RGPD et site vitrine : ce qu'un artisan doit faire des données de son formulaire de contact
Un artisan ne se voit pas comme un « responsable de traitement de données ». C'est pourtant ce qu'il devient dès que son site comporte un formulaire de contact ou de demande de devis : il recueille des noms, des adresses, des numéros de téléphone, parfois des photos d'un logement. Le règlement général sur la protection des données (RGPD) s'applique, sans exception pour les petites entreprises, mais il se met en œuvre simplement.
Ce qui fait de vous un responsable de traitement
Une donnée personnelle est toute information se rapportant à une personne identifiée ou identifiable : un nom, une adresse électronique, un numéro de téléphone, une adresse de chantier, une photo. Un « traitement » est toute opération sur ces données : les collecter par un formulaire, les recevoir par courriel, les noter dans un tableur, les conserver dans un logiciel de devis.
L'entreprise qui décide pourquoi et comment ces données sont utilisées est le responsable de traitement. Pour le site d'un artisan, c'est l'entreprise elle-même, pas le prestataire qui a construit le site ni l'hébergeur. C'est donc à elle de s'assurer que les règles sont respectées, y compris par ses prestataires.
La CNIL a regroupé ses ressources destinées aux petites entreprises dans un espace « TPE-PME », qui propose notamment une page « RGPD : les premières étapes », un guide de sensibilisation et une liste de vérification. C'est un bon point de départ, plus concret que le texte du règlement.
Le formulaire de contact, champ par champ
Le principe de minimisation demande de ne collecter que les données nécessaires à l'objectif. Pour un formulaire de demande de devis, cela donne en général :
- un nom, et au moins un moyen de répondre (courriel ou téléphone) ;
- la commune ou l'adresse du chantier, si elle est utile pour savoir si vous intervenez ;
- la description de la demande, et éventuellement des photos si elles aident à chiffrer ;
- et c'est tout : la date de naissance, la situation familiale ou le numéro de sécurité sociale n'ont rien à faire dans une demande de devis.
Rendez obligatoires seulement les champs vraiment indispensables, et signalez-les. Sous le formulaire, une phrase courte renvoie vers la politique de protection des données : « Les informations saisies servent uniquement à répondre à votre demande. Pour en savoir plus et exercer vos droits, voir notre page Données personnelles. » Évitez les cases précochées, notamment pour l'envoi d'informations commerciales.
Ce que doit dire la page « Données personnelles »
D'après la fiche de Service Public Entreprendre sur les mentions obligatoires d'un site d'entreprise, l'information doit porter sur :
- l'identité et les coordonnées du responsable du traitement, et celles du délégué à la protection des données s'il a été désigné ;
- les données collectées, les finalités et la base légale de chaque traitement ;
- le caractère obligatoire ou facultatif des informations et les conséquences d'un refus ;
- les destinataires, la durée de conservation et les droits des personnes (accès, rectification, effacement, opposition, limitation) ;
- les modalités d'exercice de ces droits et la possibilité d'introduire une réclamation auprès de la CNIL ;
- les éventuels transferts hors de l'Union européenne, et la possibilité de retirer son consentement lorsque le traitement repose sur lui.
Cette information doit être accessible par un lien visible, distinct des conditions générales de vente ou d'utilisation. Elle complète les mentions légales et, si le site dépose des traceurs, l'information sur les cookies et le consentement.
Combien de temps garder les demandes
Le RGPD ne fixe pas de durée chiffrée unique : la durée doit être proportionnée à l'objectif. Une demande de devis restée sans suite n'a pas vocation à être conservée indéfiniment ; une demande qui débouche sur un chantier rejoint le dossier client, avec les factures, qui obéissent à leurs propres obligations comptables. La CNIL publie une page consacrée aux durées de conservation (mise à jour en avril 2026) qui aide à les fixer.
En pratique, fixez une règle simple et appliquez-la : par exemple, supprimer chaque année les demandes non suivies de l'année précédente, dans la boîte de réception comme dans le tableur. Le jour où un ancien prospect demande ce que vous savez de lui, vous pourrez répondre précisément.
Prospection : relancer sans enfreindre la loi
Envoyer une lettre d'information ou une promotion par courriel est encadré. Selon la CNIL, la prospection par courriel ou SMS auprès de particuliers suppose leur consentement préalable, sauf s'ils sont déjà clients et que les messages portent sur des produits ou services analogues fournis par la même entreprise. La CNIL précise que cette exception ne joue pas lorsqu'aucune vente ni prestation n'a eu lieu : une simple demande de devis ne fait donc pas de la personne un client. Auprès de professionnels, la prospection peut reposer sur l'intérêt légitime si le message est en rapport avec la profession du destinataire, qui doit pouvoir s'y opposer. Dans tous les cas, chaque message identifie l'expéditeur et permet de refuser les envois suivants simplement.
Les prestataires : hébergeur, outils, messagerie
Les données de votre site transitent par des tiers : l'hébergeur, l'outil de formulaire, la messagerie, parfois un logiciel de devis en ligne. Lorsqu'ils traitent les données pour votre compte, ce sont des sous-traitants au sens du RGPD, et leur intervention doit être encadrée par un contrat comportant certaines clauses ; la CNIL propose des clauses contractuelles types. Pour les grands fournisseurs, ces clauses figurent généralement dans leurs conditions ; vérifiez-le, ainsi que le lieu de stockage des données.
Le même raisonnement s'applique aux candidatures reçues par le site, avec des règles propres au recrutement : voir notre article sur les offres d'emploi publiées sur le site.
Si les données fuient
Un site piraté, une boîte de messagerie compromise, un ordinateur volé avec le fichier clients : ce sont des violations de données. La CNIL demande de documenter tout incident en interne. Si l'incident présente un risque pour la vie privée des personnes, il doit lui être notifié dans les meilleurs délais, avec une notification initiale si possible dans les 72 heures suivant sa constatation ; en cas de risque élevé, les personnes concernées doivent aussi être informées. Si l'incident fait suite à une cyberattaque, la CNIL conseille de porter plainte et oriente vers cybermalveillance.gouv.fr pour l'assistance.
Sources
- CNIL, espace « TPE-PME » et « RGPD : les premières étapes » (consultés le 27 octobre 2026) ; « Les durées de conservation des données » (2 avril 2026).
- CNIL, « La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel » (10 juin 2026).
- CNIL, « Notifier une violation de données personnelles » (consulté le 27 octobre 2026).
- Service Public Entreprendre, « Mentions obligatoires sur le site internet d'une entreprise », fiche F37351 (vérifiée le 13 octobre 2026).
Obligations légalesLes mentions légales
Identité, adresse, immatriculation, TVA, hébergeur : la liste des mentions obligatoires d'un site d'entreprise, et où les placer.
Obligations légalesCookies et consentement
Refuser aussi simple qu'accepter, traceurs exemptés, mesure d'audience sans consentement : les règles de la CNIL, et le site sans bandeau.
Obligations légalesRecruter depuis son site
Limite d'âge, critères discriminatoires, formulaire de candidature, conservation des CV : publier une offre d'emploi sans faux pas.