Formulaire de contact et RGPD : collecter peu, informer, conserver moins longtemps
Le formulaire de contact est souvent le seul endroit où un petit site collecte des données personnelles. C'est aussi celui où l'on accumule, sans y penser, des années de messages dans une base de données ou une boîte de réception. Appliquer le RGPD à ce formulaire est simple, à condition de se poser les bonnes questions avant d'installer l'extension.
Commencer par les champs
Le premier principe du RGPD utile ici est la minimisation : les données collectées doivent être adéquates, pertinentes et limitées à ce qui est nécessaire pour la finalité. Pour répondre à un message, un nom (ou un pseudonyme), une adresse électronique et le message suffisent. Le numéro de téléphone, l'adresse postale, le nom de l'entreprise ou la date de naissance ne sont justifiés que s'ils servent réellement à traiter la demande ; dans le doute, ils restent facultatifs, et clairement signalés comme tels.
Moins de champs, c'est aussi un formulaire plus accessible et plus rapide à remplir. Chaque champ doit avoir une étiquette visible, des messages d'erreur explicites et les bons attributs autocomplete, qui permettent au navigateur de proposer les valeurs déjà connues.
La base légale
Tout traitement de données personnelles repose sur l'une des six bases légales prévues par l'article 6 du RGPD : le consentement, l'exécution d'un contrat ou de mesures précontractuelles, une obligation légale, la sauvegarde d'intérêts vitaux, une mission d'intérêt public, ou l'intérêt légitime du responsable de traitement. La CNIL rappelle que le consentement n'est que l'une d'elles.
Pour un formulaire de contact, la réponse à une demande de devis relève généralement des mesures précontractuelles, et la réponse à une question générale de l'intérêt légitime de l'éditeur à répondre aux messages qu'on lui adresse. La case « J'accepte que mes données soient utilisées » n'est donc pas obligatoire, et elle peut même induire en erreur si la personne croit pouvoir retirer un consentement dont le traitement ne dépend pas. En revanche, l'inscription à une lettre d'information ou l'utilisation des données à des fins de prospection appellent un accord distinct, par une case non cochée par défaut.
Informer, sous le formulaire
Les personnes doivent être informées au moment de la collecte. Une mention courte sous le bouton d'envoi, renvoyant vers la politique de confidentialité, suffit en pratique. Elle indique :
- qui traite les données (l'éditeur du site, identifié dans les mentions légales) ;
- pour quoi faire : répondre à la demande, et rien d'autre ;
- combien de temps les messages sont conservés ;
- qui y a accès, y compris les prestataires techniques (hébergeur, service d'envoi d'e-mails) ;
- comment exercer ses droits d'accès, de rectification, d'effacement et d'opposition, et la possibilité de saisir la CNIL.
Combien de temps garder les messages
La CNIL est nette : les données personnelles « ne peuvent pas être conservées indéfiniment ». Le responsable du traitement fixe une durée en fonction de l'objectif poursuivi, sauf si un texte l'impose. Sa page sur les durées de conservation décrit un cycle en plusieurs temps : une conservation en « base active » pendant la durée nécessaire à la réalisation de l'objectif, puis, le cas échéant, un archivage intermédiaire, séparé et à accès restreint, quand les données présentent encore un intérêt administratif ou doivent être gardées pour respecter une obligation légale. Les référentiels de la CNIL donnent des repères, dont on peut s'écarter en documentant ses raisons.
Pour un formulaire de contact, une règle simple consiste à supprimer les messages restés sans suite après un délai court, défini à l'avance, et à traiter les échanges qui débouchent sur une relation commerciale selon les règles de la gestion clients. La CNIL donne d'ailleurs l'exemple des données de facturation, que le code de commerce impose de conserver dix ans.
Où finissent les messages ?
Beaucoup d'extensions de formulaires enregistrent chaque envoi en base de données, en plus de l'envoyer par e-mail. C'est pratique quand un message se perd, mais c'est une copie de plus à protéger et à purger. Trois questions à se poser :
- Faut-il un stockage en base ? Si l'e-mail suffit, désactivez-le. Sinon, programmez une suppression automatique.
- Qui reçoit l'e-mail ? Une adresse partagée par plusieurs personnes, synchronisée sur plusieurs appareils, multiplie les copies.
- Les envois passent-ils par un service tiers ? Un service d'envoi transactionnel est souvent nécessaire pour la délivrabilité ; il doit figurer dans la politique de confidentialité, avec la localisation des données.
La sécurité du site compte autant que ces réglages. Une extension de formulaire non mise à jour est une porte d'entrée classique : voir notre méthode pour mettre à jour WordPress sans casse.
Le spam, sans traceurs
Les services de « captcha » qui analysent le comportement du visiteur déposent ou lisent souvent des traceurs et transmettent des données à un tiers ; ils relèvent alors des règles sur les cookies et le consentement. Ils posent aussi des problèmes d'accessibilité quand ils demandent de reconnaître des images. Des solutions plus discrètes existent : un champ « pot de miel » invisible que seuls les robots remplissent, un délai minimal entre l'affichage et l'envoi, un filtrage côté serveur. Elles arrêtent l'essentiel du spam ordinaire sans rien demander au visiteur.
Les outils intégrés à WordPress
Publiée le 17 mai 2018, quelques jours avant l'entrée en application du RGPD, la version 4.9.6 de WordPress a ajouté une série d'outils de confidentialité : la désignation d'une page de politique de confidentialité, une case permettant aux commentateurs non connectés de choisir si leurs nom, e-mail et site sont gardés dans un cookie, et des outils pour exporter ou effacer les données personnelles d'une personne, y compris celles des extensions compatibles, avec une confirmation de la demande par e-mail. Une extension de formulaire sérieuse se branche sur ces outils, ce qui permet de répondre à une demande d'accès ou d'effacement sans fouiller la base à la main.
Un indépendant qui reçoit ces messages dans une pièce de travail aménagée chez lui, sur un ordinateur personnel, a les mêmes obligations qu'une agence : chiffrement de l'appareil, sauvegardes protégées et séparation entre usages professionnels et personnels font partie des mesures de sécurité attendues.
Sources
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), articles 5, 6 et 13, EUR-Lex.
- CNIL, « Les durées de conservation des données » et « Le consentement » (consultés le 27 octobre 2026).
- WordPress.org News, « WordPress 4.9.6 Privacy and Maintenance Release », 17 mai 2018.
Droit, RGPD & métierCookies : les règles de la CNIL
Consentement avant dépôt, bouton « tout refuser », traceurs exemptés, mesure d'audience, vidéos intégrées : ce que la CNIL attend d'un site.
Droit, RGPD & métierLes mentions légales
Identité, adresse, immatriculation, hébergeur, directeur de la publication : la liste des mentions obligatoires et les pages qui les accompagnent.
Thèmes & WordPressMettre à jour sans casser
Ce que WordPress met à jour tout seul, ce qu'il faut faire soi-même, et les réglages de sécurité recommandés par la documentation officielle.