Formulaire de contact WordPress et RGPD : la conformité

Un formulaire de contact WordPress collecte des données personnelles : le mettre en conformité avec le RGPD demande six décisions écrites. La base légale du traitement, les mentions affichées au visiteur, la durée de conservation, l’inscription au registre, la liste des sous-traitants et la protection anti-spam. Aucune n’exige de compétence juridique particulière.

Ce qu’un formulaire collecte vraiment

La question paraît triviale, elle ne l’est presque jamais. Les champs visibles sont connus : nom, adresse électronique, parfois téléphone, société, message libre. Ce champ libre mérite une attention particulière, car un visiteur y écrit ce qu’il veut, y compris des informations de santé ou familiales dont personne n’avait demandé la communication.

Les données invisibles posent davantage de difficultés. Selon l’extension utilisée, l’envoi enregistre l’adresse IP, l’identifiant du navigateur, l’horodatage, parfois la page d’origine. Ces éléments constituent des données à caractère personnel et entrent dans le périmètre du traitement, même si aucun écran ne les affiche.

Reste le trajet du message. Il transite par le serveur d’envoi, atterrit dans une boîte de réception, se duplique éventuellement dans une base de données du site et dans un outil de gestion commerciale. Chaque copie est un endroit où les données vivent, se conservent et doivent être supprimées le moment venu. Cartographier ces copies avant toute autre chose évite de rédiger des mentions qui décrivent un traitement imaginaire.

La copie oubliée dans la base

Beaucoup d’extensions proposent d’enregistrer les envois dans la base du site, en plus de l’expédition par courriel. Cette option est parfois activée par défaut. Les messages s’accumulent alors pendant des années dans une table que personne ne consulte, sauvegardée à chaque copie du site, restaurée à chaque incident. La structure interne du logiciel, décrite dans notre panorama du fonctionnement de WordPress, explique pourquoi cette table survit à tout, y compris à un changement de thème.

Base légale : intérêt légitime, pas consentement

L’erreur la plus répandue consiste à ajouter une case « j’accepte que mes données soient traitées » sous chaque formulaire. Elle part d’une bonne intention et rate la cible.

Le RGPD énumère six bases légales à son article 6.1. Le point f) vise le traitement « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ». Répondre à une personne qui écrit spontanément entre exactement dans ce cadre : elle sollicite une réponse, le traitement sert cette réponse, aucune atteinte disproportionnée à ses droits n’en découle.

Le point a) de ce même article, le consentement, s’applique quand la personne « a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ». La nuance décide de tout : une case cochée pour obtenir une réponse ne constitue pas un consentement libre, puisque refuser signifie renoncer au service demandé. Cette case n’ajoute donc aucune protection, alourdit le formulaire et fait baisser le taux d’envoi.

La case qui, elle, s’impose

Une seconde finalité change la donne. Si l’envoi du formulaire inscrit aussi la personne à une lettre d’information ou alimente un fichier de prospection, ce second traitement repose sur le consentement. La CNIL le décrit sans ambiguïté : il doit être libre, spécifique, éclairé et univoque, matérialisé par un acte positif tel qu’une case dédiée non pré-cochée. Elle précise que l’acceptation de conditions générales ne remplace pas ce consentement, et que la personne peut le retirer à tout moment.

En pratique, la base légale du formulaire se traduit par une règle de conception : une case unique, en dessous du bouton d’envoi, réservée à l’inscription commerciale, décochée, dont le texte annonce précisément ce qui sera envoyé et à quelle fréquence.

Formulaire de contact WordPress et RGPD : les mentions à afficher

L’article 13 du RGPD liste les informations dues à la personne lorsque les données sont collectées directement auprès d’elle. Son paragraphe 1 impose l’identité et les coordonnées du responsable de traitement, celles du délégué à la protection des données le cas échéant, les finalités et la base juridique du traitement, l’indication des intérêts légitimes poursuivis quand le traitement s’appuie sur l’article 6.1.f, les catégories de destinataires, et l’information sur les transferts vers un pays tiers.

Son paragraphe 2 ajoute la durée de conservation ou les critères qui la déterminent, l’existence des droits d’accès, de rectification, d’effacement, de limitation et de portabilité, le droit de retirer un consentement sans effet rétroactif, le droit de saisir une autorité de contrôle, et le caractère obligatoire ou facultatif de la fourniture des données.

Tout afficher sous le formulaire le rendrait illisible. La solution retenue par la quasi-totalité des sites tient en deux niveaux : trois lignes sous les champs, qui nomment le responsable, la finalité, la durée et le lien vers la page complète ; puis une politique de confidentialité qui développe le reste. Les champs facultatifs se signalent au passage, puisque le caractère obligatoire fait partie des mentions dues.

Un exemple de formulation courte tient en deux phrases. Les informations transmises servent à traiter votre demande et ne sont communiquées à aucun tiers à des fins commerciales ; elles sont conservées douze mois, et vous disposez d’un droit d’accès, de rectification et de suppression en écrivant à l’adresse indiquée en mentions légales.

Durée de conservation : la décider, puis l’appliquer

L’article 5.1.e du RGPD exige que les données soient « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Aucun texte ne fixe de durée universelle pour un message de contact : la CNIL rappelle que le responsable de traitement détermine cette durée en fonction de l’objectif de la collecte, et publie des référentiels sectoriels plutôt qu’un chiffre unique.

Trois cas se distinguent nettement, et la durée de conservation retenue doit apparaître dans les mentions du formulaire.

Une confusion fréquente mérite d’être levée : l’obligation comptable porte sur la facture, pas sur le message initial. Conserver dix ans un courriel de demande d’information au motif que la personne est devenue cliente ne repose sur rien.

La durée écrite ne vaut que si elle est tenue. Une purge manuelle inscrite à l’agenda deux fois par an suffit pour un site vitrine, à condition de viser les trois emplacements : la boîte de réception, la table de l’extension et l’outil commercial. Cette purge se glisse naturellement dans la routine d’entretien du site, au même titre que les mises à jour.

Le registre des traitements, y compris pour une TPE

L’article 30 du RGPD impose à tout organisme traitant des données personnelles de tenir un registre de ses activités de traitement. Une dérogation existe pour les structures de moins de 250 salariés, qui n’ont à inscrire que trois catégories : les traitements non occasionnels, ceux qui présentent un risque pour les droits et libertés, et ceux portant sur des données sensibles. La CNIL souligne que cette dérogation vise des cas très particuliers et recommande, en cas de doute, d’inscrire le traitement par prudence.

Un formulaire de contact opérationnel toute l’année n’a rien d’occasionnel. Il entre donc dans le registre, sous une fiche qui tient en une page : nom du traitement, finalité, base légale, catégories de personnes et de données, destinataires internes et externes, durée de conservation, mesures de sécurité, transferts éventuels. La CNIL diffuse un modèle de registre au format tableur, ce qui évite tout achat d’outil.

Ce document sert d’abord en interne. Le remplir oblige à répondre à des questions que la mise en place technique laisse ouvertes, notamment le nom exact des prestataires qui voient passer les données.

Sous-traitants et transferts hors Union européenne

Un formulaire fait intervenir plusieurs acteurs. L’hébergeur stocke le site et sa base. Un service d’envoi de courriels transactionnels expédie parfois les messages à la place du serveur. Un outil de gestion commerciale récupère les demandes qualifiées. Chacun traite des données pour le compte du responsable : ce sont des sous-traitants au sens de l’article 28 du RGPD.

Cet article impose un contrat écrit définissant les obligations respectives, restreint le sous-traitant au traitement sur instruction documentée, et lui interdit d’engager un autre sous-traitant sans instruction documentée du responsable. En pratique, ce contrat existe déjà chez les prestataires sérieux, sous la forme d’un avenant de protection des données accessible depuis l’espace client. Le télécharger et le classer prend dix minutes ; il constitue la preuve attendue en cas de contrôle.

La localisation des serveurs mérite la même vérification. Le chapitre V du RGPD encadre les transferts hors Union européenne : l’article 45 autorise ceux vers un pays couvert par une décision d’adéquation de la Commission européenne, l’article 46 exige à défaut des garanties appropriées comme les clauses contractuelles types ou des règles d’entreprise contraignantes, et l’article 49 ne tolère que des dérogations limitées, par exemple le consentement explicite au transfert envisagé. L’article 44 pose le principe qui commande le reste : le niveau de protection garanti par le règlement doit être maintenu quelle que soit la destination.

La conséquence est simple à formuler. Un prestataire dont l’infrastructure se situe hors de l’Union impose de vérifier lequel de ces mécanismes s’applique, puis de le mentionner dans la politique de confidentialité. Le choix de l’hébergement, abordé dans notre article sur l’hébergement et l’installation, se joue aussi sur ce critère.

Filtrer le spam sans déposer de traceur

Un formulaire de contact sans protection reçoit du spam automatisé en quelques semaines. Le réflexe consiste à installer un captcha fourni par un grand acteur du web. Ce réflexe crée deux obligations nouvelles.

L’article 82 de la loi Informatique et Libertés soumet au consentement préalable du visiteur toute lecture ou écriture d’informations dans son terminal. Les exemptions sont étroites : la CNIL n’exempte les traceurs de mesure d’audience qu’à quatre conditions cumulatives, dont la production de statistiques strictement anonymes, l’absence de recoupement avec d’autres traitements et l’absence de suivi de l’internaute entre plusieurs sites. Un service anti-robots qui analyse le comportement de navigation ne remplit pas ces conditions. Second point : ce même service implique souvent un transfert de données hors Union, donc l’examen décrit plus haut.

Trois protections évitent entièrement le sujet.

• Le champ piège, invisible pour un humain et rempli par un robot, rejette l’envoi sans rien collecter.
• Une question de bon sens posée en clair, changée de temps en temps, arrête les scripts génériques.
• Une limitation du nombre d’envois par adresse IP et par heure, réglée côté serveur ou par une extension de sécurité, stoppe les vagues automatisées.

Ces mécanismes se cumulent et suffisent à la très grande majorité des sites vitrines. Ils présentent un autre avantage : aucun script tiers à charger, donc aucun effet sur le temps d’affichage, un facteur détaillé dans notre méthode de diagnostic des causes de lenteur d’un site.

Sécuriser ce qui arrive dans la boîte

L’article 32 du RGPD demande des mesures techniques et organisationnelles adaptées au risque, en citant nommément la pseudonymisation et le chiffrement des données, la disponibilité et la résilience des systèmes, ainsi que des évaluations régulières de l’efficacité de ces mesures. Traduites pour un site vitrine, ces exigences donnent une liste courte.

• Le certificat HTTPS actif sur toutes les pages, sans quoi le contenu du formulaire circule en clair.
• Le stockage en base désactivé si le courriel suffit, ce qui supprime une copie à protéger et à purger.
• Des comptes administrateurs nominatifs, avec authentification à deux facteurs, aucun compte partagé.
• Un accès aux messages restreint aux personnes qui en ont l’usage professionnel.
• Une suppression effective à l’échéance annoncée, corbeille de la messagerie comprise.

L’article 33 complète le dispositif : en cas de violation de données, la notification à l’autorité de contrôle intervient dans les meilleurs délais et, si possible, dans les 72 heures au plus tard après en avoir pris connaissance, sauf risque négligeable pour les personnes. Ce délai suppose de savoir qui prévient qui, question à trancher avant l’incident plutôt qu’en pleine panique.

Un dernier réflexe protège plus qu’il n’y paraît : ne demander que les champs réellement exploités. Chaque champ supprimé est une donnée en moins à décrire, à conserver, à sécuriser et à effacer. Un numéro de téléphone obligatoire alors que la réponse partira par courriel ne sert qu’à faire fuir une partie des visiteurs.

Par où commencer cette semaine

Ouvrez les réglages de votre extension de formulaire et vérifiez si les envois sont enregistrés en base. Désactivez cette option si le courriel suffit, puis videz la table existante. Écrivez ensuite les trois lignes de mentions sous les champs et la durée de conservation retenue. Comptez une heure pour ces deux gestes, une seconde heure pour la fiche de registre et le classement des avenants de protection des données des prestataires. Le formulaire est alors en règle sur les points qui font l’objet des contrôles.