Le RGPD est la loi européenne sur la vie privée. Si votre formulaire recueille la moindre information auprès de visiteurs de l'Union européenne, même seulement leur e-mail, le RGPD s'applique à vous. Cela ne concerne pas seulement les grandes entreprises ou certains secteurs. Le RGPD couvre toute entreprise, où qu'elle soit dans le monde, qui collecte des données de résidents européens, et les sanctions en cas d'erreur sont sévères.
Le RGPD et le consentement dans les formulaires sont les règles légales qui encadrent les données que vous pouvez collecter auprès des visiteurs de l'UE, la façon de les demander et l'usage que vous en faites. Comprendre ces règles est essentiel avant de créer un formulaire qui recueille des données de résidents européens.
Ce que vous allez apprendre : ce qu'est le RGPD et à qui il s'applique, ce que signifie le consentement légal, comment structurer les champs et les cases de vos formulaires pour répondre aux exigences du RGPD, et ce qui se passe si vous ne le respectez pas.
Qu'est-ce que le RGPD et s'applique-t-il à vos formulaires ?
Le RGPD (Règlement général sur la protection des données) est une loi de l'Union européenne qui encadre la façon dont les organisations collectent, stockent et utilisent les données personnelles. Il s'applique à toute entreprise, où qu'elle soit dans le monde, qui collecte des informations auprès de résidents de l'UE.
Vos formulaires relèvent du RGPD si :
- Vous avez des visiteurs de l'UE et que votre formulaire recueille des informations auprès d'eux
- Vous collectez des adresses e-mail, des noms, des numéros de téléphone, des adresses IP ou toute autre information d'identification
- Vous collectez des informations sur des résidents de l'UE même si vous n'êtes pas établi dans l'UE
Peu importe que votre entreprise soit grande ou petite, son secteur, ou si vous vendez quelque chose. Si vous collectez des données de résidents de l'UE, le RGPD s'applique.
Qu'exige le RGPD pour les formulaires ?
Le RGPD fixe plusieurs règles précises pour les formulaires qui collectent des données :
Transparence : dites aux visiteurs ce que vous collectez
Avant qu'une personne remplisse votre formulaire, elle doit savoir quelles données vous collectez et pourquoi. Vous devez fournir des informations claires sur :
- Les données collectées (e-mail, nom, etc.)
- Ce que vous en ferez (leur envoyer des e-mails, les ajouter à une liste de diffusion, les conserver pour un futur contact)
- Qui y aura accès (votre équipe, des services tiers, etc.)
- La durée de conservation
Ces informations doivent être visibles pour les visiteurs avant qu'ils envoient le formulaire. Une politique de confidentialité vers laquelle vous faites un lien ne suffit pas. Vous devez fournir les informations clés directement sur la page du formulaire ou au-dessus du formulaire lui-même.
Consentement : demandez explicitement, ne présumez pas
Pour la plupart des collectes de données, vous avez besoin du consentement explicite du visiteur. Il doit accepter activement vos conditions. Cocher une case est un consentement. Se taire n'en est pas un.
C'est différent du fonctionnement des formulaires avant le RGPD. Vous ne pouvez pas supposer que, parce que quelqu'un a envoyé un formulaire pour vous contacter, il accepte automatiquement d'être ajouté à votre liste d'e-mails marketing. Chaque usage des données demande un consentement distinct.
Le consentement doit être donné librement
Le consentement ne peut pas être une condition d'utilisation de votre service si les données ne sont pas nécessaires à ce service. Par exemple, si quelqu'un remplit un formulaire de contact pour poser une question, vous avez besoin de son e-mail pour répondre. Vous n'avez pas besoin de consentement pour cela, car c'est nécessaire. Mais si vous voulez l'ajouter à votre newsletter marketing, c'est facultatif, et vous avez besoin d'un consentement explicite.
Le mécanisme de consentement doit lui-même être clair
Si vous utilisez une case à cocher pour le consentement, elle doit être décochée au départ. Les visiteurs doivent la cocher activement. Les cases cochées d'avance ne comptent pas comme un consentement. Le texte doit être clair et simple, pas noyé dans du jargon juridique.
Structurer les formulaires pour le consentement RGPD
Données essentielles et données facultatives
D'abord, séparez les données dont vous avez absolument besoin des données facultatives :
- Essentielles : les informations nécessaires pour traiter la demande (l'e-mail pour répondre à un formulaire de contact, l'adresse pour expédier une commande)
- Facultatives : les informations souhaitées pour le marketing ou les statistiques (par quel canal la personne est arrivée, sa fonction)
Indiquez clairement « (facultatif) » sur les champs facultatifs pour que les visiteurs sachent qu'ils ne sont pas obligés de les remplir.
Cases de consentement séparées
Si vous voulez utiliser les données à plusieurs fins, utilisez des cases séparées. Une pour « J'accepte d'être contacté par e-mail » et une autre pour « J'accepte de recevoir des e-mails marketing ». Ne les regroupez pas dans une seule case.
<label> <input type="checkbox" name="contact_consent" required> Vous acceptez que nous vous contactions pour répondre à cette demande </label> <label> <input type="checkbox" name="marketing_consent"> J'accepte de recevoir des e-mails marketing sur les nouveaux produits et les offres spéciales </label>Remarquez que la première case est obligatoire (nécessaire au service) mais décochée par défaut. La seconde est facultative (le marketing n'est pas nécessaire) et également décochée par défaut.
Un texte de consentement clair et lisible
Le texte de la case doit être clair et précis. Des formules génériques comme « J'accepte vos conditions générales » ne satisfont pas le RGPD. Soyez précis sur ce à quoi le visiteur consent.
Mauvais : « J'accepte »
Mieux : « J'accepte de recevoir des e-mails marketing »
Idéal : « J'accepte de recevoir des e-mails marketing sur les produits et les offres, environ deux fois par mois »
Plus c'est précis, mieux c'est. Dites exactement aux visiteurs à quoi ils consentent.
Faites un lien vers votre politique de confidentialité
Après les cases de consentement, incluez un lien vers votre politique de confidentialité complète. Les visiteurs peuvent ainsi lire le détail complet de la façon dont vous traitez leurs données, s'ils le souhaitent.
<p>En envoyant ce formulaire, vous acceptez notre <a href="/glossaire/politique-de-confidentialite">politique de confidentialité</a>.</p>Conservation des données et RGPD
Le RGPD exige aussi que vous ne conserviez les données personnelles que le temps nécessaire. Vous devez définir et respecter une politique de conservation des données.
- Combien de temps garderez-vous les envois du formulaire de contact ? (30 jours ? 6 mois ? Jusqu'à la résolution de la demande ?)
- Combien de temps garderez-vous les personnes dans une liste d'e-mails marketing ? (Jusqu'à leur désinscription ?)
- Combien de temps garderez-vous les données client après un achat ? (7 ans pour les documents fiscaux, puis suppression)
Documentez votre politique de conservation et appliquez-la. Mettez en place un calendrier pour supprimer automatiquement les anciens envois et les anciennes données.
Les droits que le RGPD donne aux personnes concernées
Quand quelqu'un envoie un formulaire sur votre site, il a des droits au titre du RGPD :
- Droit d'accès : elle peut demander quelles données vous avez sur elle
- Droit à l'oubli : elle peut vous demander de supprimer ses données (avec des exceptions, comme les documents fiscaux)
- Droit de rectification : elle peut vous demander de corriger des données inexactes
- Droit à la portabilité des données : elle peut vous demander de lui remettre ses données dans un format portable
- Droit de retirer son consentement : elle peut retirer à tout moment son consentement aux e-mails marketing ou à d'autres usages
Vous devez être prêt à traiter ces demandes. Cela signifie en général avoir un moyen pour les personnes de les transmettre (une adresse e-mail, un formulaire, etc.) et pouvoir répondre sous 30 jours.
Amendes et conséquences du RGPD
Les violations du RGPD entraînent des sanctions importantes :
- Jusqu'à 20 millions d'euros ou 4 % de votre chiffre d'affaires annuel mondial (le plus élevé des deux) pour les violations les plus graves
- Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires pour les violations moins graves
- En pratique, même de petites entreprises risquent des amendes à six chiffres en cas de fuite de données ou de violation du consentement
Au-delà des amendes, une violation du RGPD peut nuire à votre réputation, vous faire perdre des clients et engager votre responsabilité juridique si des données sont mal utilisées.
Liste de contrôle de conformité RGPD pour les formulaires
- [ ] Vous avez identifié les données que vous collectez
- [ ] Vous avez une politique de confidentialité claire
- [ ] Vous affichez les informations clés de confidentialité au-dessus ou dans le formulaire
- [ ] Toutes les cases sont décochées au départ
- [ ] Les cases de consentement utilisent un texte clair et précis
- [ ] Vous avez des cases séparées pour des usages séparés des données (contact et marketing)
- [ ] Votre formulaire explique la conservation des données (combien de temps vous gardez les envois)
- [ ] Vous avez une politique de conservation des données et vous l'appliquez (suppression des anciennes données)
- [ ] Vous avez un processus pour que les personnes demandent l'accès, la suppression ou la correction de leurs données
- [ ] Vous pouvez facilement désinscrire les personnes des e-mails marketing
- [ ] Vous savez où sont stockées les données des visiteurs et qui y a accès
Ce que fait WEMASY pour la conformité RGPD
Les formulaires WEMASY incluent des fonctions de gestion du consentement qui vous aident à répondre aux exigences du RGPD. Vous pouvez ajouter des cases de consentement à vos formulaires, et WEMASY enregistre les options acceptées par chaque visiteur. Les envois comprennent des horodatages pour savoir quand le consentement a été donné. WEMASY vous aide aussi à gérer la conservation des données en vous permettant de définir des règles de suppression automatique des anciens envois.
Votre marque a toujours besoin d'une politique de confidentialité et doit décider comment traiter les demandes d'accès aux données, mais WEMASY gère l'infrastructure technique du consentement et de la gestion des données.
Découvrez les fonctions de conformité incluses dans votre offre sur la page des tarifs.