrat qui reprend les exigences de l'article 28 du RGPD et de savoir où les données sont stockées, en particulier si elles sortent de l'Union européenne.

Les demandes des personnes. Quelqu'un vous écrit pour savoir quelles données vous détenez sur lui, ou pour les faire effacer ? L'article 12 du RGPD vous demande de répondre dans les meilleurs délais, et au plus tard un mois après réception de la demande. Ce délai peut être prolongé de deux mois si les demandes sont complexes ou nombreuses, à condition de prévenir la personne dans le premier mois en expliquant pourquoi. Le même article vous demande de faciliter l'exercice de ces droits : une adresse e-mail bien visible dans votre mention y aide.

Le registre. Le registre des traitements est un document écrit, papier ou électronique, qui recense vos traitements de données personnelles. Une entreprise de moins de 250 salariés doit notamment y inscrire ses traitements qui ne sont pas occasionnels, comme la gestion des clients et des prospects. Les messages reçus par votre formulaire relèvent en général de cette gestion. La CNIL propose un modèle de registre simplifié, pensé pour les besoins courants, en particulier ceux des petites structures.

Votre liste de contrôle

1. Votre formulaire ne demande que ce qui sert à répondre.
2. Les champs obligatoires sont signalés.
3. Une mention courte figure sous le formulaire, avec un lien vers une page confidentialité complète.
4. Vous avez choisi une durée de conservation, et vous l'avez écrite.
5. Aucune case n'est pré-cochée, et une case distincte et facultative existe si vous envoyez une lettre d'information à des particuliers.
6. Le site est en https.
7. Vous savez répondre dans un délai d'un mois à une demande d'accès ou d'effacement.
8. Votre registre décrit le traitement des messages reçus par le formulaire.

Avec un site Maillon Digital, l'hébergement comprend HTTPS, sauvegardes et mises à jour. Les textes d'information restent en revanche les vôtres, car c'est vous le responsable du traitement : avec l'éditeur inclus, vous modifiez vous-même vos textes, par exemple le jour où vous changez de durée ou d'outil. La prise de rendez-vous en ligne, également incluse, recueille elle aussi des coordonnées : posez-vous les mêmes questions.

Votre action cette semaine : relisez votre formulaire champ par champ, puis ajoutez la mention en vous inspirant de l'exemple ci-dessus.

Pas encore de site, ou un site à repenser ? Découvrez comment ça marche, puis demandez une maquette gratuite avec votre numéro SIRET : vous la recevez par e-mail, puis vous décidez de la suite.

Article d'information générale, vérifié le 4 novembre 2026. Il ne remplace pas l'avis d'un juriste pour votre situation.