Le RGPD et formulaires WordPress vont de pair dès qu’un site propose autre chose qu’une simple page vitrine : un formulaire de contact, une inscription à la newsletter, une prise de rendez-vous. Dès qu’un visiteur tape son nom ou son adresse email dans un champ, ce site collecte une donnée personnelle — et le RGPD (Règlement Général sur la Protection des Données, en vigueur dans toute l’Union européenne depuis 2018) s’applique, quelle que soit la taille du site ou le nombre de visiteurs. Bonne nouvelle : pour un site WordPress classique, se mettre en règle ne demande ni budget, ni développeur, juste quelques réglages et une mention bien placée. C’est ce que cet article détaille, pas à pas.
Ce que le RGPD change concrètement pour un formulaire
Le RGPD ne demande pas de bannir les formulaires ni de multiplier les cases à cocher illisibles. Il repose sur quelques principes simples, à respecter pour chaque formulaire du site :
- Finalité claire : le visiteur doit savoir pourquoi on lui demande son email (recevoir une réponse, recevoir la newsletter, télécharger un guide…) — une seule finalité par formulaire, annoncée avant qu’il ne clique.
- Minimisation des données : ne demander que ce qui est réellement nécessaire. Un formulaire de contact n’a pas besoin d’une date de naissance ou d’un numéro de téléphone si l’échange se fait par email.
- Consentement explicite pour tout ce qui n’est pas strictement nécessaire à la réponse immédiate — typiquement, l’inscription à une newsletter ne doit jamais être cochée par défaut.
- Durée de conservation limitée et droit d’accès, de rectification et de suppression : le visiteur doit pouvoir demander la suppression de ses données, et obtenir une réponse.
La CNIL rappelle dans son guide « RGPD en pratique : communiquer en ligne » que ces règles s’appliquent dès le premier formulaire publié, y compris sur un simple site vitrine, et recommande d’y penser « dès la conception » plutôt qu’en rattrapage une fois le site en ligne.
Formulaire de contact et formulaire newsletter : mêmes règles, nuances différentes
Un formulaire de contact classique (nom, email, message) est en général le plus simple à mettre en conformité : la finalité est évidente pour le visiteur (obtenir une réponse), la donnée est minimale, et la conservation peut être courte puisqu’il s’agit d’un échange ponctuel.
Le formulaire d’inscription à une newsletter est plus exigeant, car il engage une relation dans la durée : le visiteur doit explicitement accepter de recevoir des emails réguliers (case à cocher non pré-cochée, ou bouton d’inscription clair — jamais une inscription automatique glissée dans un autre formulaire), et il doit pouvoir se désinscrire à tout moment en un clic, généralement via un lien en pied de chaque email envoyé. C’est exactement le rôle que joue, côté outil d’emailing, une plateforme comme Systeme.io : la désinscription y est gérée automatiquement, ce qui décharge Dominique — ou n’importe quel éditeur de blog WordPress — de cette obligation technique.
La mention CNIL à ajouter sous chaque formulaire
Concrètement, sous chaque formulaire qui collecte une donnée, il est recommandé d’ajouter une mention courte qui informe le visiteur en une ou deux phrases. Un exemple minimal, à adapter :
« Les informations recueillies via ce formulaire sont utilisées uniquement pour [finalité précise, par ex. « répondre à votre message » ou « vous envoyer notre newsletter »]. Elles sont conservées [durée] et vous pouvez à tout moment demander leur suppression en écrivant à [adresse de contact]. Voir notre politique de confidentialité. »
Cette mention doit être visible avant l’envoi du formulaire, pas seulement dans une page de conditions générales que personne ne lit. Le lien vers la politique de confidentialité complète du site (voir section suivante) complète cette mention courte sans la remplacer.
La page « Politique de confidentialité » intégrée à WordPress
Beaucoup de propriétaires de sites WordPress ignorent que le cœur du logiciel intègre depuis longtemps un outil dédié à cette obligation. Dans l’administration, sous Réglages > Confidentialité, WordPress permet de créer automatiquement une page de politique de confidentialité pré-remplie avec des suggestions de texte, ou d’assigner une page déjà existante à ce rôle.
Un onglet dédié à cet écran donne même des recommandations sur les contenus à inclure, adaptées au type de site. Une fois la page assignée, WordPress ajoute automatiquement son lien sur les pages de connexion et d’inscription du site — mais pas dans le menu ou le pied de page, qu’il faut compléter manuellement (voir la documentation officielle de l’écran Confidentialité). Il reste ensuite de la responsabilité de l’éditeur du site de tenir cette page à jour au fil de l’évolution du site et de la réglementation — WordPress fournit l’outil, pas le contenu final.
Qui est responsable des données : vous, ou votre outil d’emailing ?
Autre notion utile à connaître, même sans être juriste : le RGPD distingue le responsable de traitement (la personne ou l’entreprise qui décide de collecter la donnée et pourquoi — dans notre cas, l’éditeur du site WordPress) du sous-traitant (l’outil technique qui stocke et traite la donnée pour le compte du premier — ici, la plateforme d’emailing utilisée, par exemple Systeme.io). Concrètement, cela veut dire que même si c’est Systeme.io qui héberge la liste d’abonnés et envoie les emails, c’est bien l’éditeur du site qui reste responsable, vis-à-vis de ses visiteurs, de la finalité de la collecte et de sa conformité générale. Choisir un outil d’emailing sérieux, qui documente lui-même ses propres obligations RGPD (politique de confidentialité, conditions d’utilisation des données), fait donc partie intégrante de la mise en conformité du site — pas un sujet à part.
Un exemple concret pour fixer les idées : un lecteur s’inscrit à la newsletter d’un blog via le formulaire du thème Atelier Polyvalent. L’éditeur du blog (responsable de traitement) a défini la finalité — recevoir les nouveaux articles — et affiché la mention de confidentialité adaptée sous le formulaire. Systeme.io (sous-traitant) stocke l’adresse email et gère techniquement l’envoi et la désinscription. Si ce lecteur demande la suppression de ses données, la demande doit être adressée à l’éditeur du site, qui se charge ensuite de la faire supprimer dans son compte Systeme.io — la responsabilité ne s’efface pas simplement parce qu’un outil tiers est utilisé.
Cas particulier : le formulaire newsletter du thème Atelier Polyvalent
Le thème WordPress Atelier Polyvalent intègre nativement une composition de formulaire d’inscription à la newsletter, pensée pour se connecter à Systeme.io. Comme l’ensemble du thème, ce formulaire n’ajoute par conception aucun cookie ni script de tracking supplémentaire : il transmet uniquement l’adresse email saisie par le visiteur, avec son consentement explicite au moment de l’inscription, vers la plateforme d’emailing choisie. Cela ne dispense toutefois pas d’ajouter la mention de confidentialité recommandée plus haut sous ce formulaire, ni de renseigner la page « Politique de confidentialité » — l’un ne remplace pas l’autre.
Checklist pratique en 5 points pour auditer ses formulaires existants
- Chaque formulaire du site a-t-il une seule finalité clairement annoncée avant l’envoi ? Un visiteur qui remplit un formulaire de contact ne doit jamais découvrir après coup qu’il vient aussi de s’inscrire à une newsletter.
- Aucune case d’inscription à une liste de diffusion n’est-elle cochée par défaut ? À vérifier en particulier si le formulaire a été mis en place avec un thème ou un plugin tiers, dont les réglages par défaut ne sont pas toujours conformes.
- Une mention courte de confidentialité apparaît-elle directement sous ou près du formulaire ? Pas seulement dans une page séparée que le visiteur doit chercher.
- La page « Politique de confidentialité » de Réglages > Confidentialité est-elle assignée, rédigée et à jour ? Une page vide ou un modèle jamais complété n’a aucune valeur.
- Existe-t-il un moyen simple (email, formulaire dédié) pour qu’un visiteur demande l’accès, la rectification ou la suppression de ses données ? Une simple adresse email clairement indiquée suffit dans la grande majorité des cas pour un petit site.
Cette checklist prend une dizaine de minutes à parcourir pour un site avec deux ou trois formulaires — largement suffisant pour repérer les oublis les plus courants avant qu’un visiteur ou une autorité ne les signale.
Questions fréquentes
Le RGPD s’applique-t-il à un tout petit blog personnel ?
Oui. La taille du site ou le nombre de visiteurs ne change rien à l’obligation : dès qu’une donnée personnelle est collectée via un formulaire, les principes de finalité, de minimisation et de consentement s’appliquent.
Un plugin de gestion des cookies suffit-il à être en conformité ?
Non. Un bandeau ou un plugin de consentement aux cookies traite un sujet connexe (les traceurs) mais ne remplace ni la mention de confidentialité sous un formulaire, ni la page de politique de confidentialité elle-même.
Faut-il l’accord d’un avocat pour rédiger sa politique de confidentialité ?
Ce n’est pas obligatoire pour un site simple, mais en cas de doute sur un traitement de données particulier (données sensibles, transfert hors Union européenne, volumétrie importante), l’avis d’un professionnel du droit reste recommandé.
Une case à cocher pré-cochée pour la newsletter est-elle vraiment interdite ?
Oui, c’est l’un des points les plus vérifiés : le consentement doit résulter d’un acte positif du visiteur, jamais d’une case déjà validée par défaut.
Laisser un commentaire