Les formulaires sont la porte d'entrée des données personnelles sur un site, et l'un des premiers points qu'examine la CNIL lors d'un contrôle. Ils ont aussi leur place dans tout audit des cookies d'un site web, car beaucoup d'outils de formulaire chargent leurs propres scripts. Cet article traite du consentement : ce que doit dire la case à cocher, ce que doit contenir la mention RGPD du formulaire, et comment garder la preuve.
Qu'est-ce qu'un formulaire de consentement RGPD ?
L'article 4(11) du RGPD définit le consentement comme une « manifestation de volonté, libre, spécifique, éclairée et univoque » par laquelle la personne accepte, par une déclaration ou un acte positif clair, que ses données soient traitées. Le formulaire de consentement est l'endroit où cet acte a lieu : cocher une case, cliquer sur un bouton, signer un document.
Il n'existe pas de modèle officiel unique. Une autorisation papier pour la photo d'une sortie scolaire, un module d'inscription à la newsletter et le bandeau cookies de votre page d'accueil sont tous des formulaires de consentement dès lors qu'ils reposent sur cette base légale. Ils partagent les mêmes exigences, que notre guide sur les conditions de validité du consentement RGPD détaille une à une.
Quand un formulaire a-t-il besoin d'un consentement ?
Le consentement n'est qu'une des six bases légales de l'article 6. Beaucoup de formulaires n'en ont pas besoin, et le demander à tort pose problème : si la personne le retire, vous devriez cesser un traitement dont vous avez réellement besoin.
- Formulaire de contact : répondre au message est ce que la personne demande. La base légale est en général l'exécution de mesures précontractuelles (article 6(1)(b)) ou l'intérêt légitime. Aucune case n'est requise pour envoyer le message.
- Commande ou création de compte : les données nécessaires à la livraison ou au compte reposent sur le contrat.
- Newsletter et prospection par e-mail : consentement dans la plupart des cas. En France, l'article L. 34-5 du Code des postes et des communications électroniques impose l'accord préalable pour la prospection par e-mail auprès des particuliers, sauf pour des clients existants et des produits analogues, à condition de proposer l'opposition dès la collecte et dans chaque message.
- Données sensibles (santé, religion, biométrie) : consentement explicite au titre de l'article 9, sauf autre exception.
- Cookies et traceurs non essentiels : consentement, en application de la directive ePrivacy.
La règle pratique : ne demandez un consentement que pour ce qui est facultatif pour la personne. Notre article sur l'opt-in et l'opt-out explique pourquoi le modèle européen part du « non ».
Ce que doit contenir un formulaire conforme au RGPD
Il faut deux éléments : le recueil du consentement lui-même, et la mention d'information prévue par l'article 13.
La case à cocher RGPD
- Une case non cochée ou un choix actif. Le considérant 32 précise que le silence, les cases cochées par défaut et l'inactivité ne valent pas consentement. La Cour de justice l'a confirmé pour les cases pré-cochées dans l'arrêt Planet49 (C-673/17, 2019).
- Une case par finalité. Newsletter, offres de partenaires et profilage sont trois finalités, donc trois choix.
- Pas de lien avec les CGV. L'article 7(2) impose que la demande de consentement se distingue clairement des autres questions. « J'accepte les CGV et de recevoir des offres » ne suffit pas.
- Pas de condition imposée pour un service qui n'a pas besoin de ces données (article 7(4)).
La mention RGPD du formulaire
L'article 13 liste ce que la personne doit savoir au moment de la collecte. En pratique, une courte mention sous le bouton et un lien vers la politique de confidentialité :
- l'identité du responsable de traitement et le contact du DPO s'il existe ;
- la finalité de chaque traitement et sa base légale ;
- les destinataires, y compris les sous-traitants comme votre outil d'e-mailing ;
- la durée de conservation ;
- le droit de retirer son consentement à tout moment, et les autres droits (accès, effacement, opposition, réclamation auprès de la CNIL) ;
- les transferts hors de l'Union européenne, le cas échéant.
La CNIL publie d'ailleurs des exemples de formulaires de collecte et de mentions d'information, utiles comme point de départ. Le type de consentement compte aussi : notre article sur le consentement explicite, implicite et éclairé explique quand un acte positif suffit et quand une déclaration expresse est nécessaire.
Formulaire RGPD : 7 exemples de consentement
Les formulations ci-dessous sont un point de départ. Adaptez le nom de l'entreprise, les finalités et les durées à vos traitements réels.
1. Inscription à la newsletter
> ☐ Je souhaite recevoir la newsletter de [Entreprise] (un e-mail par mois sur les nouveautés et nos guides). Je peux me désinscrire à tout moment via le lien présent dans chaque e-mail.
>
> [Entreprise] utilise votre adresse uniquement pour vous envoyer cette newsletter, via [outil d'e-mailing]. Elle est conservée jusqu'à votre désinscription. En savoir plus dans notre politique de confidentialité.
La case est vide, la fréquence et le contenu sont annoncés, le moyen de retrait est indiqué.
2. Formulaire de contact
> Vos nom et e-mail servent uniquement à répondre à votre message. Ils sont conservés 12 mois après notre dernier échange. Vos droits sont détaillés dans notre politique de confidentialité.
Pas de case : répondre est précisément ce que la personne demande. Une case « J'accepte le traitement de mes données » est ici inutile et laisse croire qu'on ne pourrait pas répondre sans elle. Pour ajouter la personne à une liste de diffusion, prévoyez une case distincte, facultative et non cochée.
3. Création de compte ou commande
> ☐ Je souhaite recevoir les offres et nouveautés par e-mail.
> ☐ J'accepte que mon e-mail soit transmis à [partenaire] pour recevoir ses propres offres.
La commande aboutit quel que soit le choix. Chaque finalité facultative a sa case, et le partenaire est nommé.
4. Contenu à télécharger (livre blanc, modèle, webinaire)
Conditionner le téléchargement à l'inscription à la newsletter est risqué au regard de l'article 7(4) : le consentement n'est plus libre si la personne ne peut pas obtenir le contenu sans lui. Une version plus sûre :
> Indiquez votre e-mail pour recevoir le guide.
> ☐ Je souhaite aussi recevoir la newsletter mensuelle.
5. Autorisation de droit à l'image
> ☐ J'accepte que des photos de moi prises lors de [événement] soient publiées sur le site de [Entreprise].
> ☐ J'accepte qu'elles soient publiées sur ses réseaux sociaux.
Un canal, une case. Pour un mineur, l'accord d'un parent est nécessaire. Pour les services en ligne proposés directement aux enfants, la France a fixé à 15 ans l'âge du consentement numérique (l'article 8 du RGPD prévoit 16 ans, abaissable jusqu'à 13).
6. Données de santé ou recherche
> ☐ Je consens explicitement au traitement par [Organisme] des informations relatives à ma santé décrites ci-dessus, pour les besoins de [étude], dans les conditions de la notice d'information.
L'article 9 exige un consentement explicite : une déclaration expresse, souvent avec signature ou double confirmation.
7. Le bandeau cookies
Le bandeau cookies est le formulaire de consentement que voient le plus de visiteurs. Les mêmes règles s'appliquent : aucune catégorie pré-cochée, « Refuser » aussi visible qu'« Accepter », un choix par finalité, et un moyen de changer d'avis. Nos exemples de bandeau cookies RGPD montrent les bonnes et les mauvaises versions. Vous ne savez pas ce que votre bandeau bloque réellement ? Vérifiez en 30 secondes quels cookies votre site dépose avec le scanner gratuit.
Les formulations à éviter
- « En poursuivant votre navigation, vous acceptez… » : continuer à naviguer n'est pas un acte positif clair.
- « J'accepte le traitement de mes données personnelles » sans finalité : ni spécifique, ni éclairé.
- Du jargon juridique ou une notice de trois pages dans une fenêtre : la demande doit être claire et simple.
- Un retrait plus compliqué que l'inscription, comme « écrivez-nous par courrier ». L'article 7(3) impose un retrait aussi simple que l'accord.
- Des formulations culpabilisantes (« Non merci, je n'aime pas les bonnes affaires ») : elles nuisent au caractère libre du choix.
Comment conserver la preuve du consentement
L'article 7(1) met la charge de la preuve sur vous : vous devez pouvoir démontrer que la personne a consenti. Pour chaque consentement, conservez :
- qui a consenti (un identifiant comme l'e-mail, sans données superflues) ;
- quand (date et heure) ;
- ce qui a été montré (la version du formulaire et de la mention) ;
- ce qui a été accepté (chaque case cochée) ;
- comment (formulaire web, papier, confirmation par double opt-in) ;
- si et quand la personne a retiré son accord.
Le double opt-in, où la personne confirme via un lien reçu par e-mail, n'est pas écrit dans le RGPD, mais c'est le moyen habituel de prouver que l'adresse appartient bien à celui qui a coché la case. La logique est la même pour les cookies : notre guide sur la preuve du consentement aux cookies liste quoi stocker et combien de temps.
Enfin, vérifiez ce que charge la page du formulaire elle-même. Les outils de formulaire intégrés, les widgets de chat et reCAPTCHA peuvent déposer des cookies avant tout choix. Notre article pour voir les cookies d'un site montre comment les repérer dans le navigateur.
Checklist pour chaque formulaire
- Fixer la base légale de chaque finalité, et ne demander le consentement que pour ce qui est facultatif.
- Une case non cochée par finalité, séparée des CGV.
- Une courte mention : responsable, finalités, destinataires, durée, droits.
- Un moyen de retrait aussi simple que l'inscription, indiqué sur le formulaire.
- Une trace de qui, quand, quoi et comment, liée à la version du formulaire.
- Un test de la page en navigation privée pour voir quels scripts se chargent avant consentement.
Comment FlowConsent gère le consentement des formulaires
FlowConsent prend en charge le formulaire de consentement que les visiteurs voient en premier : le bandeau cookies. Il bloque les scripts non essentiels avant le consentement, donne le même poids à « Accepter » et « Refuser », propose un choix par catégorie et conserve chaque décision comme preuve exportable. Le scan automatique repère aussi les cookies déposés par les outils de formulaire intégrés à vos pages. Vos propres formulaires d'inscription et de prospection restent de votre ressort : FlowConsent ne les crée pas. En revanche, les webhooks de consentement envoient à votre serveur un événement signé à chaque acceptation, refus ou retrait, pour garder vos traces au même endroit. FlowConsent est gratuit jusqu'à 25 000 sessions par mois et s'installe en une dizaine de minutes.