Loi 25 · Formulaires

Formulaires de contact et Loi 25

Trois champs visibles peuvent donner lieu à cinq traitements. Ce guide montre ce qu’un formulaire recueille, ce qu’il faut dire au visiteur, et où vont réellement les réponses.

Analyser mes formulaires Voir un exemple

Mis à jour le 26 août 2026 Lecture : 11 minutes

Sommaire

Sept formulaires, sept situations
Ce qu’il y a autour
Informer à la collecte
Où finissent les réponses
Les points à vérifier
Ce qui se voit
Questions fréquentes

Sept formulaires,
sept situations

Ils se ressemblent à l’écran, mais ne recueillent pas la même chose et ne poursuivent pas la même fin. C’est la fin qui détermine ce qu’il faut annoncer.

Un formulaire de contact et un formulaire de candidature demandent tous les deux un nom et un courriel. Le second reçoit en plus un parcours professionnel complet, parfois une date de naissance et une photo.

La différence de sensibilité ne se voit pas dans le code : elle se voit dans ce que les gens y écrivent. Un champ « Message » laissé libre reçoit ce que la personne juge utile de raconter, y compris, dans certains secteurs, des informations de santé ou de situation financière.

C’est pourquoi l’inventaire commence toujours par la même question : qu’est-ce que ce formulaire sert à faire ?

01ContactNom, courriel, message
02Demande de devisProjet, budget, adresse
03Rendez-vousDisponibilités, téléphone
04RéservationDate, personnes, paiement
05CandidatureCV, parcours, références
06InfolettreCourriel, consentement
07Compte clientIdentifiants, historique

Le formulaire,
et tout ce qu’il y a autour

À gauche, ce que le visiteur voit. À droite, ce qui se produit quand il clique sur « Envoyer ». La seconde colonne est celle qui demande une vérification.

Ce que le visiteur voitPage contact

Un formulaire de contact ordinaire

NomMarie Tremblay
Courrielmarie@exemple.ca
MessageBonjour, j’aimerais un devis pour…

Ce qui se produitAu clic sur Envoyer

Cinq destinations pour trois champs

Courriel de notificationAttenduLe message arrive dans une boîte de réception : laquelle, et qui y a accès ?
Copie en base de donnéesÀ vérifierLa plupart des extensions conservent aussi une copie sur le site, indéfiniment.
reCAPTCHAÀ vérifierUn service tiers analyse le comportement du visiteur pendant qu’il remplit.
Synchronisation CRMÀ vérifierSouvent hébergé hors Québec, et rarement annoncé au visiteur.
Événement publicitaireÀ vérifierUn envoi peut déclencher un événement Lead vers une plateforme.

Illustration d’un cas courant. Aucun site client n’est représenté ici.

L’idée à retenir

Trois champs visibles peuvent donner lieu à cinq traitements, dont quatre invisibles pour la personne qui écrit. C’est cette différence, entre ce qui est montré et ce qui se produit, que la loi demande de combler.

Informer au moment
de la collecte

Ce n’est pas la politique de confidentialité qui porte cette obligation : c’est le formulaire lui-même, à l’instant où la personne écrit.

Ce qui doit être dit

Lorsqu’une entreprise recueille un renseignement personnel auprès de la personne concernée, elle doit l’informer, au moment de la collecte :

des fins auxquelles le renseignement est recueilli ;
des moyens utilisés pour le recueillir ;
de ses droits d’accès et de rectification ;
de son droit de retirer son consentement ;
le cas échéant, du fait que le renseignement peut être communiqué à l’extérieur du Québec.

Ce que dit la loi

L’information est due au moment de la collecte. Un lien vers une politique de confidentialité y contribue, mais ne remplace pas une mention lisible à côté du bouton d’envoi.

En pratique, deux ou trois lignes sous le formulaire suffisent, à condition qu’elles décrivent le cas réel : à quoi servira le message, où il sera conservé, et à qui écrire pour le faire supprimer.

Ne demander que le nécessaire

Un renseignement ne se recueille que s’il est nécessaire à la fin annoncée. Sur un formulaire, ce principe a une traduction immédiate : chaque champ doit pouvoir se justifier par ce qu’on va en faire.

Le téléphone obligatoire pour répondre à un courriel, la date de naissance sur une demande d’information, l’adresse complète pour un devis à distance : ce sont des champs qu’on ajoute par habitude, et qu’on ne saurait pas justifier si on le demandait.

Recommandation Repère

Relire ses formulaires champ par champ une fois l’an, en se demandant pour chacun : que se passe-t-il si je ne l’ai pas ? Les champs qui ne résistent pas à cette question passent en facultatif, ou disparaissent.

L’infolettre est une autre fin

Recevoir une demande de devis et envoyer une infolettre commerciale sont deux finalités distinctes. Le consentement doit être demandé pour chacune, ce qui exclut d’inscrire automatiquement à l’infolettre toute personne qui écrit.

Une case distincte, non cochée d’avance : une case déjà cochée n’exprime pas un choix manifeste.
Une formulation qui dit ce qui sera envoyé, et à quelle fréquence.
Un moyen de se désabonner présent dans chaque envoi.

Un second régime peut s’appliquer à l’infolettre elle-même. La Loi canadienne anti-pourriel vise notamment les messages électroniques commerciaux et prévoit, selon le contexte, des règles sur le consentement, l’identification de l’expéditeur et le mécanisme de désabonnement. Elle ne s’applique pas du seul fait qu’un formulaire existe : c’est l’envoi d’un message commercial qui déclenche son examen.

Où finissent
les réponses

La question la plus utile à poser sur un formulaire n’est pas ce qu’il demande, mais où va ce qu’il reçoit, et pour combien de temps.

Quatre destinations habituelles

La boîte de réception : la plus visible, et rarement examinée. Combien de personnes y ont accès, et depuis combien de temps les messages s’y accumulent ?
La base du site : la plupart des extensions de formulaire conservent une copie, souvent sans limite de durée, accessible à tout compte administrateur.
Un outil externe : CRM, service d’infolettre, tableur partagé. C’est le point où les renseignements quittent votre infrastructure, souvent hors Québec.
Une plateforme publicitaire : lorsqu’un envoi déclenche un événement de conversion. Le contenu du formulaire n’y va pas toujours, mais le fait qu’une personne l’ait rempli, oui.

Ce que transmet un événement publicitaire →

Conserver, puis détruire

Un renseignement personnel se conserve le temps nécessaire à la fin pour laquelle il a été recueilli. Une fois cette fin atteinte, il doit être détruit ou anonymisé.

Sur un site, cela signifie qu’une base d’envois de formulaire vieille de six ans n’est pas un archivage neutre : c’est une conservation qui doit se justifier, et un risque en cas d’incident.

Recommandation Repère

Fixer une durée par type de formulaire, par exemple vingt-quatre mois après le dernier échange pour une demande de contact, puis l’écrire dans la politique, et purger réellement. Une durée annoncée mais jamais appliquée est pire qu’aucune durée.

Où WordPress conserve les envois →

Les points
à vérifier

Dix contrôles autour d’un formulaire. Les cinq premiers se lisent depuis la page ; les autres demandent d’ouvrir l’administration du site.

Mention au moment de la collecteUne information lisible à côté du formulaire, pas seulement un lien.
Champs demandésChaque champ obligatoire justifié par la fin annoncée.
Case d’infolettreDistincte, non cochée d’avance, et formulée clairement.
Connexion chiffréeLe formulaire envoyé sur une page servie en HTTPS.
Services tiers sur la pagereCAPTCHA, pixels, mesure déclenchée à l’envoi.
Destination des réponsesBoîte de réception, base du site, outil externe.
Copie conservée sur le siteCe que l’extension enregistre, et qui peut le lire.
Durée de conservationUne durée fixée par type de formulaire, et réellement appliquée.
Transmission hors QuébecLes outils qui reçoivent les réponses, et où ils sont hébergés.
Accès des personnesQui peut consulter les envois, et par quel compte.

Cinq de ces dix points se lisent depuis la page.

Le premier est le plus fréquemment absent.

Le huitième est presque toujours à définir.

Que se passe-t-il autour de vos formulaires ?

Le scan Repère repère vos formulaires publics et les services qui se déclenchent autour d’eux.

Lancer le scan gratuit

Ce qui se voit, et ce qui se demande

Un formulaire est visible ; ce qu’il devient ne l’est pas. La frontière passe au moment de l’envoi.

Visible depuis la page

La présence et l’emplacement des formulaires
Les champs demandés et ceux qui sont obligatoires
La mention d’information au moment de la collecte
La case d’infolettre et son état par défaut
La connexion chiffrée de la page
Les services tiers chargés autour du formulaire
Le lien vers la politique de confidentialité

Demande d’ouvrir l’administration

La destination réelle des réponses
La copie conservée dans la base du site
La durée de conservation effective
Les intégrations vers un CRM ou une infolettre
L’hébergement des outils destinataires
Les comptes ayant accès aux envois
Les ententes avec les fournisseurs concernés
Les formulaires internes ou non publics

Le scan Repère lit vos pages publiques. Il constate la présence des formulaires, les champs demandés et les services déclenchés autour d’eux ; ce qui arrive aux réponses se vérifie dans votre administration. Les obligations citées viennent des textes québécois, les recommandations sont signalées comme telles.

Guides connexes

Un formulaire est annoncé dans un document, et implanté différemment selon la plateforme.

Politique de confidentialité Annoncer la collecte et la conservation WordPress Contact Form 7, WPForms et stockage Shopify Comptes clients, caisse et applications

Questions fréquentes

Les questions que soulève un simple formulaire de contact.

Un formulaire de contact collecte-t-il des renseignements personnels ?

Oui, dès qu’il demande un nom, un courriel, un téléphone ou tout élément permettant d’identifier une personne. Le contenu du message en fait partie, et c’est souvent l’élément le plus sensible : les gens y écrivent ce qu’ils jugent utile.

C’est fréquemment le premier point qui rend une entreprise concernée par la Loi 25, même sans boutique et sans compte client.

Suffit-il de mettre un lien vers la politique de confidentialité ?

L’information est due au moment de la collecte. Un lien y contribue, mais une personne qui remplit un formulaire ne devrait pas avoir à ouvrir un autre document pour savoir à quoi servira son message.

Deux ou trois lignes sous le formulaire, décrivant la fin poursuivie, la conservation et le moyen de nous joindre, répondent mieux à l’obligation qu’un lien seul.

Puis-je ajouter automatiquement à mon infolettre les personnes qui m’écrivent ?

Non. Répondre à une demande et envoyer des communications commerciales sont deux finalités distinctes, et le consentement doit être demandé pour chacune.

Une case distincte, non cochée d’avance, règle la question côté Loi 25. Si vous envoyez ensuite des messages électroniques commerciaux, la Loi canadienne anti-pourriel ajoute, selon le contexte, ses propres exigences de consentement, d’identification et de désabonnement.

Faut-il conserver les messages reçus ?

Le temps nécessaire à la fin poursuivie, puis les détruire ou les anonymiser. La durée appropriée dépend de la finalité, de la nature des renseignements et du contexte ; aucune durée générale unique n’est fixée, à notre connaissance.

Le point d’attention se trouve du côté des extensions de formulaire, qui conservent souvent une copie dans la base du site sans limite de durée, en plus de l’envoi par courriel. Le guide WordPress détaille ce cas.

reCAPTCHA pose-t-il un problème ?

Ce n’est pas un problème en soi : il protège des envois automatisés, ce qui est un objectif légitime. C’est un service tiers, qui analyse le comportement du visiteur sur la page et communique avec un fournisseur externe.

Il doit donc être inventorié et annoncé comme les autres. La version invisible se déclenche souvent dès le chargement de la page, avant même que quiconque écrive quoi que ce soit.

Un formulaire hébergé chez un prestataire externe change-t-il quelque chose ?

Le formulaire intégré depuis un service externe transmet les réponses directement à ce service. Cela ne vous décharge de rien : vous restez responsable de la collecte et devez encadrer la relation avec ce fournisseur.

Si le prestataire traite les renseignements hors Québec, la Loi 25 demande une évaluation des facteurs relatifs à la vie privée avant la communication.

Sources officielles

Les obligations décrites dans ce guide viennent des organismes québécois responsables. Les recommandations techniques sont celles de Repère et sont signalées comme telles.

Ce guide décrit des pratiques de vérification web. Il ne remplace pas la lecture des textes officiels ni l’accompagnement d’un conseiller juridique pour une situation particulière.

Vos formulaires,
vus de l’extérieur