RGPD dans les quiz de captation : ce que vous pouvez demander, et ce que non

Un quiz de captation collecte des données personnelles : il relève donc pleinement du RGPD. Bonne nouvelle, les règles qui pèsent au quotidien sont peu nombreuses et assez claires. Un avertissement d'emblée : ceci est un guide pratique fondé sur le texte du règlement, pas un conseil juridique ; pour votre situation précise, consultez un professionnel.

Le consentement tel que le règlement le définit

Pour la captation grand public, le consentement est la base habituelle, et le RGPD exige qu'il soit libre, spécifique, éclairé et univoque. En pratique, cela écarte trois habitudes très répandues :

• Les cases précochées : invalides, l'utilisateur doit accomplir un acte positif.
• Le consentement fondu dans l'acceptation des conditions : il doit pouvoir être donné séparément.
• Les formules vagues du type « j'accepte de recevoir des communications » : il faut dire qui traite les données et dans quel but.

Minimisation : chaque champ en trop est une exposition

Le principe de minimisation impose de ne collecter que ce que la finalité déclarée exige. Si un nom et un téléphone suffisent pour rappeler un client, demander en plus l'adresse, l'e-mail et la date de naissance « au cas où » n'est pas de la prudence : c'est du risque ajouté sans contrepartie.

Ici, RGPD et conversion vont dans le même sens : un formulaire plus court convertit mieux et laisse moins de données à protéger.

Catégories particulières : le point le plus négligé

L'article 9 interdit le traitement de certaines catégories — dont les données de santé — sauf si une condition spécifique est remplie, et la voie usuelle est le consentement explicite, exigence plus forte que le consentement ordinaire. Et « donnée de santé » est plus large qu'on ne le croit : toute information sur l'état physique ou mental d'une personne, passé, présent ou futur.

Conséquence pratique pour les cliniques et services de santé : le quiz ne devrait demander ni antécédents médicaux ni diagnostics. On qualifie très bien sur l'intérêt pour un traitement, l'urgence, le délai et le budget, en laissant le détail clinique à la consultation. Les sanctions de l'article 9 relèvent de la fourchette haute du règlement : ce n'est pas un détail.

Ce qu'il faut avoir en place

• Une politique de confidentialité accessible depuis le quiz lui-même, pas enfouie dans le pied de page.
• Une finalité déclarée puis respectée : des données collectées pour un devis ne servent pas à une newsletter sans nouveau consentement.
• Une durée de conservation définie, et une suppression qui a réellement lieu à l'échéance.
• Un moyen simple d'exercer l'accès et l'effacement, avec réponse dans les délais.
• Des sous-traitants identifiés : l'outil avec lequel vous créez le quiz traite des données pour votre compte, d'où le contrat correspondant et la nécessité de savoir où elles sont hébergées.

Quizanta héberge les données dans l'UE et les modèles sont écrits pour qualifier sur l'intention plutôt que sur des informations sensibles. Le reste — votre politique de confidentialité, vos durées de conservation, votre base légale — demeure la responsabilité de votre entreprise, et mérite une revue sérieuse, une fois, avec un professionnel.