Les autorités européennes de protection des données choisissent chaque année un thème et le contrôlent ensemble. Pour 2026, ce thème est la transparence : les articles 12, 13 et 14 du RGPD.
Ces articles ne parlent pas des bandeaux cookies. Ils parlent de ce que vous dites à quelqu’un au moment où vous collectez ses données, et de la capacité d’une personne normale à le comprendre.
Si votre génération de leads repose sur des formulaires, du contenu à télécharger et de l’enrichissement CRM, c’est l’année où vos mentions vont être lues par quelqu’un d’autre que votre juriste.
À retenir
- La priorité de contrôle 2026 dans l’Union porte sur la transparence, pas sur la mécanique du consentement.
- Le test concret est la compréhension : un visiteur saurait-il dire ce que deviennent ses données après l’envoi du formulaire.
- Les durées de conservation doivent désormais être annoncées, pas sous-entendues.
- Des mentions claires convertissent souvent mieux que des mentions floues, ce n’est donc pas un pur coût de conformité.
Ce qui change concrètement
Rien dans le texte du RGPD n’a changé. Ce qui a changé, c’est l’endroit où se porte l’attention.
Trois exigences passent de la théorie à la grille de contrôle :
Dire ce que vous collectez et pourquoi, en langage clair. Pas « nous traitons vos données pour améliorer nos services ». Quelles données, pour quelle finalité, et ce que la personne y gagne.
Annoncer les durées de conservation. C’est le point que la plupart des équipes marketing ratent. Si vous gardez une fiche de lead trois ans, dites trois ans. « Le temps nécessaire » n’est pas une durée, c’est une esquive, et c’est le genre de formulation qui attire un second regard.
Rendre visibles les transmissions. Si le formulaire alimente un CRM, un outil d’enrichissement et une plateforme d’emailing, la personne a le droit de savoir qu’il existe des catégories de destinataires. La plupart des politiques que nous auditons s’arrêtent au CRM et oublient le reste de la chaîne.
La partie qui vous coûte vraiment de l’argent
Voici le cadrage que la plupart des articles de conformité ratent. Une mauvaise transparence n’est pas seulement un risque juridique. C’est un problème de conversion.
Regardez un enregistrement de session sur une page de téléchargement. L’hésitation se produit exactement là où le formulaire demande un numéro de téléphone sans expliquer pourquoi, ou là où un pavé juridique traîne sous le bouton d’envoi. Les gens ne le lisent pas. Ils ressentent juste la friction et repartent.
Nous avons réécrit ces mentions sur des sites clients, et le schéma se répète : remplacer un paragraphe juridique par une phrase précise sur ce qui va se passer maintient la conversion, voire l’améliore. « On vous envoie le rapport par email, plus une relance. Rien d’autre, et vous vous désinscrivez en un clic » fait plus de travail que trois phrases de langage réglementaire.
TRACKING ET REPORTING
Savoir où partent réellement vos données de leads
On cartographie chaque destination atteinte par une soumission de formulaire, puis on écrit des mentions qui décrivent la réalité au lieu de la supposer.
Ce qu’on écrit concrètement
Un conseil abstrait sur la clarté n’aide personne. Voici la forme que prend le changement, tiré de travaux sur des sites clients.
Avant, sous un formulaire de demande de démo : « En soumettant ce formulaire, vous consentez au traitement de vos données personnelles par notre société et ses partenaires à des fins de prospection commerciale, conformément à notre politique de confidentialité. »
Après : « On vous appelle sous deux jours ouvrés pour comprendre votre besoin. Vos coordonnées restent chez nous, on les garde trois ans, et vous pouvez demander leur suppression à tout moment en répondant à n’importe lequel de nos emails. »
La seconde version est plus longue en mots et plus courte en effort. Elle dit qui appelle, quand, ce que deviennent les données, combien de temps, et comment sortir. Elle répond accessoirement aux trois articles sous contrôle.
Le schéma qui fonctionne : annoncer ce qui va se passer, donner la durée sous forme de chiffre, et indiquer la sortie dans la même phrase. Ce qui ne fonctionne pas, c’est un lien vers la politique de confidentialité censé tenir lieu des trois.
La question des sous-traitants que personne n’anticipe
L’article 13 impose de communiquer les catégories de destinataires. En pratique, cela signifie chaque outil que traversent les données du formulaire, et c’est là que les audits deviennent inconfortables.
Prenez une configuration B2B standard. Le formulaire alimente un CRM. Un service d’enrichissement ajoute des données d’entreprise. Une plateforme d’emailing reçoit le contact. Un modèle de scoring le lit. Un entrepôt en stocke une copie pour le reporting. Une plateforme publicitaire en reçoit une version hachée pour l’import de conversions offline.
Cela fait six catégories de destinataires, et la plupart des politiques que nous lisons en mentionnent une. L’écart est rarement volontaire. C’est que la personne qui a rédigé la mention a demandé au responsable marketing où vont les données, et que celui-ci a répondu avec le système auquel il pense, pas avec les six qui les reçoivent réellement.
La traçabilité est l’exigence la plus difficile
Le second thème qui traverse les orientations 2026 est la traçabilité : savoir où circulent les données, qui y accède, et à quel moment.
Pour une équipe marketing, la question est réellement difficile. Une seule soumission de formulaire peut atteindre un CRM, une API d’enrichissement, une plateforme d’emailing, une plateforme publicitaire via import de conversions offline, un entrepôt de données et une couche de reporting. Chaque saut a été ajouté par quelqu’un qui réglait un problème, et personne ne détient la carte complète.
Impossible d’écrire une politique honnête sans cette carte. C’est pour ça que nous traitons l’audit des flux comme le premier livrable et non le dernier : la mention est le résultat, pas le point de départ.
On ne peut pas décrire ce que deviennent les données de quelqu’un si personne dans l’entreprise n’est capable d’en dessiner le schéma. MyDigipal
Quoi faire ce trimestre
Quatre étapes, dans l’ordre, et aucune ne demande d’acheter un logiciel.
- Cartographier les destinations. Prenez vos trois formulaires les plus utilisés. Listez chaque système atteint par la soumission, y compris ceux ajoutés pour une campagne ponctuelle et jamais retirés.
- Fixer de vraies durées de conservation. Un chiffre par catégorie de données, et quelqu’un capable de l’appliquer. Une durée annoncée mais jamais appliquée est pire que pas de durée du tout.
- Réécrire la mention au point de collecte. Courte, précise, dans la langue du visiteur. Le texte juridique peut vivre sur la page de politique de confidentialité. Ce qui est à côté du bouton doit être lisible.
- Vérifier que les signaux de consentement partent toujours. Si vous utilisez le Consent Mode, testez le comportement réel plutôt que la configuration. Nous expliquions pourquoi un audit de consentement se teste et ne se lit pas, et ça n’a pas bougé.
Le règlement IA ajoute sa propre couche sur 2026 et 2027 pour les systèmes à haut risque. Si vous scorez ou profilez des leads avec un modèle, ce périmètre mérite d’être vérifié tôt. Nous avons traité l’angle audit dans notre article sur l’AI Act pour les équipes marketing.
Comment enchaîner sans arrêter la machine
L’objection au travail de conformité est toujours qu’il entre en concurrence avec le travail qui rapporte. Menez-le donc dans l’ordre où il se finance lui-même.
Commencez par votre formulaire au plus gros volume. Réécrivez la mention au point de collecte, ne touchez à rien d’autre, et surveillez le taux de conversion pendant deux semaines. D’expérience, il se maintient ou s’améliore, et c’est ce résultat qui vous achète le budget pour la suite.
Cartographiez ensuite les destinations de ce seul formulaire. Vous trouverez au moins un système que personne n’avait mentionné. Corrigez la mention pour qu’elle colle à la réalité.
Généralisez seulement après. Les équipes qui tentent d’auditer douze formulaires d’un coup produisent un tableur sur lequel personne n’agit. Celles qui en corrigent un correctement se retrouvent avec un modèle pour les onze autres.
La pression du calendrier est réelle mais ce n’est pas une urgence à la semaine. L’action coordonnée court sur l’année, et les sanctions suivent les contrôles plutôt qu’elles ne les précèdent. Ce que vous ne pouvez pas vous permettre, c’est d’être encore à zéro le jour où une demande arrive.
Rien de tout cela n’est glorieux. Mais la transparence est le chantier de conformité le moins cher de votre année, et le seul qui puisse aussi faire monter votre taux de conversion. Commencez par les formulaires qui rapportent le plus de leads, puis descendez la liste.
Si vous voulez cartographier les flux proprement avant de réécrire quoi que ce soit, c’est aussi par là que nous commençons.
Sources : RGPD et IA, obligations 2026 - Guide RGPD entreprises 2026 - RGPD 2026, nouvelles obligations pour les PME
