RGPD et formulaire de contact : ce qu’il faut vraiment mettre en place

Pour vérifier un formulaire de contact, je commence par une question simple : que faites-vous des informations reçues ? Pour répondre à une demande, il faut choisir une base légale adaptée, informer le visiteur et limiter les données collectées. Une case « J’accepte le traitement de mes données » n’est pas une obligation générale. En revanche, l’information doit être disponible avant l’envoi du message.

Cet article vous explique ce que le RGPD impose réellement pour un formulaire de contact : les mentions à afficher, les données que vous pouvez demander, les cas où une case à cocher est nécessaire, et ce qu’il faut vérifier du côté des outils qui traitent ces messages.

Pourquoi votre formulaire de contact est concerné par le RGPD

Un formulaire de contact collecte au minimum un nom, une adresse email et un message. Ce sont des données personnelles : dès qu’un visiteur clique sur « Envoyer », vous réalisez un traitement de données au sens du RGPD.

Cela vaut quelle que soit la taille de votre activité. Comme expliqué dans l’article sur ce que vous êtes vraiment obligé de faire en tant que freelance face au RGPD, le règlement s’applique dès la première donnée collectée — il n’y a pas de seuil d’effectif ou de chiffre d’affaires en dessous duquel vous seriez exempté.

La bonne nouvelle : mettre un formulaire de contact en conformité est simple. Il s’agit surtout d’informer correctement le visiteur et de ne pas collecter plus que nécessaire. Voyons cela point par point.

Sur quelle base légale repose un formulaire de contact ?

C’est le point qui génère le plus de confusion. Le RGPD exige que chaque traitement repose sur une base légale — et contrairement à une idée répandue, cette base n’est pas forcément le consentement.

Quand un visiteur vous écrit via votre formulaire, c’est lui qui prend l’initiative du contact. Deux bases légales s’appliquent naturellement :

• Les mesures précontractuelles, si la demande concerne vos services (demande de devis, question sur une prestation) : le visiteur vous sollicite en vue d’un éventuel contrat.
• L’intérêt légitime, pour les demandes plus générales : répondre aux personnes qui vous contactent fait partie du fonctionnement normal de votre activité.

Conséquence pratique importante : vous n’avez pas besoin de demander le consentement pour répondre à un message. Une case « J’accepte que mes données soient traitées » n’est pas requise pour cette finalité — et une case dont le refus empêcherait simplement de vous contacter n’aurait de toute façon aucun sens.

Newsletter et prospection : distinguer les usages

Envoyer des offres est une finalité distincte de la réponse au message. Pour la prospection commerciale par courriel auprès de particuliers, le consentement préalable est le principe. Une exception existe pour un client ayant déjà acheté un produit ou un service, lorsque la même entreprise propose des produits ou services similaires : il faut l’informer et permettre une opposition simple et gratuite à la collecte, puis à chaque envoi. Une simple demande de contact ne suffit pas à faire de la personne un client.

Pour une newsletter commerciale fondée sur le consentement, ajoutez une case dédiée, facultative et jamais pré-cochée. En B2B, une sollicitation en rapport avec la profession du destinataire peut reposer sur l’intérêt légitime, avec information et opposition simple et gratuite. Chaque envoi doit identifier l’émetteur et permettre le désabonnement. Je vous recommande de vérifier votre situation dans les règles de prospection de la CNIL.

Les mentions d’information obligatoires sous le formulaire

C’est l’exigence centrale du RGPD pour un formulaire de contact : informer la personne au moment où elle vous transmet ses données. Concrètement, un court texte sous le formulaire (ou juste au-dessus du bouton d’envoi) doit indiquer :

• qui traite les données : votre nom ou celui de votre entreprise
• pourquoi : répondre à votre demande de contact
• combien de temps les données sont conservées
• quels sont les droits du visiteur et comment les exercer
• un lien vers votre politique de confidentialité pour le détail

Un exemple de formulation, à adapter :

[Nom du responsable et coordonnées] utilise les champs signalés comme obligatoires pour répondre à votre demande, sur la base de [base légale adaptée à la demande]. Sans ces informations, nous ne pouvons pas y répondre. Les données sont accessibles à [destinataires] et conservées [durée ou critères justifiés]. Pour connaître vos droits, les exercer auprès de [contact] et savoir comment adresser une réclamation à la CNIL, consultez [lien vers votre politique de confidentialité].

Cet exemple est une trame à compléter, pas une mention prête à publier. Vous pouvez organiser l’information en plusieurs niveaux, avec l’essentiel près du formulaire et le détail dans la politique de confidentialité de votre site, vers laquelle le lien renvoie. Les mentions doivent correspondre à vos outils réels et indiquer aussi les éventuels transferts hors de l’Union européenne et leurs garanties. La CNIL explique comment organiser cette information.

Ne demandez que ce dont vous avez besoin

Le RGPD impose la minimisation : ne collecter que les données nécessaires à la finalité. Pour répondre à une demande de contact, il vous faut :

• une adresse email (pour répondre)
• le message
• éventuellement un nom ou prénom (pour personnaliser la réponse)

Tout le reste doit être questionné. Un numéro de téléphone peut se justifier si vous proposez d’être rappelé — mais alors en champ facultatif, clairement signalé comme tel. Une adresse postale, une date de naissance ou un nom d’entreprise obligatoire n’ont généralement rien à faire dans un formulaire de contact.

La règle pratique : pour chaque champ, demandez-vous « puis-je répondre à la demande sans cette information ? ». Si oui, le champ est facultatif ou supprimé. Bonus non négligeable : un formulaire plus court convertit mieux — la conformité et l’efficacité commerciale vont ici dans le même sens.

Vérifiez où partent les données du formulaire

Un formulaire de contact n’est jamais isolé : il s’appuie sur des outils qui, eux aussi, traitent les données de vos visiteurs. Trois points à vérifier.

Le plugin ou service de formulaire

Si vous utilisez WordPress, votre extension de formulaire (Contact Form 7, WPForms, Gravity Forms…) stocke souvent les messages dans la base de données du site, en plus de l’envoi par email. Deux conséquences :

• ces copies sont soumises aux mêmes durées de conservation que vos emails — pensez à les purger
• si le service est externe (formulaire hébergé type Typeform, Tally…), c’est un sous-traitant à mentionner dans votre politique de confidentialité, en vérifiant où il héberge les données

L’anti-spam

Un service anti-spam peut traiter des données de navigation et utiliser des traceurs. Vérifiez ce qu’il collecte, pour quelles finalités, où les données sont traitées et si un consentement est nécessaire avant son chargement. Un hébergement européen ne suffit pas, à lui seul, à garantir la conformité. Pour un formulaire simple, je commence par examiner une protection sobre, comme un champ piège, puis je vérifie ses limites techniques.

Votre boîte mail

Les messages reçus atterrissent dans votre messagerie. Si celle-ci est hébergée hors Europe, le sujet rejoint celui de vos autres outils : privilégiez des prestataires européens ou couverts par un mécanisme de transfert reconnu, et protégez l’accès à la boîte (mot de passe robuste, double authentification). La conformité du formulaire ne s’arrête pas à la page web : elle suit la donnée jusqu’à sa destination.

Combien de temps conserver les messages reçus ?

Il n’existe pas de durée unique pour tous les messages d’un formulaire. Je distingue la réponse à une question ponctuelle, le suivi d’une demande de devis et la prospection. Pour cette dernière, la CNIL retient généralement trois ans à compter de la collecte ou du dernier contact venant du prospect. Ce repère ne justifie pas de conserver chaque message trois ans : fixez une durée adaptée à sa finalité, puis appliquez-la dans la messagerie et dans les autres copies.

Si la demande débouche sur une prestation, les pièces utiles suivent les durées de gestion du contrat et les obligations applicables. Un archivage séparé peut être nécessaire pour une obligation légale ou un contentieux, avec un accès limité. Consultez les repères CNIL sur les durées de conservation et documentez votre choix.

Formulaire de contact et RGPD : la checklist

Pour récapituler, un formulaire de contact conforme au RGPD, c’est :

1. Des champs limités au nécessaire — email et message obligatoires, le reste facultatif ou supprimé
2. Une mention d’information courte sous le formulaire : qui, pourquoi, durée, droits, lien vers la politique de confidentialité
3. Pas de case de consentement pour la simple demande de contact — mais une case dédiée, non pré-cochée, si vous proposez la newsletter dans la foulée
4. Des outils vérifiés : extension de formulaire, anti-spam sans transfert hors UE non maîtrisé, boîte mail sécurisée
5. Une durée de conservation définie par finalité et appliquée — sans durée universelle pour les messages
6. Une politique de confidentialité à jour qui détaille l’ensemble

Je vous conseille de suivre ces étapes dans cet ordre, puis de tester le parcours comme un visiteur : les champs sont-ils utiles, la mention est-elle lisible et le lien mène-t-il bien au détail ? Le temps nécessaire dépend des outils et des corrections à apporter.

Un formulaire conforme, c’est un premier contact qui inspire confiance

Votre formulaire de contact est l’endroit exact où un prospect vous confie ses données pour la première fois. Une mention d’information claire, des champs raisonnables, pas de case absurde : c’est du RGPD bien appliqué, et c’est aussi un signal de sérieux au moment précis où la personne décide de travailler avec vous.

Si vous souhaitez mettre en place ces documents avec une méthode guidée, je présente le programme et les modèles à personnaliser dans le Kit RGPD du Freelance.

Si votre formulaire ou vos outils demandent un cadrage spécifique, je vous propose un échange gratuit de 30 minutes pour présenter votre situation. Vous pouvez aussi utiliser le diagnostic RGPD Score comme repère initial.

Je me demande donc comment rendre ce premier contact simple pour le visiteur, tout en gardant une gestion des données claire dans mes outils.

Conseils révisés et sources vérifiées le 5 octobre 2026.