Cookies et formulaire de contact : les règles à respecter

Vous venez de mettre un formulaire de contact sur votre site. Bravo. Mais maintenant, que faites-vous des adresses email collectées ? Et si vous posez un pixel Google Analytics, êtes-vous obligé de demander la permission ? La réponse, comme souvent en droit français, est nuancée.

Cookies : le consentement d'abord

Un cookie est un petit fichier que votre navigateur stocke pour se souvenir de quelque chose. On en rencontre partout : pour rester connecté, pour afficher des publicités ciblées, pour compter les visiteurs.

La CNIL a des règles très claires : la plupart des cookies demandent un consentement explicite avant d'être déposés sur l'ordinateur du visiteur.

Quels cookies ont besoin d'une permission ?

Cookies de suivi et analytics : si vous voulez savoir combien de personnes visitent votre site ou comment elles le naviguent (Google Analytics, Matomo, etc.), vous devez demander leur consentement. C'est un cookie de "mesure d'audience" qui trace le comportement.

Cookies publicitaires : si vous ciblez des publicités en fonction du profil ou de l'historique du visiteur, consentement obligatoire.

Cookies de réseaux sociaux : les boutons Facebook/Instagram/LinkedIn déposent des cookies si vous ne les configurez pas correctement. Consentement exigé.

Quels cookies peuvent être déposés sans permission ?

Cookies de session : un cookie qui permet au visiteur de rester connecté sur son espace client ou son panier. C'est strictement nécessaire au fonctionnement du site. Vous pouvez le déposer sans demander.

Cookie de langue : si votre site propose plusieurs langues, le cookie qui mémorise le choix du visiteur n'a pas besoin de consentement.

Cookies de sécurité : les cookies qui protègent contre les attaques (CSRF token, par exemple) sont exemptés.

La limite ? Un cookie est exempt uniquement s'il est strictement nécessaire au service demandé par l'utilisateur. Si vous en doutez, demandez le consentement.

Comment obtenir ce consentement ?

Vous avez deux options :

1. Afficher une banneau de consentement qui permet au visiteur de :

• Accepter tous les cookies
• Refuser les cookies non essentiels
• Personnaliser ses préférences (accepter les stats, refuser la pub)

Le visiteur doit avoir une vraie liberté de choix — pas un petit bouton « Refuser » caché sous dix couches de texte.

2. Déposer les cookies essentiels sans demander, puis ajouter une banneau pour les autres.

Chez Veliocas, par exemple, le site n'utilise pas de cookies du tout : aucune analytics, aucun suivi. C'est aussi une option, et elle simplifie la vie.

Formulaire de contact : données personnelles

Vous voulez collecter l'email et le nom d'un visiteur qui vous contacte. C'est normal. Mais la loi impose que vous expliquiez pourquoi, comment et combien de temps vous les garderez.

Ce que vous DEVEZ afficher

Près de votre formulaire de contact, indiquez clairement :

Qui collecte les données ? Votre nom/entreprise.

Pourquoi : vous allez répondre à sa demande de contact. C'est la « base légale » de la collecte (pour le RGPD).

Combien de temps vous les conservez : vous ne pouvez pas garder les emails indéfiniment. Définissez une durée de conservation appropriée à votre besoin (par exemple, le temps de répondre plus quelques semaines). Après cette période, vous devez les supprimer.

Qui a accès : c'est vous (ou votre équipe), pas Facebook, pas Google Analytics, pas une agence externe (sauf si elle héberge votre formulaire, auquel cas il faut le dire).

Droits du visiteur : mention que la personne peut demander à accéder, corriger ou supprimer ses données.

Exemple simple :

« Nous collectons votre email pour répondre à votre message. Vos données sont conservées 3 mois après réponse, puis supprimées. Vous avez le droit d'accéder, corriger ou effacer vos données en nous contactant. »

Consentement explicite sur le formulaire

Vous pouvez ajouter une checkbox en fin de formulaire : « J'accepte que mes données soient utilisées pour me répondre. » C'est redondant si vous avez déjà expliqué l'utilisation, mais certains considèrent que c'est plus prudent.

Sécurité des données

Vos emails ne doivent pas traîner en clair sur un serveur accessible à tous. Idéalement :

• Le formulaire doit être en HTTPS (clé verte dans la barre d'adresse)
• Les données doivent être stockées de façon sécurisée (chiffrement, accès limité)
• Pas de copie en texte brut sur des fichiers Excel partagés n'importe où

Quand dois-je mettre à jour ma politique de confidentialité ?

Si votre site collecte n'importe quelle donnée personnelle — email, numéro de téléphone, localisation, même anonymisée — vous devez publier une politique de confidentialité.

La CNIL recommande de débuter le RGPD en 4 étapes :

1. Faire un registre de vos traitements (formulaire de contact, emails collectés, stats du site)
2. Définir la base légale (pourquoi vous collectez)
3. Fixer une durée de conservation (combien de temps vous gardez)
4. Assurer la sécurité (qui a accès, comment c'est protégé)

Ces quatre points doivent figurer dans votre politique de confidentialité.

Cas particulier : formulaires tiers

Si vous utilisez un service externe pour votre formulaire (Typeform, JotForm, etc.), vous déléguez le traitement des données. Vous devez :

• Vérifier que le service est conforme RGPD (regardez sa politique de confidentialité)
• Mettre à jour votre politique pour expliquer que les données vont chez ce tiers
• Vous assurer que ce tiers est situé en Europe ou a des garanties équivalentes

C'est du travail administratif, mais c'est obligatoire.

Check-list pour rester conforme

Avant de faire vivre votre formulaire :

• Avez-vous expliqué pourquoi vous collectez des données (à côté du formulaire) ?
• Avez-vous indiqué la durée de conservation ?
• Avez-vous mentionné comment les données sont protégées ?
• Avez-vous listé les droits du visiteur (accès, suppression) ?
• Avez-vous une politique de confidentialité publiée et facilement accessible ?
• Si vous utilisez analytics ou ads, avez-vous une banneau de consentement pour les cookies ?
• Le formulaire est-il en HTTPS ?

Besoin d'aide pour mettre en place tout cela ?

La conformité juridique n'est pas une option pour un site professionnel. Veliocas peut vous créer un site web avec tous les éléments légaux en place, depuis les mentions légales jusqu'à la gestion des cookies. Ou contactez-nous si vous avez des questions spécifiques.

Disclaimer : cet article vous informe sur les obligations générales. Il ne remplace pas un conseil juridique spécialisé. Consultez un avocat ou la CNIL si vous avez des questions précises sur votre situation.