RGPD et landing page : rendre son formulaire conforme sans plomber la conversion

« Ajoutez une case RGPD » revient dans presque tous les cahiers des charges de landing page, sans que personne ne sache exactement ce que ça recouvre. Résultat : certaines pages empilent trois cases à cocher et un pavé de mentions légales au-dessus du bouton, quand une seule case suffirait ; d’autres n’en ont aucune alors qu’elle est obligatoire. Les deux erreurs coûtent cher — la première en conversion, la seconde en risque juridique. Le RGPD n’impose pas grand-chose de spécifique à une landing page, mais ce qu’il impose est précis : base légale, minimisation des données, transparence. Ce guide fait le tri entre ce qui est obligatoire, ce qui est recommandé, et ce qui est un mythe qui alourdit les formulaires pour rien.

Les 4 principes qui s’appliquent à tout formulaire de capture

Le RGPD ne liste pas de règles propres aux « landing pages » : il s’applique à tout traitement de données personnelles, formulaire de contact ou d’inscription newsletter compris. Quatre principes suffisent à couvrir l’essentiel de ce qui concerne un formulaire.

• Une base légale pour chaque finalité. Répondre à une demande de devis se justifie par l’exécution précontractuelle : pas besoin de consentement séparé. Envoyer une newsletter ou relancer par e-mail après un téléchargement, en revanche, exige un consentement explicite — c’est de la prospection commerciale.
• La minimisation des données : ne collecter que ce qui est nécessaire à la finalité annoncée. C’est aussi une règle de conversion — voir notre guide sur le nombre de champs qui convertit — mais côté RGPD, un champ « budget » ou « entreprise » ajouté par curiosité commerciale sur un simple formulaire de contact est difficile à justifier.
• La transparence : le visiteur doit savoir, avant de soumettre, qui collecte ses données, pourquoi, combien de temps elles sont conservées et comment faire valoir ses droits.
• Le consentement, quand il est la base légale retenue, doit être libre, spécifique, éclairé et univoque — la Cour de justice de l’UE l’a confirmé sans ambiguïté dans l’arrêt Planet49 (C-673/17) : une case pré-cochée ne vaut jamais consentement valable.

La case à cocher : ce qui est obligatoire, ce qui ne l’est pas

C’est la confusion la plus fréquente : toutes les landing pages n’ont pas besoin d’une case à cocher, et celles qui en ont besoin ne doivent en avoir qu’une seule par finalité.

• Formulaire de contact ou de devis (le visiteur demande explicitement à être recontacté) : aucun consentement séparé requis. Une mention d’information suffit — le traitement se justifie par la demande elle-même.
• Formulaire d’inscription à une newsletter ou de téléchargement d’un lead magnet suivi de relances marketing : consentement explicite requis, via une case décochée par défaut. Le visiteur doit cocher activement — aucune reformulation en « je ne souhaite pas refuser » ne remplace un vrai geste positif.
• Ne jamais fusionner deux finalités dans une seule case. « J’accepte de recevoir mon ebook et la newsletter » interdit au visiteur d’obtenir l’un sans accepter l’autre alors que ce sont deux traitements distincts — c’est l’erreur la plus sanctionnée par la CNIL sur les formulaires de capture.

Le cas du lead magnet : ebook, liste d’attente, essai gratuit

Envoyer un ebook en échange d’une adresse e-mail ne demande pas de case à cocher séparée : l’envoi du document est l’exécution de ce que le visiteur a demandé. Ce qui exige un consentement distinct, c’est ce qui vient après — ajouter cette adresse à une séquence de relance ou à une newsletter régulière. Deux options honnêtes : une case optionnelle décochée (« Je souhaite aussi recevoir vos conseils par e-mail »), ou une mention claire annonçant dès le formulaire que l’inscription inclut des e-mails de suivi, avec un lien de désinscription visible dans chaque envoi. Ce que le RGPD interdit, c’est de présenter l’un comme l’autre en cachant la finalité réelle.

Double opt-in : obligatoire ou juste recommandé ?

Le double opt-in — un e-mail de confirmation à cliquer avant l’ajout effectif à la liste — n’est pas une obligation légale en France pour une simple newsletter B2C : la case décochée cochée activement suffit déjà comme preuve de consentement. En revanche, il reste fortement recommandé pour deux raisons pratiques : il protège contre les adresses saisies par erreur ou de mauvaise foi (donc contre les plaintes pour spam), et la plupart des outils d’envoi (Brevo, Mailchimp) l’exigent ou le recommandent pour préserver la délivrabilité. Sur un formulaire à fort enjeu de preuve — secteur réglementé, forte volumétrie — le double opt-in devient la meilleure protection en cas de contrôle : il matérialise un consentement que personne ne peut contester.

La mention d’information : ce qu’il faut écrire sous le bouton

Une ligne courte sous le CTA — pas un pavé — suffit si elle renvoie vers une politique de confidentialité complète. Les éléments attendus dans cette politique, accessible en un clic depuis le formulaire :

• L’identité du responsable de traitement (votre entreprise, pas juste un nom de marque).
• La ou les finalités précises (répondre à la demande, envoyer la newsletter — pas « améliorer nos services », trop vague pour être une finalité valable).
• La base légale retenue pour chaque finalité.
• La durée de conservation des données (ou le critère qui la détermine, par exemple « jusqu’à désinscription »).
• Les droits du visiteur (accès, rectification, effacement, opposition) et le moyen concret de les exercer — une adresse e-mail dédiée suffit pour une petite structure.

Sous le bouton lui-même, une phrase suffit : « En vous inscrivant, vous acceptez notre politique de confidentialité. Désinscription en un clic à tout moment. » C’est à la fois conforme et rassurant — la réassurance RGPD, formulée simplement, réduit l’hésitation à l’achat au lieu de l’augmenter.

Ce qui plombe la conversion — et comment l’éviter

• Le pavé de texte juridique au-dessus du CTA : personne ne le lit, et sa seule présence visuelle signale « procédure », pas « offre ». Une ligne courte plus un lien fait le même travail légal en beaucoup moins de friction visuelle.
• Les cases à cocher en trop : une case par finalité réelle, jamais plus. Trois cases pour un simple téléchargement d’ebook multiplie l’abandon sans gain de conformité — une seule case bien formulée couvre déjà le besoin.
• Le vocabulaire anxiogène : « Vos données seront traitées conformément au RGPD » sonne comme un avertissement. « Vos données ne sont jamais revendues, désinscription en un clic » dit la même chose et rassure au lieu d’alarmer.
• Le lien de politique de confidentialité invisible : gris clair sur fond blanc en taille 10, il coche la case légale mais reste illisible — un contrôle CNIL comme un visiteur méfiant y verront la même intention.
• Le consentement demandé trop tôt sur un formulaire en plusieurs étapes : la case à cocher n’a sa place qu’à l’étape où l’adresse e-mail est réellement collectée, pas sur les questions de qualification initiales.

Formulaire en deux étapes : à quel moment demander le consentement

Sur un formulaire découpé en étapes — le format que nous recommandons dès qu’un formulaire dépasse 3 champs, détaillé dans notre guide combien de champs pour un formulaire qui convertit — la case de consentement se place uniquement à l’étape où l’e-mail est saisi, jamais avant. Les questions de qualification (type de projet, budget, code postal) qui précèdent ne collectent aucune donnée directement identifiante tant qu’elles ne sont pas associées à un e-mail ou un nom ; le consentement n’a donc de sens qu’au moment où l’identification devient réelle. C’est aussi la seule étape où le visiteur a besoin de voir la case : la faire apparaître plus tôt ajoute de la friction sur des écrans qui n’en ont pas besoin, pour une obligation qui ne s’y applique pas encore.

Un cas concret avec les templates LanderKit

Le template newsletter et le template liste d’attente SaaS reposent tous les deux sur une capture à un seul champ e-mail — exactement le cas où une case à cocher unique et une ligne de réassurance sous le bouton suffisent. Comme chaque template est livré en code source, ajouter cette case ou brancher un fournisseur d’e-mail avec double opt-in intégré (Brevo, Mailchimp) prend quelques lignes dans le composant Page.tsx, sans dépendance supplémentaire. Une fois l’inscription soumise, pensez aussi à la page qui suit : une page de remerciement bien construite est l’endroit idéal pour confirmer explicitement ce à quoi le visiteur vient de consentir, sans avoir eu besoin de l’écrire en toutes lettres sur le formulaire lui-même.

Partir d’une structure déjà pensée pour ce genre d’arbitrage évite de choisir entre conformité et conversion sur un malentendu. Les 10 templates LanderKit (89 € l’unité, 229 € le pack complet) livrent des formulaires déjà minimalistes — un champ, un CTA clair, une ligne de réassurance — sur lesquels il ne reste qu’à brancher votre case de consentement et votre politique de confidentialité, pas à repenser toute la structure.