Formulaire de contact et RGPD : ce qu’un artisan doit faire

Quand un client remplit votre formulaire de contact, il vous confie son nom, son téléphone ou son adresse : ce sont des données personnelles, et le RGPD s’applique à vous comme à une grande entreprise, à votre échelle. Ce guide reprend les pages de la CNIL consultées le 14 novembre 2026 et en tire une marche à suivre pour un artisan. Il ne traite pas de ce qui dépend de votre situation particulière (salariés, outils de gestion clients) : pour cela, demandez conseil à un juriste.

Les principes à retenir

La CNIL présente les principes du RGPD à appliquer (les six grands principes du RGPD) :

Quels champs mettre dans le formulaire

La CNIL demande de ne collecter que des données « adéquates, pertinentes et nécessaires » (minimiser les données collectées), et conseille d’éviter de recueillir des données sensibles quand ce n’est pas indispensable : ne pas les collecter est le plus simple. Pour un artisan, cela donne :

• Utiles : le nom, un moyen de rappeler (téléphone ou e-mail), la commune d’intervention, et un message décrivant la demande.
• À éviter, sauf raison précise : la date de naissance, la profession, le revenu, ou tout champ « au cas où ».
• Dans le message libre : ajoutez une phrase qui invite à ne pas y écrire de données de santé ou de situation personnelle sans rapport avec la demande.

Un formulaire court sert aussi votre activité : quatre ou cinq champs se remplissent depuis un téléphone, comme le recommande notre guide sur le contenu d’un site d’artisan. Pour un électricien qui reçoit des demandes d’urgence, par exemple, la commune et le téléphone comptent plus que tout : voyez le site internet pour électricien.

Informer la personne, au moment où elle remplit le formulaire

La fiche de service-public.gouv.fr (vérifiée le 13 octobre 2026) liste ce que vous indiquez au moment de la collecte : l’identité et les coordonnées du responsable du traitement, les données collectées, la finalité et la base légale, le caractère obligatoire ou facultatif de la réponse, les destinataires, la durée de conservation, les droits de la personne et leurs modalités, la possibilité de saisir la CNIL, et les éventuels transferts hors de l’Union européenne. La CNIL demande une information « concise, transparente, compréhensible et aisément accessible » (les droits des personnes).

Dans son exemple de mention d’information (consulté le 14 novembre 2026), la CNIL propose deux niveaux : une courte mention directement sous le formulaire, et une version complète sur une page dédiée du site. Elle présente cet exemple comme une illustration à adapter, pas comme un texte valable partout. Une mention courte pourrait dire :

Les informations saisies servent à répondre à votre demande. Elles sont conservées pendant [durée] et destinées à [votre entreprise]. Vous pouvez accéder à vos données, les corriger ou les faire supprimer en écrivant à [adresse]. Plus d’informations dans notre politique de confidentialité.

Adaptez-la : ce texte est un canevas à remplir, pas un modèle validé par la CNIL. La politique de confidentialité, elle, doit être accessible depuis chaque page selon la fiche, et distincte de vos conditions de vente. Elle complète vos mentions légales.

Pas de case pré-cochée

Une case à cocher n’a de valeur que si la personne la coche. Pour la prospection électronique auprès de particuliers, la CNIL précise que le consentement doit être « libre, spécifique, éclairé et univoque », que l’acceptation de conditions générales ne suffit pas, et que « l’utilisation d’une case pré-cochée est interdite » (CNIL, prospection par courrier électronique, SMS et MMS). En pratique :

• Répondre à une demande de devis n’exige aucune case : vous répondez parce qu’on vous l’a demandé.
• Si vous voulez aussi envoyer une lettre d’information ou des offres par e-mail à des particuliers, ajoutez une case distincte, décochée par défaut, avec un texte clair.
• Ne conditionnez pas l’envoi du formulaire à l’acceptation de vos offres.
• Pour chaque message de prospection, laissez à la personne un moyen simple de refuser les suivants.

La même page signale que l’exception en faveur des clients existants est étroite : elle vise les produits ou services analogues d’une même entreprise, et ne s’applique pas quand aucune vente n’a eu lieu. Ne transformez donc pas toutes vos demandes de devis en liste de diffusion.

Combien de temps garder les messages

La loi ne fixe pas une durée unique pour votre formulaire ; c’est à vous de la déterminer et de la justifier. La CNIL donne des repères dans ses réponses sur les activités commerciales (page datée de janvier 2022, à recouper avec les recommandations en vigueur) : pour un prospect, 3 ans à partir de la collecte ou du dernier contact, après quoi il faut lui demander s’il souhaite continuer à recevoir vos offres, sinon supprimer ou archiver ; pour un client, la durée de la relation commerciale puis 3 ans pour la prospection. Dans son exemple de mention, la CNIL retient un an pour un devis sans suite.

Choisissez une durée, écrivez-la dans votre mention d’information, et mettez un rappel dans votre agenda deux fois par an pour faire le tri, comme le conseille la CNIL pour les petites entreprises (les règles essentielles).

La sécurité : ce que vous contrôlez, ce que vous déléguez

La CNIL recommande, pour tout site, de chiffrer les échanges avec TLS (le « https » et son cadenas), d’exiger ce chiffrement sur toute page qui transmet des données personnelles, de limiter l’accès à l’administration aux seules personnes autorisées, et de surveiller et mettre à jour les composants du site (sécuriser les sites web). Pour une petite entreprise, ses règles essentielles ajoutent des mots de passe longs et uniques, un gestionnaire de mots de passe, la double authentification pour la messagerie et les comptes d’administration, les mises à jour automatiques et des sauvegardes.

1. Vérifiez que l’adresse de votre site commence par « https » et que le cadenas s’affiche sur la page du formulaire.
2. Activez la double authentification sur la messagerie qui reçoit les demandes : c’est elle qui contient les données.
3. Ne transférez pas les demandes à des personnes qui n’en ont pas besoin, et supprimez-les de la boîte de réception à la fin de la durée prévue.
4. Demandez à votre prestataire où le formulaire est traité et à qui il transmet les messages : c’est une information à indiquer aux personnes.

Avec un créateur de site ou une solution spécialisée, une grande partie de la sécurité technique est assurée par le prestataire, mais votre responsabilité de collecter peu, de conserver peu de temps et d’informer reste la vôtre. Les demandes reçues par un site Studio Métiers arrivent dans la rubrique « Demandes » de votre espace artisan, où vous pouvez les consulter et les trier.

Quand la personne demande à voir ou à effacer ses données

La CNIL liste les droits d’information, d’opposition, d’accès, de rectification et de portabilité, et indique que l’effacement et la limitation peuvent s’appliquer selon la base légale du traitement. Le délai de réponse maximal est d’un mois à compter de la réception de la demande ; il est suspendu si la demande est incomplète, et il court même si vous ne détenez aucune donnée (CNIL, les droits des personnes). Si la personne estime, après vous avoir écrit, que ses droits ne sont pas respectés, la mention d’information de l’exemple de la CNIL prévoit qu’elle peut adresser une réclamation en ligne à la CNIL.

Gardez une trace de chaque demande et de votre réponse, même brève. Pour voir comment un site de métier présente ces éléments, ouvrez la page du peintre en bâtiment ou du photographe.

Ce guide donne des repères vérifiés à la date indiquée ; il ne remplace pas l’avis d’un juriste ou de la CNIL.