Guide · 6 min de lecture
Formulaire RGPD : créer un formulaire conforme, hébergé en Europe
En bref
Un formulaire conforme au RGPD ne collecte que le nécessaire, informe clairement via une mention d'information, recueille un consentement actif quand il le faut, et tourne sur une infrastructure que vous pouvez situer.
Un formulaire de contact ou d'enquête traite des données personnelles, le RGPD s'applique donc directement. Ce guide résume ce que cela signifie concrètement, avec une checklist à cocher, et comment un formulaire hébergé en Europe s'inscrit dans cette logique. Précision : ceci n'est pas un conseil juridique, en cas de doute, consultez un professionnel de la protection des données.
Ce que le RGPD exige d'un formulaire
La limitation des finalités impose de définir à l'avance l'usage des données collectées, sans les détourner ensuite vers un autre usage. La minimisation des données impose de ne demander que les champs réellement nécessaires à cet usage : un formulaire de contact a rarement besoin d'une date de naissance ou d'une adresse postale.
Quand vous ne pouvez pas vous appuyer sur un contrat ou un intérêt légitime, par exemple pour une inscription à une newsletter ou une enquête marketing, un consentement actif est requis (case à cocher non pré-cochée). La mention d'information, exigée par les articles 13 et 14 du RGPD, doit apparaître directement sur le formulaire ou via un lien vers la politique de confidentialité, en précisant qui traite les données, pour quoi, et pendant combien de temps.
Sous-traitants, durée de conservation et transfert hors UE
Quand un prestataire externe héberge le formulaire ou traite les données, il agit en général comme sous-traitant au sens de l'article 28 du RGPD, ce qui suppose un contrat de sous-traitance entre vous et ce prestataire. Vérifiez auprès de l'outil choisi si un tel contrat est proposé, et demandez-le explicitement si ce n'est pas clairement documenté.
Fixez une durée de conservation : les réponses ne devraient pas être conservées indéfiniment, mais supprimées ou anonymisées après une période définie et cohérente avec la finalité. Un transfert hors de l'UE/EEE, par exemple vers un prestataire d'IA basé aux États-Unis pour une fonction d'analyse, doit être signalé dans la politique de confidentialité et reposer sur un cadre juridique adapté, comme des clauses contractuelles types.
Checklist
Avant de publier un formulaire, un rapide passage en revue des points essentiels évite les mauvaises surprises.
- Finalité du formulaire définie à l'avance et champs limités au nécessaire.
- Mention d'information (art. 13/14) visible ou liée directement sur le formulaire.
- Consentement actif recueilli quand aucune autre base légale ne s'applique.
- Contrat de sous-traitance avec chaque prestataire externe qui traite les données.
- Durée de conservation des réponses définie et documentée.
- Tout transfert hors UE (par exemple vers un prestataire d'IA) mentionné dans la politique de confidentialité.
Comment YeetForm s'inscrit dans cette logique
Chez YeetForm, les formulaires et les réponses sont hébergés en Europe (Hetzner, Allemagne). Si vous utilisez une fonction IA (création, modification, traduction ou analyse des réponses), le contenu concerné est envoyé à Anthropic aux États-Unis pour traitement, sans que ces données servent à entraîner leurs modèles ; pour des réponses particulièrement sensibles, il suffit de ne pas activer l'analyse.
YeetForm ne propose pas aujourd'hui de contrat de sous-traitance téléchargeable en libre-service, vérifiez ce point directement si votre organisation en exige un. La protection par mot de passe du formulaire, un texte de mention d'information personnalisable, et la liberté de ne choisir que les champs nécessaires facilitent en pratique la limitation des finalités et la minimisation des données.