Le RGPD et les formulaires web

Tout traitement de données à caractère personnel doit reposer sur l'une des six bases juridiques de l'article 6, paragraphe 1, du RGPD. Pour un formulaire de contact, la base n'est souvent pas le consentement : répondre à une personne qui vous a posé une question peut reposer sur des mesures précontractuelles prises à sa demande ou sur l'intérêt légitime. Le consentement entre en jeu lorsque vous voulez faire quelque chose que la personne n'a pas demandé, comme l'inscrire à une lettre d'information. Quand une case de consentement est nécessaire et ce qu'elle doit indiquer.

L'article 13 exige une mention d'information courte au moment de la collecte : qui vous êtes, pourquoi vous collectez les données, la base juridique, les destinataires et la durée de conservation. Un lien vers votre politique de confidentialité à côté du bouton d'envoi suffit généralement (ce que la mention doit indiquer, avec des exemples de formulations). Ne demandez que les champs nécessaires pour répondre (minimisation des données, article 5, paragraphe 1, point c)) : un champ de numéro de téléphone que vous n'utilisez jamais est un risque, pas un confort.

Le service qui reçoit le POST de votre formulaire est un sous-traitant. L'article 28 exige un contrat avec lui, un accord de traitement des données, et vous êtes responsable de savoir quels sous-traitants ultérieurs il utilise et où ils se trouvent. Si l'un d'eux stocke les données hors de l'UE/EEE, les règles de transfert du chapitre V s'appliquent également. Utiliser un fournisseur de formulaires américain au regard du RGPD traite de l'arrêt Schrems II, du Data Privacy Framework et de ce qu'il faut demander à un fournisseur.

Formward stocke les soumissions en Suède, et son registre des sous-traitants ultérieurs répertorie chaque tiers avec sa localisation et sa finalité. Le DPA est publié intégralement et peut être accepté depuis le tableau de bord. Pour l'aspect des transferts, voir où se trouve chaque partie des données et l’explication sur Schrems II.

La soumission enregistrée n'est que rarement la seule copie. Un e-mail de notification arrive dans une boîte de réception, un webhook transmet les données vers un CRM, une synchronisation alimente une feuille de calcul. Chacune de ces copies a son propre emplacement et sa propre durée de vie, et la durée de conservation que vous définissez sur le formulaire ne s'applique pas à elles.

Si l'adresse de notification est une boîte mail hébergée hors de l'UE, l'e-mail peut faire sortir le contenu des soumissions de l'UE. Le mode de notification « lien uniquement » de Formward envoie un e-mail sans valeurs de champs, sans objet ni noms de pièces jointes, afin que vous consultiez la soumission dans le tableau de bord hébergé dans l'UE. Pour en savoir plus sur la configuration des notifications, consultez formulaire vers e-mail.

Le principe de limitation de la conservation (article 5, paragraphe 1, point e) du RGPD) prévoit que les données personnelles ne doivent pas être conservées plus longtemps que ne l'exige la finalité. Le RGPD ne fixe pas de durée à votre place : c'est à vous d'en choisir une, de la documenter et de la respecter. Formward supprime automatiquement les soumissions à l'issue de la durée que vous définissez pour chaque formulaire, et l'offre Free fixe cette durée à 30 jours. Comment choisir une durée de conservation.

Toute personne ayant rempli votre formulaire peut demander une copie de ses données (article 15) ou leur effacement (article 17), et vous disposez en général d'un mois pour répondre (article 12, paragraphe 3). Le plus difficile est de retrouver toutes les soumissions qui mentionnent la personne. La console DSAR de Formward recherche, dans tous les formulaires de vos espaces de travail, les soumissions liées à une adresse e-mail, exporte ce qu'elle trouve et efface les données avec un certificat. Comment traiter une demande de personne concernée.

De nombreuses organisations tiennent un registre des activités de traitement au titre de l'article 30. Pour un formulaire, cela correspond à une entrée : finalité, champs, base juridique, durée de conservation, destinataires et sous-traitants. Si votre formulaire envoie ses données à Formward, les informations sur le sous-traitant dont vous avez besoin figurent dans notre registre au titre de l'article 30 et dans le registre des sous-traitants ultérieurs. Le champ honeypot de Formward, _gotcha, et le hachage des adresses IP avec clé sont documentés sur la page sécurité si vous devez décrire les mesures techniques.

• Adresses IP : si elles constituent des données personnelles, pourquoi un simple hachage ne les rend pas anonymes, et combien de temps les conserver.
• Fichiers téléversés : CV, photos et documents, avec minimisation des données, conservation et contrôle des accès.
• Fournisseurs de formulaires américains : transferts, arrêt Schrems II, Data Privacy Framework et clauses contractuelles types.
• Mention d'information pour un formulaire de contact : les points de l'article 13 et une formulation que vous pouvez adapter.
• Choisir un service de formulaires : sept questions à poser à tout fournisseur avant d’y envoyer les données de vos visiteurs.