Mis à jour le 9 octobre 2026
Vous avez un formulaire qui convertit bien. Des leads arrivent chaque jour, votre équipe commerciale ou votre call center les rappelle. Puis un prospect demande : « Où ai-je accepté d’être appelé ? » Et là, personne ne sait retrouver la case cochée, le texte affiché ce jour-là, ni l’heure de la soumission. Depuis le 11 août 2026, ce silence peut coûter jusqu’à 375 000 € à une entreprise. Ce guide vous montre comment construire un formulaire RGPD dont le consentement tient face à un contrôle, sans sacrifier votre taux de conversion.
En bref : un formulaire RGPD conforme recueille le consentement par une case non pré-cochée, distincte des CGV et propre à chaque usage (email, téléphone, partage avec des partenaires), avec un texte qui nomme qui vous contactera et pour quoi. Pour la prospection téléphonique des particuliers, le consentement préalable est obligatoire depuis le 11 août 2026, il expire au bout d’un an maximum et sa preuve doit être conservée trois ans. Le tout doit être horodaté et archivé avec la version exacte du texte affiché.
Les 4 critères d’un consentement valide dans un formulaire
Un consentement n’est valable que s’il est libre, spécifique, éclairé et univoque, et il doit rester révocable à tout moment. Si un seul critère manque, juridiquement, vous n’avez rien recueilli.
Concrètement, voici ce que chaque critère impose à votre formulaire :
- Libre : l’envoi du formulaire ne doit pas dépendre de la case marketing. Si le prospect ne peut pas obtenir son devis sans accepter la prospection, le consentement est forcé.
- Spécifique : une case par finalité. « Recevoir la newsletter » et « Être rappelé par un conseiller » sont deux consentements distincts.
- Éclairé : le texte à côté de la case dit qui traite les données, pour quel usage et comment se désinscrire. Une police minuscule ou un lien vers une page de 4 000 mots ne suffit pas.
- Univoque : il faut un acte positif. Une case pré-cochée, un silence ou la simple poursuite de la navigation ne valent pas accord.
Un point que beaucoup de formulaires ratent : la case de consentement ne se confond jamais avec l’acceptation des conditions générales. La CNIL le rappelle dans sa fiche sur la prospection par courrier électronique : pour un particulier, il faut une action positive et spécifique, typiquement une case décochée par défaut.
Et en B2B ?
En B2B, la prospection par email peut reposer sur l’intérêt légitime si le message concerne la profession du destinataire et qu’il peut s’y opposer facilement. Le régime opt-in téléphonique de 2026, lui, vise les consommateurs. Une case explicite reste pourtant utile en B2B : elle facilite la preuve et rassure votre service juridique.
Opt-in téléphonique : ce qui change depuis le 11 août 2026
Depuis le 11 août 2026, il est interdit d’appeler un consommateur à des fins commerciales sans son consentement préalable, sauf contrat en cours sur le même objet. C’est le passage de l’opt-out (Bloctel) à l’opt-in, prévu par la loi n° 2025-594 du 30 juin 2025 et précisé par le décret n° 2026-662 du 23 juillet 2026.
Pour un formulaire de génération de leads, le changement est massif. Avant, l’appel était permis tant que le numéro n’était pas inscrit sur Bloctel. Aujourd’hui, c’est votre formulaire qui crée le droit d’appeler. Voilà pourquoi.
D’après la fiche pratique de la DGCCRF destinée aux professionnels, le consentement téléphonique doit :
- résulter d’un acte positif clair : une mention pré-rédigée que le consommateur « reconnaît » sans accord exprès ne compte pas ;
- indiquer l’identité du professionnel qui appellera et l’objet de l’appel (les biens ou services concernés) ;
- avoir une durée de validité d’un an maximum, sans reconduction tacite ;
- être prouvé : le professionnel archive la preuve au moins trois ans et la remet au consommateur qui la demande ;
- pouvoir être retiré aussi simplement qu’il a été donné.
Les sanctions montent jusqu’à 75 000 € pour une personne physique et 375 000 € pour une personne morale. Bloctel a disparu, et les signalements passent désormais par SignalConso. Selon Presse-citron, la plateforme a reçu environ 16 000 plaintes le premier mois, près du double de la moyenne habituelle. Les consommateurs signalent. Les contrôles suivront.
Le cas des secteurs sous interdiction
Pour la rénovation énergétique, l’adaptation du logement et le CPF, le démarchage reste interdit, sauf demande expresse du consommateur. Si vous collectez des leads sur ces secteurs, votre formulaire doit matérialiser cette demande explicite (« Je souhaite être rappelé au sujet de mon projet de pompe à chaleur »), pas une simple acceptation passive. Nous détaillons cette mécanique dans notre guide du formulaire d’éligibilité pompe à chaleur et panneaux solaires.
Reste une question que la loi ne tranche pas clairement : que faire quand un lead est transmis à plusieurs partenaires ? Nous y revenons dans la section sur le modèle de formulaire, car c’est là que la plupart des collectes cassent.
Les erreurs de design que la CNIL sanctionne
La CNIL sanctionne moins l’absence de case que les interfaces qui poussent à accepter : bouton « oui » géant, refus caché en lien gris, texte réduit. Trois décisions récentes visent précisément des formulaires de collecte de leads.
- Solocal Marketing Services, mai 2025, 900 000 € : boutons d’acceptation mis en avant par la taille, la couleur et la position, refus minimisé. Plusieurs millions de personnes prospectées par SMS et email à partir de données issues de courtiers et de jeux-concours.
- Caloga, mai 2025, 80 000 € : bouton d’acceptation proéminent face à un simple lien hypertexte pour refuser, désinscription impossible en un clic et transmission des fichiers à des partenaires sur la base de l’intérêt légitime. Le communiqué de la CNIL sur Caloga détaille chaque manquement.
- Tagadamedia, décembre 2023, 75 000 € (ramenés à 50 000 € par le tribunal administratif en mai 2026) : formulaires de jeux-concours et de tests produits dont le bouton de consentement contrastait avec celui du refus, avec un texte incomplet en petite taille.
Le schéma est toujours le même. Aucune de ces entreprises n’avait oublié la case. Elles avaient toutes rendu le refus plus difficile que l’acceptation.
La règle pratique qui en découle : le choix « non » doit avoir le même poids visuel que le « oui ». Même taille, même contraste, même nombre de clics.
Prouver le consentement : les 8 données à journaliser
Prouver un consentement, c’est pouvoir montrer qui a accepté, quoi, quand, sur quel écran et avec quel texte exact. Une simple colonne « opt-in = oui » dans votre CRM ne prouve rien.
Les guides que nous avons analysés en France comme aux États-Unis répètent qu’il faut « conserver une preuve », sans jamais dire laquelle. Voici la liste que nous recommandons de stocker pour chaque soumission :
- Horodatage à la seconde, avec fuseau horaire.
- Identifiant du lead (email, téléphone) tel que saisi.
- Texte intégral du consentement affiché à ce moment-là, pas un renvoi vers la version actuelle.
- Version du formulaire (numéro ou date de modification), pour retrouver la mise en page exacte.
- URL de la page et source de trafic.
- Adresse IP et user agent, comme indices techniques.
- Valeur de chaque case : cochée, non cochée, non affichée (logique conditionnelle).
- Date d’expiration : soumission + 12 mois pour le téléphone, et historique des retraits.
Le point 3 est celui qui fait défaut le plus souvent. Vous modifiez la formulation de la case en mars ? Les leads de janvier doivent rester rattachés à l’ancienne. Sans cela, vous ne pourrez pas fournir au consommateur la preuve que la DGCCRF exige de lui remettre.
Le point 8, lui, a des conséquences opérationnelles. Un consentement téléphonique daté du 15 septembre 2026 n’autorise plus aucun appel après le 15 septembre 2027. Votre CRM doit le savoir. Si vos leads partent vers HubSpot ou Salesforce, transmettez ces champs avec le contact : notre article sur l’intégration d’un formulaire à HubSpot ou Salesforce montre comment mapper des champs personnalisés.
Modèle de formulaire RGPD avec consentement, prêt à adapter
Un formulaire de lead conforme contient trois blocs : les champs utiles, des cases de consentement séparées par canal, et une mention d’information courte avec un lien vers la politique complète. Voici une base à adapter.
Bloc 1, champs : uniquement ceux dont vous avez besoin pour traiter la demande. Le principe de minimisation rejoint ici la conversion : chaque champ superflu freine la complétion. Notre méthode pour augmenter de 40 % la conversion de vos formulaires revient sur ce point.
Bloc 2, consentements (toutes décochées par défaut) :
- ☐ « J’accepte d’être appelé(e) par [Nom de la société] au sujet de [objet précis, ex. ma demande de crédit immobilier] pendant 12 mois maximum. »
- ☐ « J’accepte de recevoir par email les offres de [Nom de la société] sur [thème]. »
- ☐ « J’accepte que mes coordonnées soient transmises à [liste nommée des partenaires ou lien vers cette liste] pour être contacté(e) au sujet de [objet]. »
Et ce n’est pas tout. Sur la transmission à des partenaires, souvenez-vous de Caloga : l’intérêt légitime n’a pas suffi. Si un lead part chez trois courtiers, chaque courtier doit pouvoir démontrer un consentement qui le nomme, ou qui renvoie à une liste précise et à jour. Un « nos partenaires » générique ne passe plus.
Bloc 3, mention d’information : responsable du traitement, finalité, durée de conservation, droits (accès, rectification, opposition, retrait) et contact pour les exercer. Trois lignes et un lien suffisent.
Envie d’aller plus loin sur la structure ? Les formulaires multi-étapes permettent de placer les consentements sur la dernière étape, au moment où l’engagement du prospect est le plus fort. Vous trouverez des exemples dans notre sélection de formulaires de devis multi-étapes.
Conformité et conversion : pourquoi elles ne s’opposent pas
Un formulaire RGPD bien conçu ne fait pas forcément baisser la conversion : ce qui la fait baisser, c’est une case obligatoire mal placée ou un jargon juridique qui inquiète. La conformité coûte surtout en volume de leads « faux », ceux qui n’avaient jamais vraiment demandé à être rappelés.
Prenons un cas fréquent en crédit ou en immobilier. Un formulaire avec case pré-cochée génère 1 000 leads par mois, mais le call center en joint une faible part, car beaucoup de gens ne se souviennent pas avoir demandé quoi que ce soit. La version avec case explicite produit moins de soumissions. Les personnes qui cochent attendent l’appel. Le coût par lead monte, et le coût par rendez-vous baisse. C’est cet indicateur qu’il faut suivre, pas le volume brut.
Trois leviers limitent la friction :
- La logique conditionnelle : n’afficher la case « appel » que si le prospect a choisi « être rappelé » comme mode de contact. Moins de cases, plus de clarté. Voir notre guide de la logique conditionnelle.
- Un texte humain : « Un conseiller vous appelle sous 24 h au sujet de votre projet » rassure davantage qu’un paragraphe sur l’article 6 du RGPD.
- Le test A/B : la formulation et l’emplacement des cases se testent comme n’importe quel élément. Nos recommandations pour faire baisser le CPL de vos formulaires s’appliquent aussi ici.
Ce que Blastform apporte sur la traçabilité du consentement
Blastform est conçu pour la génération de leads, avec la conformité RGPD intégrée dans le constructeur plutôt qu’ajoutée après coup. L’objectif : que chaque lead arrive avec son consentement et de quoi le prouver.
Dans la pratique, cela se traduit par des cases de consentement paramétrables et décochées par défaut, des conditions d’affichage selon les réponses, et un envoi des leads vers vos outils avec les champs dont vos équipes ont besoin. La section « RGPD Compliant » de nos fonctionnalités Blastform détaille ce qui est inclus, et la base d’aide Blastform explique le paramétrage pas à pas.
Vous travaillez sur un secteur sensible comme le crédit, où chaque lead appelé doit être irréprochable ? Notre page dédiée aux formulaires de leads crédit présente des modèles adaptés.
Le plus simple reste de vérifier sur vos propres formulaires. Réservez une démo de Blastform : nous passons en revue avec vous un formulaire existant et ses consentements, ou comparez les offres et lancez l’essai.
Questions fréquentes
Une case de consentement peut-elle être obligatoire pour envoyer le formulaire ?
Non pour la prospection : si l’envoi du formulaire dépend de l’acceptation du marketing, le consentement n’est plus libre. Vous pouvez en revanche rendre obligatoire une case liée au traitement de la demande elle-même, par exemple l’acceptation d’être recontacté au sujet du devis demandé.
Une case pré-cochée est-elle valable si l’utilisateur peut la décocher ?
Non. La Cour de justice de l’Union européenne, la CNIL et le décret du 23 juillet 2026 sur le démarchage téléphonique convergent : seul un acte positif de l’utilisateur vaut consentement. Une case pré-cochée, même décochable, n’en est pas un.
Le consentement téléphonique recueilli avant le 11 août 2026 reste-t-il valable ?
Seulement s’il remplit les nouvelles exigences : acte positif clair, identité du professionnel et objet de l’appel mentionnés, preuve conservée. Comme sa durée est plafonnée à un an, un consentement ancien et vague est à considérer comme expiré ; mieux vaut le recueillir à nouveau.
Faut-il nommer chaque partenaire dans le formulaire ?
Le partenaire qui appelle doit pouvoir prouver un consentement qui l’identifie. En pratique, nommez les partenaires dans le texte ou renvoyez à une liste précise, datée et accessible depuis le formulaire. Une formule générique comme « nos partenaires » expose à une sanction, comme l’a montré la décision Caloga.
Combien de temps conserver la preuve du consentement ?
Pour le démarchage téléphonique, au moins trois ans selon la DGCCRF, même après l’expiration du consentement. Conservez l’horodatage, le texte exact affiché, la version du formulaire et l’historique des retraits.