Collecte de données personnelles : checklist RGPD 2026
Organisez une collecte de données conforme au RGPD : finalité, base légale, minimisation, mentions d'information, registre. Checklist et modèle 2026.
- Les cinq obligations d’une collecte conforme
- Étape 1 : définir une finalité déterminée, explicite et légitime
- Étape 2 : choisir la bonne base légale
- Étape 3 : minimiser les données collectées
- Étape 4 : afficher les mentions d’information au moment de la collecte
- Étape 5 : inscrire le traitement au registre
- Cas particuliers à connaître
- Checklist de collecte conforme
- Modèle de mentions d’information (premier niveau)
- FAQ
L’essentiel. Toute collecte de données personnelles conforme au RGPD repose sur cinq réflexes : une finalité déterminée, une base légale valide, la minimisation des données, une information claire de la personne concernée (Art. 13) et l’inscription du traitement au registre (Art. 30). C’est le moment de la collecte qui fixe le régime de tout le cycle de vie de la donnée : ce que vous omettez de dire ou de recueillir à cet instant ne se rattrape jamais complètement ensuite.
Le moment de la collecte est le point le plus scruté d’un traitement de données. C’est là que se joue la licéité de l’ensemble : si la base légale est mal choisie, si l’information est absente ou si vous collectez des champs dont vous n’avez pas l’usage, le traitement est irrégulier dès la première seconde — et cette irrégularité contamine tout ce qui suit (conservation, réutilisation, partage). La CNIL le sait, et c’est précisément sur ces manquements de départ que portent la majorité de ses mises en demeure : formulaires trop bavards, mentions absentes, cases pré-cochées, finalités floues.
Ce guide reprend, étape par étape, les obligations qui s’imposent au responsable de traitement au moment où il recueille des données personnelles, avec les pièges concrets et un modèle de mentions d’information à adapter.
Les cinq obligations d’une collecte conforme
Avant d’entrer dans le détail, voici la vue d’ensemble. Une collecte de données conforme au RGPD suppose de répondre, dans l’ordre, à cinq questions.
| # | Obligation | Fondement RGPD | Question à se poser |
|---|---|---|---|
| 1 | Finalité déterminée | Art. 5(1)(b) | Pour quoi, précisément, ces données sont-elles collectées ? |
| 2 | Base légale valide | Art. 6 | Sur quel fondement juridique repose la collecte ? |
| 3 | Minimisation | Art. 5(1)© | Chaque champ est-il strictement nécessaire à la finalité ? |
| 4 | Information de la personne | Art. 13-14 | La personne sait-elle qui collecte, pourquoi et quels sont ses droits ? |
| 5 | Inscription au registre | Art. 30 | Le traitement est-il recensé et documenté ? |
Ces cinq étapes ne sont pas facultatives ni interchangeables. Elles forment une chaîne : une finalité mal définie rend impossible l’appréciation de la minimisation ; une base légale mal choisie rend l’information trompeuse. On les traite donc dans l’ordre.
Étape 1 : définir une finalité déterminée, explicite et légitime
Tout part de la finalité. L’Art. 5(1)(b) du RGPD impose que les données soient collectées « pour des finalités déterminées, explicites et légitimes ». C’est le principe de finalité, et il commande tout le reste.
- Déterminée : la finalité doit être précise. « Améliorer notre relation client » ne suffit pas ; « gérer les commandes et le service après-vente » est une finalité déterminée.
- Explicite : elle doit être communiquée à la personne concernée (voir l’étape 4).
- Légitime : elle doit être licite et s’inscrire dans l’activité réelle de l’organisme.
La finalité conditionne directement deux choses : les données que vous avez le droit de collecter (étape 3) et la durée pendant laquelle vous pourrez les conserver. Une donnée collectée pour une finalité ne peut pas être réutilisée pour une finalité incompatible sans nouvelle information — voire nouveau consentement. C’est le principe de limitation des finalités, corollaire direct du principe de finalité.
Erreur classique. Collecter « au cas où ». Un formulaire d’inscription à une newsletter qui demande la date de naissance, le numéro de téléphone et l’adresse postale « pour de futures opérations » collecte pour une finalité non encore déterminée : c’est irrégulier.
Étape 2 : choisir la bonne base légale
Aucune collecte de données personnelles n’est licite sans base légale. L’Art. 6 du RGPD en prévoit six, et une seule doit être identifiée avant la collecte — pas après, ni « au choix ». Le choix de la base légale RGPD est structurant, car il détermine les droits dont dispose la personne (le droit d’opposition n’existe pas contre un traitement fondé sur le contrat, par exemple).
| Base légale | Art. 6(1) | Exemple de collecte |
|---|---|---|
| Consentement | (a) | Inscription à une newsletter, dépôt de cookies publicitaires |
| Contrat | (b) | Adresse de livraison pour exécuter une commande |
| Obligation légale | © | Données de facturation, déclarations sociales |
| Intérêt vital | (d) | Données médicales en situation d’urgence |
| Mission d’intérêt public | (e) | Traitements des administrations |
| Intérêt légitime | (f) | Prospection sur clients existants, sécurité du SI |
Deux points de vigilance. D’abord, ne confondez pas contrat et consentement : si la donnée est nécessaire pour exécuter le contrat (adresse de livraison), inutile — et même trompeur — de demander un consentement. Ensuite, le recours à l’intérêt légitime suppose de documenter une mise en balance (le « test de proportionnalité ») entre votre intérêt et les droits de la personne. Sans cette analyse écrite, la base est fragile.
Étape 3 : minimiser les données collectées
C’est l’obligation la plus concrète et la plus souvent négligée. L’Art. 5(1)© impose que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités » : c’est le principe de minimisation.
« adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données). »
La règle de test est simple : pour chaque champ d’un formulaire, demandez-vous si son absence empêcherait de réaliser la finalité. Si la réponse est non, le champ est de trop.
Reprenons l’exemple de la newsletter. La finalité est l’envoi d’un courriel périodique. Quelles données sont strictement nécessaires ?
- L’adresse email : indispensable, c’est le vecteur d’envoi.
- Le prénom : justifiable uniquement si les envois sont personnalisés (« Bonjour Marie »).
- Tout le reste (nom, téléphone, adresse postale, date de naissance, société, fonction) : sans lien avec la finalité, donc à proscrire du formulaire de newsletter.
La minimisation ne se limite pas au nombre de champs : elle concerne aussi le degré de précision. Collecter une année de naissance plutôt qu’une date complète, une tranche d’âge plutôt qu’une date, un code postal plutôt qu’une adresse exacte — chaque fois que la finalité le permet, on retient la donnée la moins précise. Ce réflexe réduit mécaniquement votre exposition en cas de violation.
La minimisation prépare aussi la durée de conservation : moins vous collectez, moins vous avez à purger.
Étape 4 : afficher les mentions d’information au moment de la collecte
L’Art. 13 du RGPD impose au responsable de traitement d’informer la personne concernée, au moment où les données sont obtenues, de ce qui sera fait de ses données. Cette information doit être fournie « de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples » — les exigences de l’article 12 du RGPD.
Les mentions complètes de l’Art. 13 comportent :
| Mention | Contenu |
|---|---|
| Identité du responsable | Nom, coordonnées de l’organisme (et du DPO le cas échéant) |
| Finalités | À quoi servent les données |
| Base légale | Art. 6 : consentement, contrat, obligation légale, intérêt légitime… |
| Destinataires | Qui reçoit les données (prestataires, partenaires) |
| Transferts hors UE | Le cas échéant, pays et garanties |
| Durée de conservation | Délai ou critères de détermination |
| Droits des personnes | Accès, rectification, effacement, opposition, portabilité |
| Réclamation | Droit de saisir la CNIL |
Vu la longueur de cette liste, la CNIL admet une information à deux niveaux : un premier niveau visible au moment de la collecte (directement sous le formulaire), et un renvoi vers une politique de confidentialité détaillée pour le reste. Le premier niveau doit au minimum indiquer :
- l’identité du responsable de traitement ;
- la finalité du traitement ;
- l’existence des droits des personnes et le moyen de les exercer ;
- un lien vers l’information complète.
Erreur classique. Renvoyer intégralement vers les CGU ou une politique noyée en bas de page, sans aucune information de premier niveau au point de collecte. La CNIL considère l’information comme non fournie « au moment » de la collecte.
Lorsque les données ne sont pas collectées directement auprès de la personne mais obtenues indirectement (achat de fichier, source tierce), c’est l’Art. 14 qui s’applique, avec un délai maximum d’un mois pour informer la personne.
Étape 5 : inscrire le traitement au registre
Avant le RGPD, on déclarait les traitements à la CNIL. Depuis 2018, ce système a été remplacé par une logique de responsabilisation : l’Art. 30 impose de tenir un registre des activités de traitement qui recense l’ensemble des traitements de l’organisme. Un exemple de registre RGPD rempli montre le niveau de détail attendu.
Chaque nouvelle collecte de données doit y figurer, avec notamment :
- le nom et la finalité du traitement ;
- les catégories de personnes et de données concernées ;
- les destinataires ;
- les durées de conservation ;
- les mesures de sécurité ;
- les transferts hors UE éventuels.
En pratique, une organisation recense un grand nombre de traitements dès qu’on y regarde de près :
| Traitement courant | Exemple de finalité |
|---|---|
| Site internet / formulaires | Contact, devis, inscription |
| Newsletter / prospection | Communication commerciale |
| Gestion des clients | Commandes, facturation, SAV |
| Ressources humaines | Paie, recrutement (CV), congés |
| Contrôle d’accès aux locaux | Sécurité physique |
| Vidéosurveillance | Protection des biens |
| Journalisation (logs) | Sécurité du système d’information |
| Sauvegardes | Continuité d’activité |
Le registre n’est pas une formalité administrative : c’est le document que la CNIL réclame en premier lors d’un contrôle. Un registre à jour démontre la conformité (« accountability ») ; un registre absent ou obsolète est un manquement autonome, sanctionnable en tant que tel.
Cas particuliers à connaître
Les données sensibles. La collecte de données sensibles (santé, opinions, orientation sexuelle, données biométriques…) est en principe interdite par l’Art. 9, sauf exception (consentement explicite, obligation en droit du travail, etc.). Ne collectez jamais une donnée sensible « par confort » : elle exige un régime renforcé.
La prospection commerciale. La collecte à des fins de prospection commerciale obéit à des règles spécifiques selon le canal (email, SMS, téléphone) et la qualité de la personne (client existant ou prospect). Le principe de l’opt-in s’applique pour la prospection par voie électronique vers des particuliers.
Le consentement. Lorsque la base légale est le consentement, celui-ci doit être libre, spécifique, éclairé et univoque : pas de case pré-cochée, un acte positif clair, et la possibilité de le retirer aussi facilement qu’il a été donné. Voyez notre modèle de recueil du consentement RGPD et le guide du consentement.
Les mineurs. La collecte de données de mineurs de moins de 15 ans (en France) pour un service en ligne suppose le consentement du titulaire de l’autorité parentale.
Checklist de collecte conforme
À dérouler avant la mise en ligne de tout formulaire ou dispositif de collecte :
- La finalité est déterminée et formulée en une phrase claire.
- La base légale (Art. 6) est identifiée et documentée — et le test de mise en balance est écrit si c’est l’intérêt légitime.
- Chaque champ du formulaire est justifié par la finalité (minimisation). Les champs facultatifs sont distingués des champs obligatoires.
- Les mentions d’information de premier niveau sont visibles au point de collecte, avec un lien vers la politique de confidentialité complète.
- Si le consentement est requis, le recueil est actif, granulaire et sans case pré-cochée.
- La durée de conservation est définie et cohérente avec la finalité.
- Le traitement est inscrit au registre (Art. 30).
- Les mesures de sécurité (chiffrement, contrôle d’accès) sont proportionnées à la sensibilité des données.
Modèle de mentions d’information (premier niveau)
À insérer directement sous un formulaire de collecte, avec un lien vers la politique de confidentialité détaillée.
Les informations recueillies via ce formulaire sont enregistrées par [Nom de l’organisme], responsable de traitement, pour [finalité : ex. gérer votre demande de contact]. La base légale du traitement est [ex. votre consentement / l’exécution de mesures précontractuelles]. Les champs marqués d’un astérisque sont obligatoires ; à défaut, votre demande ne pourra être traitée. Les données sont conservées pendant [durée] et destinées à [destinataires]. Conformément au RGPD, vous disposez d’un droit d’accès, de rectification, d’effacement, d’opposition et de portabilité, que vous pouvez exercer à [contact / email DPO]. Vous pouvez introduire une réclamation auprès de la CNIL. Pour en savoir plus, consultez notre [politique de confidentialité].
Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — mise à jour le 10 juillet 2026.
Rédiger et maintenir à jour ces mentions pour chaque traitement représente un travail répétitif : un logiciel RGPD permet d’industrialiser la génération des mentions d’information et leur mise à jour à partir du registre, ce qui évite les incohérences entre le formulaire, la politique de confidentialité et le registre.
FAQ
Faut-il toujours recueillir le consentement pour collecter des données personnelles ?
Non. Le consentement n’est que l’une des six bases légales de l’Art. 6. Beaucoup de collectes reposent sur une autre base : l’exécution d’un contrat (adresse de livraison), une obligation légale (facturation), ou l’intérêt légitime (sécurité, prospection sur clients). Demander un consentement là où il n’est pas requis est même une erreur, car cela laisse croire à la personne qu’elle peut refuser un traitement pourtant nécessaire à un autre titre.
Quelles données peut-on collecter dans un formulaire de contact ?
Uniquement celles nécessaires pour traiter la demande : le plus souvent une adresse email et le contenu du message. Le nom peut se justifier ; le téléphone seulement si un rappel est proposé. Tout champ supplémentaire (société, fonction, adresse postale) doit être justifié par la finalité, faute de quoi il viole le principe de minimisation.
Où doivent apparaître les mentions d’information RGPD ?
Directement au point de collecte, c’est-à-dire sous ou à côté du formulaire, au moment où la personne saisit ses données (Art. 13). La CNIL admet une information à deux niveaux : quelques mentions essentielles visibles immédiatement (identité du responsable, finalité, droits, lien) et le détail dans une politique de confidentialité accessible par un lien.
Une case pré-cochée vaut-elle consentement ?
Non. Le consentement doit résulter d’un acte positif clair. Les cases pré-cochées, la poursuite de la navigation ou l’inaction ne valent pas consentement. Ce point vaut aussi bien pour les formulaires que pour les bandeaux cookies. Voyez le modèle de recueil du consentement présenté plus haut.
La collecte doit-elle être inscrite au registre même pour une petite structure ?
Oui, dès qu’un traitement est mis en œuvre. L’Art. 30 prévoit un allègement pour les organismes de moins de 250 salariés, mais celui-ci ne s’applique pas aux traitements réguliers, à ceux portant sur des données sensibles ou présentant un risque : en pratique, la quasi-totalité des organismes doit tenir un registre, dont l’exemple présenté plus haut sert de point de départ.
Combien de temps peut-on conserver les données collectées ?
Aussi longtemps que nécessaire à la finalité, pas au-delà. La durée dépend du type de données et de l’obligation légale applicable (par exemple, conservation des factures pendant dix ans). Une fois la finalité atteinte, les données doivent être supprimées ou archivées. Notre tableau des durées de conservation, lié plus haut, donne des repères par catégorie.
Vous voulez fiabiliser vos formulaires et vos mentions d’information avant votre prochaine collecte ? Inscrivez-vous à ma newsletter : chaque semaine, j’analyse les décisions de la CNIL et les évolutions du RGPD qui touchent directement les responsables de traitement et les DPO. C’est la veille que je menais pour mes clients pendant 20 ans, désormais ouverte à tous.