Le formulaire de contact d’un artisan et le RGPD, sans affolement

Le règlement général sur la protection des données (RGPD) fait peur parce qu’on en parle surtout à propos des grandes plateformes et des amendes en millions. Pour un artisan dont le site reçoit quelques demandes de devis par mois, il se résume à une poignée de gestes, faits une fois et vérifiés de temps en temps.

En bref : écrivez sous le formulaire, en deux ou trois lignes, à quoi servent les informations, combien de temps vous les gardez et comment les faire effacer ; ne demandez que ce qui sert à rappeler le client et à chiffrer ; supprimez les demandes restées sans suite au bout de trois ans ; protégez la boîte mail qui les reçoit ; tenez un registre d’une page. Aucune case à cocher n’est nécessaire pour répondre à une demande de devis, aucune déclaration à la CNIL n’existe plus depuis 2018, et un délégué à la protection des données est rarement obligatoire pour une petite entreprise.

Pourquoi aucune case à cocher n’est nécessaire

Tout traitement de données repose sur une base légale. Quand un particulier vous écrit pour obtenir un devis, c’est lui qui fait la démarche, et vos échanges servent à préparer un contrat. La CNIL range ce cas dans la base « contrat », qui couvre aussi les mesures précontractuelles prises à la demande de la personne, même si aucun contrat n’est encore signé. Le consentement n’est donc pas la bonne base, et la case « J’accepte que mes données soient traitées » n’ajoute rien.

La case devient nécessaire dans un seul cas courant : si vous voulez ensuite envoyer des offres, une lettre d’information ou des promotions par e-mail à des particuliers. La CNIL demande alors leur accord préalable, recueilli par une case dédiée et non pré-cochée. Une demande de devis ne vaut pas inscription à vos envois.

Source : CNIL, « La base légale du contrat » ; CNIL, prospection commerciale par courrier électronique.

Ce qu’il faut écrire sous le formulaire

L’article 13 du RGPD impose d’informer la personne au moment où elle donne ses données. La CNIL propose deux niveaux : une information courte directement sous le formulaire, et une page « Données personnelles » qui détaille le reste. Elle liste ce que l’ensemble doit contenir : qui collecte, dans quel but, sur quelle base légale, qui reçoit les données, combien de temps elles sont gardées, quels droits la personne peut exercer et auprès de qui, et la possibilité de saisir la CNIL.

Un texte court à adapter

Voici une rédaction possible pour le premier niveau, à compléter avec vos informations :

« Les informations de ce formulaire servent uniquement à répondre à votre demande et à préparer un devis. Elles sont destinées à [nom de l’entreprise] et conservées trois ans après notre dernier échange si aucun chantier n’est engagé. Vous pouvez y accéder, les corriger ou les faire effacer en écrivant à [adresse e-mail]. Plus de détails sur notre page Données personnelles. »

La page de second niveau reprend ces éléments en entier : votre identité et vos coordonnées, la base légale (préparation d’un devis à votre demande), les destinataires (vous, et le cas échéant votre hébergeur ou votre prestataire de messagerie), les durées, la liste des droits (accès, rectification, effacement, limitation, opposition) et l’adresse de la CNIL pour une réclamation. La fiche officielle sur les mentions d’un site demande qu’elle soit accessible depuis chaque page.

Source : CNIL, exemples de formulaire de collecte de données ; CNIL, « RGPD en pratique : communiquer en ligne ».

Ne demander que ce qui sert

Le RGPD pose un principe de minimisation : on ne collecte que ce qui est nécessaire au but annoncé. Pour une demande de devis, cela donne en général :

• un nom ;
• un moyen de rappel, téléphone ou e-mail ;
• la commune du chantier, qui vous dit si vous intervenez ;
• une description des travaux, avec des photos si le client le souhaite.

La date de naissance, la situation de famille ou une pièce d’identité n’ont rien à faire dans un premier contact. L’adresse complète peut attendre la visite. La CNIL recommande aussi de distinguer les champs obligatoires des champs facultatifs, par exemple avec un astérisque : un client qui ne veut pas donner son téléphone peut toujours vous écrire. Notre guide du formulaire de demande de devis montre comment un formulaire court reçoit aussi des demandes plus complètes.

Combien de temps garder les demandes

Sources : CNIL, référentiel relatif à la gestion des activités commerciales ; Service Public Entreprendre, durées de conservation des documents d’une entreprise.

Concrètement : une fois par an, ouvrez le dossier ou le libellé où arrivent les demandes et supprimez celles de plus de trois ans qui n’ont débouché sur rien. C’est le geste le plus souvent oublié, et le plus simple.

Là où arrivent les messages

Le formulaire n’est que la porte d’entrée. Les demandes finissent dans une boîte mail, parfois sur un téléphone partagé, parfois dans un tableur. Le RGPD demande des mesures de sécurité adaptées, et pour un artisan elles sont du simple bon sens :

• le site est en HTTPS, pour que le formulaire ne circule pas en clair ;
• la boîte qui reçoit les demandes a un mot de passe solide, qui ne sert nulle part ailleurs, et la double authentification quand elle est proposée ;
• seules les personnes qui traitent les devis y ont accès ;
• un téléphone perdu peut être verrouillé ou effacé à distance.

Une adresse mail à votre nom de domaine, plutôt qu’une messagerie personnelle partagée avec la famille, aide aussi à séparer les demandes des clients du reste. Voir nom de domaine et adresse mail professionnelle.

Le registre, en une page

Le registre des traitements est obligatoire pour toutes les entreprises. La dispense prévue pour celles de moins de 250 salariés ne vaut que pour les traitements occasionnels, et une boîte de demandes de devis ne l’est pas. La CNIL publie un modèle de registre simplifié au format tableur, pensé pour les petites structures. Pour un artisan, deux ou trois fiches suffisent : les demandes de devis et les clients, la facturation, et le personnel s’il y en a. Elle précise que le registre est systématiquement demandé lors d’un contrôle.

Source : CNIL, « Le registre des activités de traitement » ; CNIL, questions-réponses pour les TPE et PME.

Les cookies d’un site vitrine

Un formulaire ne dépose pas de cookie publicitaire, mais le site autour peut le faire. La règle (article 82 de la loi Informatique et libertés) : les traceurs strictement nécessaires au fonctionnement du site se passent de consentement ; les autres demandent l’accord du visiteur avant d’être déposés. La CNIL range dans la seconde catégorie les vidéos de plateformes intégrées et les boutons de réseaux sociaux, et indique que la plupart des grands outils de statistiques ne peuvent pas bénéficier de l’exemption. Un outil de mesure d’audience configuré selon ses conditions (finalité limitée, adresse IP tronquée, traceur de 13 mois au plus) peut s’en passer.

Un site d’artisan sans vidéo intégrée, sans bouton de réseau social et avec une mesure d’audience exemptée n’a donc pas besoin de bandeau de consentement ; une phrase d’information dans la page Données personnelles suffit.

Source : CNIL, « Mesurer la fréquentation de vos sites web » ; Service Public Entreprendre, cookies et autres traceurs, vérifié le 13 octobre 2026.

Obligatoire, conseillé, idée reçue

Côté sanction, la fiche officielle du service public prévoit une amende de 1 500 € pour une information manquante. La CNIL indique, pour les petites entreprises, qu’un manquement léger peut se conclure par un simple courrier, les cas plus sérieux par une mise en demeure ou une sanction. Tout ce qui précède se fait en une matinée, avant qu’un contrôle ne pose la question.

La liste de contrôle

• Le site est en HTTPS, formulaire compris.
• Sous le formulaire, trois lignes disent à quoi servent les données, combien de temps elles sont gardées et à quelle adresse écrire.
• Une page « Données personnelles » détaille le reste et se trouve depuis chaque page.
• Le formulaire ne demande que le nom, un moyen de rappel, la commune et la description des travaux ; les champs facultatifs sont signalés.
• Aucune case pré-cochée ; une case séparée seulement si vous comptez envoyer des offres.
• La boîte qui reçoit les demandes a un mot de passe unique et la double authentification.
• Une date par an est bloquée pour supprimer les demandes de plus de trois ans sans suite.
• Le registre simplifié de la CNIL est rempli.
• Aucun traceur non exempté n’est déposé sans consentement.

La page Données personnelles se range à côté des mentions légales du site, que vous pouvez vérifier dans la foulée.

Ce guide résume des textes relus sur Légifrance et sur les sites officiels le 22 octobre 2026. Il ne remplace pas l’avis d’un juriste sur votre cas : les fiches citées en bas de page font foi, et votre chambre de métiers peut vous orienter.

Questions fréquentes

Faut-il une case à cocher RGPD sur un formulaire de demande de devis ?

Non. Répondre à une demande de devis repose sur la base légale du contrat, qui couvre les démarches faites à la demande du client. La case n’est utile que si vous voulez lui envoyer ensuite des offres par e-mail, et elle ne doit pas être pré-cochée.

Combien de temps garder une demande de devis restée sans suite ?

La CNIL retient trois ans à compter du dernier contact venant de la personne. Au-delà, supprimez la demande ou demandez à la personne si elle souhaite rester en contact.

Faut-il déclarer son site ou son formulaire à la CNIL ?

Non. Les déclarations préalables ont disparu avec l’entrée en application du RGPD le 25 mai 2018. Elles sont remplacées par le registre, que l’entreprise tient elle-même.

Un site vitrine d’artisan a-t-il besoin d’un bandeau cookies ?

Seulement s’il dépose des traceurs qui demandent un consentement : vidéos intégrées, boutons de réseaux sociaux, outils de statistiques non exemptés. Sans eux, une information dans la page Données personnelles suffit.

Puis-je envoyer mes promotions aux personnes qui m’ont demandé un devis ?

Pas sans leur accord préalable s’il s’agit de particuliers et d’envois par e-mail ou SMS. Une exception existe pour vos clients, pour des produits ou services similaires, à condition qu’ils puissent s’y opposer simplement.