Champs libres RGPD : 6 risques + checklist 2026
Champs libres et zones de commentaire : 6 risques RGPD, la doctrine CNIL et une checklist pour sécuriser vos formulaires en 2026.
- Pourquoi les champs libres posent problème
- Les 6 risques juridiques d’un champ libre mal maîtrisé
- Ce que dit la doctrine de la CNIL
- L’origine du problème : le formulaire lui-même
- Comment sécuriser vos champs libres : checklist 2026
- Le cas particulier du secteur immobilier et social
- Où se cachent les champs à risque dans vos outils
- Le droit d’accès, révélateur impitoyable
- FAQ
L’essentiel. Les champs libres — ces zones « observations », « commentaires » ou « renseignements divers » ouvertes dans un CRM, un logiciel RH ou une base de données — sont l’une des premières causes de non-conformité RGPD. Laissés à la libre appréciation des opérateurs, ils se remplissent inévitablement d’annotations subjectives, parfois injurieuses, souvent de données sensibles (santé, origine, opinions) collectées sans base légale. Le remède n’est pas de « faire attention » : c’est de restructurer la collecte (champs fermés, cases à cocher), d’encadrer les champs libres résiduels par une charte, et d’auditer périodiquement leur contenu.
L’affaire qui illustre le mieux ce risque reste emblématique : lors d’un contrôle, la CNIL a découvert qu’un office public de l’habitat inscrivait, dans les fiches de ses locataires, des appréciations telles que « séropositif », « cancer », « sous chimiothérapie », « alcoolique » ou « n’est pas de nationalité française ». Le tout accessible à un large éventail de destinataires, y compris des gardiens n’ayant aucun besoin d’en connaître. La cause technique de ce désastre juridique tenait à un détail d’apparence anodine : un simple champ de saisie laissé libre.
Plus de dix ans plus tard, sous l’empire du RGPD, le problème est intact — et les sanctions se sont durcies. Voici pourquoi les champs libres sont dangereux, ce que dit la doctrine de la CNIL, et comment les sécuriser en 2026.
Pourquoi les champs libres posent problème
La loi des grands nombres
Un champ libre n’est pas neutre : c’est une invitation à écrire. Sur mille saisies, la subjectivité humaine introduira nécessairement son lot d’appréciations déplacées. L’opérateur qui « croit bien faire » note « client pénible », « à surveiller », « semble dépressif » — et fait basculer le fichier dans l’illicéité. Ce n’est pas une faute individuelle isolée : c’est une propriété statistique du dispositif. Ouvrir un champ « observations complémentaires », c’est ouvrir la porte à la donnée que vous n’auriez jamais collectée volontairement.
Le principe de minimisation, contredit par construction
L’article 5(1)© du RGPD impose que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire » — c’est le principe de minimisation. Or un champ libre est, par définition, non limité : il autorise la collecte de tout et n’importe quoi. Il entre donc en tension frontale avec la minimisation, mais aussi avec le principe de finalité (les données doivent servir un but déterminé) et le principe de proportionnalité.
La collecte accidentelle de données sensibles
C’est le risque le plus grave. L’article 9 du RGPD interdit par principe le traitement des données sensibles — santé, origine raciale ou ethnique, opinions politiques ou religieuses, appartenance syndicale, orientation sexuelle, données biométriques ou génétiques — sauf exception limitativement énumérée. Un champ libre permet à ces données de s’engouffrer dans le fichier sans aucune base juridique. Notre guide de l’article 9 RGPD détaille le régime et ses exceptions.
Les 6 risques juridiques d’un champ libre mal maîtrisé
Reprenons l’affaire de l’office HLM : une seule pratique déclenche potentiellement une cascade de manquements. Voici les six risques majeurs, transposés au cadre RGPD et au droit pénal français en vigueur.
| # | Risque | Fondement RGPD | Fondement pénal (France) |
|---|---|---|---|
| 1 | Collecte de données sensibles sans base légale | Art. 9 RGPD | Art. 226-19 C. pén. |
| 2 | Collecte déloyale ou excessive | Art. 5(1)(a) et © | Art. 226-18 C. pén. |
| 3 | Détournement de finalité | Art. 5(1)(b) | Art. 226-21 C. pén. |
| 4 | Défaut de sécurité / confidentialité | Art. 5(1)(f), art. 32 | Art. 226-17 C. pén. |
| 5 | Accès trop large / divulgation | Art. 32, art. 5(1)(f) | Art. 226-22 C. pén. |
| 6 | Manquement à l’accountability | Art. 5(2), art. 30 | Sanctions CNIL (art. 83) |
1. Collecte illicite de données sensibles
Inscrire « séropositif » dans un fichier, c’est traiter une donnée de santé — donc, en principe, une donnée interdite par l’article 9. Hors exception applicable (consentement explicite, motif d’intérêt public dans le domaine de la santé, etc.), la collecte est illicite. En droit pénal français, l’article 226-19 réprime la mise en mémoire de données sensibles sans base légale de cinq ans d’emprisonnement et 300 000 € d’amende (quintuplé pour les personnes morales).
2. Collecte déloyale et excessive
La donnée est-elle proportionnée à la finalité ? Un bailleur social a besoin de gérer un bail, pas de savoir si son locataire suit une chimiothérapie. L’article 226-18 du Code pénal sanctionne la collecte « par un moyen frauduleux, déloyal ou illicite ». La déloyauté, ici, tient au fait que la personne concernée ignore ce qu’on note réellement sur elle.
3. Détournement de finalité
Un traitement déclaré pour « gérer la relation locative » ne peut servir à constituer un fichier d’appréciations médicales ou ethniques. Utiliser les données à une fin incompatible avec la finalité initiale constitue un détournement (art. 226-21 C. pén.), et viole le principe de finalité.
4. Défaut de sécurité
L’article 32 impose des mesures de sécurité adaptées au risque. Un champ contenant des données sensibles, accessible sans restriction, révèle une absence de mesures organisationnelles — sanctionnable pénalement (art. 226-17) et administrativement.
5. Accès trop large et divulgation
Dans l’affaire de l’office HLM, des gardiens avaient accès aux comptes de tous les locataires, y compris ceux d’autres immeubles. C’est le contraire du principe du besoin d’en connaître (need to know). La divulgation de données portant atteinte à l’intimité est en outre visée par l’article 226-22 du Code pénal.
6. Incapacité à démontrer la conformité
Enfin, l’article 5(2) impose de pouvoir prouver sa conformité (accountability). Une organisation qui ne maîtrise pas ce qui est écrit dans ses champs libres ne peut ni documenter la nature des données traitées dans son registre, ni garantir leurs durées de conservation.
Ce que dit la doctrine de la CNIL
La CNIL a, à de nombreuses reprises, alerté sur les zones de commentaires libres et sanctionné des responsables de traitement dont les fichiers clients comportaient des annotations subjectives, injurieuses ou révélant des données sensibles. Sa position, constante, peut se résumer ainsi :
- Les champs libres ne sont pas interdits, mais ils doivent être utilisés avec discernement et ne jamais contenir d’appréciation subjective, injurieuse ou révélant une donnée sensible.
- Les mentions inscrites doivent être objectives, pertinentes et non excessives au regard de la finalité.
- La personne concernée peut, au titre de son droit d’accès, obtenir communication du contenu de ces champs — ce qui expose crûment les annotations déplacées.
- Le responsable doit sensibiliser les opérateurs de saisie et prévoir des contrôles.
Dans l’affaire fondatrice évoquée en introduction, la CNIL a d’ailleurs choisi la voie de la mise en demeure plutôt que de la sanction immédiate, en indiquant qu’aucune suite ne serait donnée si l’organisme se mettait en conformité dans le délai imparti. Le signal était clair : corriger la pratique, tout de suite.
L’origine du problème : le formulaire lui-même
La tentation est de blâmer l’opérateur. C’est une erreur d’analyse. La cause profonde est le design du formulaire. Un champ libre est un dispositif qui produit mécaniquement de la donnée non désirée. Le corriger ne relève pas de la discipline individuelle mais de la conception — la logique de privacy by design (art. 25).
Concrètement, la plupart des besoins couverts par un champ libre peuvent être satisfaits par des structures fermées :
| Besoin métier | Mauvaise pratique (champ libre) | Bonne pratique (champ structuré) |
|---|---|---|
| Qualifier un contact | « Observations » ouvertes | Liste déroulante de statuts prédéfinis |
| Suivre une relation client | Notes subjectives | Cases à cocher d’événements objectifs |
| Prioriser un dossier | « À surveiller », « pénible » | Échelle de priorité 1-3 objective |
| Motiver une décision | Commentaire libre non cadré | Menu de motifs prévus + champ court encadré |
| Historiser un échange | Verbatim intégral | Résumé factuel horodaté, sans jugement |
Lorsqu’un champ libre reste indispensable (un motif de résiliation, un compte rendu d’incident), il doit être explicitement encadré : une consigne affichée au-dessus du champ (« Ne saisissez que des informations factuelles et nécessaires. Aucune donnée de santé, d’opinion ou d’appréciation personnelle »), une longueur limitée, et une revue périodique.
Comment sécuriser vos champs libres : checklist 2026
- Recenser tous les champs libres de vos outils (CRM, RH, logiciels métier, ERP) et les inscrire au registre des traitements.
- Auditer le contenu existant : extraire un échantillon et rechercher les données sensibles ou les annotations subjectives déjà présentes. Un audit RGPD formalise cette revue.
- Restructurer la collecte : remplacer les champs libres par des listes, cases à cocher, échelles — chaque fois que c’est possible.
- Encadrer les champs libres résiduels : consigne visible, longueur limitée, interdiction explicite des données sensibles.
- Restreindre les accès selon le besoin d’en connaître (art. 32) : tous les collaborateurs n’ont pas à voir toutes les fiches.
- Fixer une durée de conservation et purger les annotations obsolètes.
- Former et sensibiliser les opérateurs de saisie, idéalement via une charte informatique opposable.
- Documenter la base légale de la collecte et vérifier qu’aucune donnée relevant de l’article 9 n’est traitée sans exception applicable.
- Nettoyer les mentions illicites déjà présentes (rectification/effacement) avant qu’une demande de droit d’accès ne les révèle.
- Réévaluer lors de chaque nouveau projet, dans une logique de privacy by design.
Sur un parc applicatif étendu, la détection des champs à risque et le suivi des durées de conservation peuvent être outillés : un logiciel RGPD permet d’industrialiser l’inventaire des traitements et la traçabilité des mesures correctrices.
Le cas particulier du secteur immobilier et social
Les bailleurs, agences et offices HLM manipulent des données particulièrement sensibles à la relation locative : ressources, situation familiale, incidents de paiement, parfois santé. Le risque de dérapage dans les champs libres y est élevé. Notre guide dédié au RGPD dans l’immobilier détaille les traitements typiques du secteur et les précautions spécifiques à prendre pour les fichiers de locataires et de candidats.
Où se cachent les champs à risque dans vos outils
Les champs libres ne sont pas cantonnés au « formulaire papier » d’autrefois : ils prolifèrent dans les logiciels métier. Trois familles concentrent le risque.
- Le CRM et le service client. Les zones « notes », « historique », « qualification » recueillent des verbatims d’échanges où s’invitent des jugements de valeur (« client agressif », « toujours en retard de paiement ») et parfois des données de santé mentionnées par le client lui-même. Le fait que la donnée soit livrée spontanément par la personne ne la rend pas licite à conserver.
- Le SIRH et la gestion du personnel. Les champs « commentaires manager », « entretien annuel », « absences » sont des points d’entrée pour des données de santé (arrêts, aménagements) ou des appréciations subjectives. Ces données doivent être strictement cantonnées à ce qui est nécessaire à la gestion du contrat de travail, et cloisonnées.
- Les logiciels métier et ERP. Dossiers patients, dossiers clients d’un cabinet, fiches d’intervention : partout où un professionnel « prend des notes », le risque existe. La règle est la même : objectivité, pertinence, nécessité.
Pour chacun de ces outils, l’inventaire doit identifier quel champ est libre, qui peut y écrire, qui peut le lire, et combien de temps son contenu est conservé.
Le droit d’accès, révélateur impitoyable
La sanction la plus fréquente d’un champ libre mal maîtrisé ne vient pas d’un contrôle : elle vient d’une demande de droit d’accès. Lorsqu’une personne demande la copie de ses données (article 15), le responsable doit lui communiquer le contenu des champs libres la concernant. C’est à cette occasion que sont découvertes — et parfois transmises à la CNIL ou portées devant le juge — les annotations déplacées.
Anticiper cette exposition est un excellent réflexe de conformité : écrivez toujours en imaginant que la personne lira. Si une annotation ne peut être assumée en face de la personne concernée, elle n’a pas sa place dans le fichier. Ce test simple, appliqué à la formation des équipes, élimine à lui seul l’essentiel des dérives. Il complète utilement l’analyse de la base légale de la collecte : une donnée sans finalité assumée est une donnée sans base.
FAQ
Les champs libres sont-ils interdits par le RGPD ?
Non. Le RGPD n’interdit aucun champ en tant que tel : il encadre les données qui y sont saisies. Un champ libre devient problématique lorsqu’il conduit à collecter des données excessives, sans base légale, ou des données sensibles au sens de l’article 9. Bien encadré (consigne, longueur limitée, revue), il reste utilisable.
Que faire si je découvre des données sensibles dans mes champs libres ?
Ne les laissez pas. Supprimez ou anonymisez les mentions illicites, tracez l’opération, et corrigez la cause (design du formulaire, formation). Si ces données ont pu être consultées par des personnes non autorisées, appréciez s’il y a une violation de données à notifier. Documentez l’ensemble au titre de l’accountability.
Un salarié peut-il écrire ce qu’il veut dans un CRM ?
Non. Les annotations doivent être objectives, pertinentes et non excessives. Les commentaires injurieux, discriminatoires ou révélant des données sensibles engagent la responsabilité du responsable de traitement, pas seulement du salarié. Une charte informatique et une sensibilisation régulière sont des mesures organisationnelles attendues.
La personne concernée peut-elle lire ce que j’ai noté sur elle ?
Oui. Au titre du droit d’accès (art. 15), la personne peut obtenir communication des données la concernant, y compris le contenu des champs libres. C’est souvent à cette occasion que les annotations déplacées sont découvertes — et parfois portées à la connaissance de la CNIL.
Comment prouver que je maîtrise mes champs libres en cas de contrôle ?
Par la documentation : inventaire des champs au registre, consignes de saisie, preuve de sensibilisation des opérateurs, restriction des accès, durée de conservation définie, et traces d’audits périodiques du contenu. C’est l’exigence d’accountability de l’article 5(2).
Quelles sanctions en cas de champ libre contenant des données sensibles ?
Le risque est double. Administrativement, la CNIL peut prononcer une mise en demeure, une injonction ou une sanction pécuniaire (jusqu’à 20 M€ ou 4 % du CA mondial). Pénalement, les articles 226-16 et suivants du Code pénal prévoient jusqu’à cinq ans d’emprisonnement et 300 000 € d’amende (quintuplé pour les personnes morales).
Comment concevoir un formulaire « privacy by design » ?
Partez de la finalité : listez les seules informations nécessaires pour l’atteindre, puis choisissez pour chacune le format le plus fermé possible (liste, cases à cocher, échelle). Ne conservez un champ de texte libre que lorsqu’aucune structure ne convient, en l’accompagnant d’une consigne claire et d’une longueur limitée. Documentez ces choix : c’est la logique de l’article 25 (protection des données dès la conception), et c’est aussi la meilleure prévention contre la collecte accidentelle de données sensibles.
Cet article a une vocation informative et ne constitue pas un conseil juridique individualisé. Analyse à jour au 10 juillet 2026 ; à adapter à votre contexte avant toute décision.