Formulaire RGPD PDF : mentions, consentement et modèle

Tout dépend de ce que le document doit accomplir. Un formulaire de collecte recueille des informations et doit informer la personne ; un formulaire de consentement recueille un accord quand le traitement repose sur cette base légale ; un formulaire d'exercice des droits permet à la personne de s'adresser à vous.

Le papier n'échappe pas au règlement : l'article 2 du RGPD vise aussi les données destinées à figurer dans un fichier, et un bulletin d'inscription classé par ordre alphabétique en fait partie. La notion de donnée personnelle y est la même qu'en ligne.

L'article 13 du RGPD impose de donner certaines informations au moment même de la collecte. Sur papier ou en PDF, elles figurent sur le document ou dans une notice remise en même temps. Le texte de l'article 13 liste :

• l'identité et les coordonnées du responsable du traitement et, le cas échéant, du délégué à la protection des données ;
• les finalités et la base juridique du traitement ;
• les destinataires et les éventuels transferts hors de l'Union européenne ;
• la durée de conservation ou ses critères ;
• les droits de la personne, dont le retrait du consentement et la réclamation auprès de la CNIL ;
• le caractère obligatoire ou facultatif des réponses et les conséquences d'un défaut de réponse.

La CNIL recommande une information en plusieurs niveaux. Dans sa fiche sur la transparence, elle place en premier l'identité du responsable, les finalités et les droits. Sur un formulaire RGPD PDF, cela donne une mention courte en bas de page et une notice complète jointe ou imprimée au verso.

Ce modèle reprend la trame des exemples de mentions de la CNIL, qui les présente comme des illustrations à adapter, pas comme des textes valables en toutes circonstances. Chaque crochet doit être remplacé : une mention restée générique n'informe personne.

Le consentement n'est requis que lorsqu'il constitue la base légale du traitement. Si les données servent à exécuter un contrat ou à respecter une obligation légale, le demander est inutile et trompeur, puisque la personne ne peut pas réellement refuser.

Plusieurs formulaires en ligne présentent pourtant le consentement comme une condition pour traiter la demande. L'article 7.4 du RGPD demande de tenir le plus grand compte du fait qu'un service soit subordonné à un consentement non nécessaire à ce service pour juger si ce consentement est libre. Sur votre formulaire RGPD PDF, réservez donc la case aux finalités réellement facultatives. Lorsque le consentement est la bonne base, la CNIL attend :

• une case par finalité, jamais une case unique pour plusieurs usages ;
• des cases vides au départ, cochées par la personne elle-même ;
• une demande distincte du reste du document (article 7.2) ;
• une modalité de retrait aussi simple que celle du recueil (article 7.3).

La Cour de justice de l'Union européenne l'a confirmé dans l'arrêt Planet49 (C-673/17). L'article 7.1 vous impose en outre de pouvoir démontrer le consentement : l'exemplaire signé ou le PDF renvoyé sert de preuve et se conserve tant que le traitement dure. Pour la prospection, des règles propres s'ajoutent, voir le guide RGPD et prospection.

Ne demandez que ce dont la finalité a besoin. C'est le principe de minimisation de l'article 5.1.c du RGPD : des données adéquates, pertinentes et limitées à ce qui est nécessaire. Une date de naissance complète est rarement utile quand seule la majorité compte, et une zone de texte libre attire des informations imprévues.

La CNIL recommande de distinguer, par exemple par un astérisque, les champs obligatoires des champs facultatifs et d'indiquer les conséquences d'un défaut de réponse. Avant de diffuser un formulaire RGPD PDF, appliquez ces étapes :

1. 1Lister — Recenser tous les champs, y compris les zones de texte libre.
2. 2Justifier — Rattacher chaque champ à une finalité annoncée dans l'information.
3. 3Supprimer — Retirer les champs sans finalité identifiée.
4. 4Signaler — Marquer les champs obligatoires et préciser la conséquence d'un défaut de réponse.

Un formulaire rempli se conserve pour une durée définie, avec un accès limité, puis se détruit. Sa transmission doit aussi être protégée, en particulier lorsqu'il circule en PDF.

La CNIL distingue les données en cours d'utilisation, celles mises de côté une fois le dossier réglé, puis l'archivage. En archivage intermédiaire, elles « ne sont accessibles que de façon restreinte ». Pour le papier, cela suppose un rangement séparé et fermé, puis une destruction qui rend les documents illisibles à l'échéance.

Un formulaire RGPD PDF rempli puis renvoyé par courriel circule en clair. Dans sa fiche sur la sécurisation des échanges, la CNIL déconseille ce mode d'envoi, recommande de chiffrer les pièces sensibles et de transmettre le mot de passe par un canal distinct, par exemple un SMS. Un dépôt sur un espace sécurisé en HTTPS est une autre option. Ces mesures relèvent de l'obligation de sécurité de l'article 32 du RGPD.

En cas d'incident, le guide Violation de données : réagir en 72 heures détaille la conduite à tenir.

Vérifiez ces points sur la version finale du document, telle qu'elle sera imprimée ou envoyée. Reprenez la liste à chaque modification du formulaire.

À retenir

• L'article 13 du RGPD fixe les informations à donner au moment de la collecte.
• Le consentement ne se demande que s'il est la base légale, avec une case non cochée par finalité.
• Chaque champ sert une finalité ; les champs obligatoires sont signalés.
• Les exemplaires remplis ont une durée de conservation et un accès restreint.
• Un PDF rempli ne s'envoie pas en clair par courriel.