Créer un formulaire en ligne sûr : le guide pratique

Créer un formulaire en ligne est la chose la plus simple que vous ferez cette semaine. Tous les éditeurs du marché vous emmènent de la page blanche au lien fonctionnel en dix minutes environ, et aucune de ces dix minutes ne comporte la moindre décision de sécurité. C'est précisément le problème. Le formulaire par lequel des données fuient n'est presque jamais celui qui a été piraté : c'est celui qui demandait une date de naissance dont personne n'avait besoin, qui a circulé comme lien public dans une conversation de groupe, qui a collecté des réponses pendant quatre ans, et que six personnes ayant depuis quitté l'entreprise pouvaient lire.

Ce guide est délibérément indépendant de tout produit : chaque étape s'applique que vous utilisiez Schweizerform, Google Forms, un tenant Microsoft ou un LimeSurvey auto-hébergé. Lorsqu'une étape dépend d'une fonction de la plateforme, nous le disons clairement, et nous prenons notre propre produit comme exemple sans prétendre qu'il est la seule option. Si vous êtes encore en phase de choix, notre panorama des outils de formulaires en ligne pour les entreprises suisses est un meilleur point de départ.

Que veut dire « sûr » pour un formulaire ?

« Sûr » désigne quatre propriétés différentes, que les fournisseurs distinguent rarement. Savoir laquelle vous achetez — et laquelle vous devez encore construire vous-même — représente l'essentiel du travail.

• Confidentialité en transit. Personne sur le réseau ne peut lire l'envoi. HTTPS s'en charge, partout et sans éclat. C'est un minimum, pas une fonctionnalité — et cela s'arrête à la porte du serveur, d'où notre article pourquoi HTTPS seul ne suffit pas.
• Confidentialité au repos. Les données stockées sont chiffrées sur le disque. Presque tous les fournisseurs le font avec des clés qu'ils détiennent : cela protège d'un disque volé, pas du fournisseur, de ses outils de support ni d'une injonction qui lui est adressée.
• Confidentialité vis-à-vis du fournisseur. Vous seul pouvez lire les réponses, parce que le déchiffrement a lieu dans votre navigateur avec une clé que le fournisseur ne reçoit jamais. C'est le chiffrement de bout en bout, la seule des quatre propriétés qui change qui se trouve dans votre périmètre de confiance.
• Intégrité et disponibilité. Les réponses que vous lisez sont celles qui ont été envoyées, elles seront encore là le mois prochain, et vous pouvez les récupérer. Peu glamour — et le mode de défaillance que les organisations vivent réellement.

S'y ajoute la propriété qui n'a rien à voir avec la cryptographie : les données que vous n'avez jamais collectées ne peuvent pas fuir, être réquisitionnées, être mal partagées ni devoir être supprimées. Chaque étape ci-dessous découle de cette idée.

Étape 1 : déterminer ce que vous avez le droit de demander

Commencez par les champs, pas par l'outil. Selon l'art. 6 de la loi fédérale suisse sur la protection des données, le traitement doit être licite, effectué de bonne foi et proportionné, et rester lié à la finalité indiquée lors de la collecte. Concrètement : chaque champ mérite une phrase expliquant ce que vous en ferez. Si cette phrase est « ça pourrait servir plus tard », le champ n'a rien à faire sur le formulaire.

Une attention particulière va aux catégories que la loi qualifie de sensibles — données sur la santé, les opinions religieuses, philosophiques, politiques ou syndicales, l'origine raciale ou ethnique, les données génétiques et biométriques, la sphère intime, les poursuites et sanctions administratives et pénales, ainsi que les mesures d'aide sociale (art. 5 let. c nLPD ; l'équivalent RGPD est l'art. 9). Une case à cocher d'apparence anodine peut faire basculer tout votre formulaire dans cette catégorie, avec à la clé l'exigence d'un consentement explicite lorsque le consentement est votre base, et une analyse d'impact au sens de l'art. 22 lorsque le risque est élevé.

Étape 2 : formuler les questions pour que les réponses soient exploitables

La conception des questions est une mesure de protection des données, pas seulement une affaire d'ergonomie. Les réponses structurées s'agrègent, se filtrent, s'exportent et se suppriment avec précision. Le champ libre, non : il recueille ce que le répondant décide de vous dire, y compris ce que vous n'avez aucune base pour conserver, et c'est le type de champ le plus difficile à anonymiser ensuite.

• Privilégier les réponses fermées là où vous analyserez. Choix unique, choix multiple, échelle, date, liste déroulante. Les données restent propres et l'analyse honnête.
• Utiliser le champ libre délibérément, et prévenir. Une phrase — « merci de ne pas mentionner de données de santé ni de noms de tiers » — change de façon mesurable ce que les gens écrivent.
• Rendre obligatoires les seuls champs réellement obligatoires. Chaque champ requis coûte des taux de complétion et constitue une contrainte : sans livrer la donnée, le répondant ne peut pas avancer. Un champ non nécessaire à la finalité ne doit pas être obligatoire — et souvent ne devrait pas figurer du tout.
• Découper les formulaires longs en pages ou étapes. Les taux de complétion montent, et il devient possible de ne collecter la partie sensible qu'après avoir expliqué pourquoi elle est nécessaire.
• Libeller dans la langue des répondants. En Suisse, cela signifie au minimum DE, FR et IT. Une question de consentement mal traduite n'est pas un consentement.

Une astuce efficace pour arrêter la liste des champs : écrivez d'abord l'export que vous voulez obtenir — les colonnes que vous utiliserez vraiment en réunion — et déduisez le formulaire de là. Les champs qui ne produisent aucune colonne disparaissent d'eux-mêmes. Si vous préférez partir de quelque chose d'éprouvé, nos modèles de formulaires sont bâtis sur cette discipline, et le centre d'aide couvre la mécanique dans les bases de l'éditeur de formulaire et les types de questions.

Étape 3 : dire aux répondants ce qu'il advient de leurs données

L'art. 19 nLPD exige que le responsable du traitement informe préalablement la personne concernée, de manière compréhensible, de son identité et de ses coordonnées, de la finalité du traitement, le cas échéant des destinataires, ainsi que de l'État vers lequel les données pourraient être communiquées à l'étranger et de la garantie invoquée. Un formulaire est le point de collecte : l'information appartient donc au formulaire, et non à trois clics de là dans un pied de page que personne n'ouvre.

Quatre ou cinq lignes en langage clair suffisent : qui collecte, pourquoi, qui verra, combien de temps c'est conservé, où adresser une demande — plus un lien vers la déclaration complète. La longueur n'est pas ici un critère de qualité ; un répondant qui comprend la note vaut mieux qu'un texte juridiquement exhaustif devant lequel il a fait défiler l'écran.

Étape 4 : traiter les fichiers joints comme le champ le plus risqué

Le champ de téléversement est le seul endroit où vous perdez la maîtrise de ce que vous collectez. Demandez un justificatif de domicile et vous recevrez des relevés bancaires ; demandez une photo et vous recevrez un scan de passeport ; demandez des « pièces justificatives » et vous recevrez un dossier médical complet. Trois règles gardent la situation gérable : nommer précisément les documents acceptés, restreindre types et tailles de fichiers pour rendre les surprises plus difficiles, et vérifier que les fichiers sont protégés comme les réponses — un envoi chiffré dont les pièces jointes dorment en clair dans un stockage objet n'est pas un envoi chiffré.

Les téléversements traînent aussi des métadonnées qu'on oublie : les photos peuvent contenir des coordonnées GPS et des identifiants d'appareil, les PDF portent des noms d'auteur et un historique de révisions, les documents bureautiques conservent le suivi des modifications. Si vous transférez ou republiez ce que vous recevez, vous transférez cela aussi. Le modèle de menace complet, du navigateur au stockage, est dans le guide complet des téléversements de fichiers sécurisés.

Étape 5 : partager le lien sans en faire un document public

C'est là que se produisent la plupart des incidents réels, et cela n'a rien à voir avec le chiffrement. Un lien de formulaire est une URL. Les URL sont transférées, collées dans des groupes de discussion, indexées dès qu'elles apparaissent sur une page publique, enregistrées dans l'historique de navigateurs partagés et photographiées dans des présentations. Un lien impossible à deviner est une obscurité légère, pas un contrôle d'accès.

1. Décider qui doit pouvoir répondre, puis choisir le mécanisme qui l'impose : lien ouvert, code de déverrouillage, invitations individuelles, ou authentification lorsque la population est connue.
2. Mettre un code de déverrouillage sur tout ce qui est confidentiel. Cela transforme « toute personne ayant le lien » en « toute personne à qui nous avons donné le code » : un ensemble beaucoup plus petit et plus défendable.
3. Définir une fenêtre. Un formulaire qui ouvre lundi et ferme vendredi ne peut pas être rempli six mois plus tard par quelqu'un qui a retrouvé le lien dans un vieux courriel.
4. Plafonner le nombre de réponses quand la population est finie — 40 places, 200 membres, un envoi par dossier. Un plafond est aussi votre défense la moins chère contre un afflux.
5. Ne jamais mettre le lien là où vous ne mettriez pas les réponses. Une page intranet ouverte, une publication sur les réseaux et un QR code sur une affiche sont des décisions de publication.

La mécanique de chacun de ces points est documentée dans le centre d'aide — partager le lien et le QR code, les codes de déverrouillage, la planification et les limites de réponses et règles.

Étape 6 : écarter robots et doublons sans construire un système de pistage

Tout formulaire à lien public finira par recevoir des envois parasites, et tout formulaire derrière lequel il y a quelque chose à gagner recevra des doublons. Le piège : chaque mécanisme de blocage est un identifiant — une adresse IP, un cookie, une adresse électronique, un compte. Chacun réduit l'anonymat que vous avez peut-être promis, et devient une donnée personnelle dont vous devrez justifier la conservation.

Le juste milieu praticable consiste à privilégier les mesures qui n'identifient personne — limitation de débit, champs pièges, validation des champs requis, fermeture du formulaire dès que le nombre attendu de réponses est atteint — et à ne recourir aux identifiants que si le problème de doublons est réel, sous la forme la plus faible qui le résout, avec une durée de conservation attachée. Nous déroulons tout l'arbitrage, y compris le schéma « anonyme mais vérifié », dans prévenir le spam, les robots et les doublons.

Étape 7 : maîtriser qui peut lire les réponses

Posez la question exactement ainsi : énumérez toutes les parties qui pourraient lire un envoi aujourd'hui. Pour un formulaire cloud typique, la liste honnête comprend le propriétaire du formulaire, chaque collègue disposant d'un accès au compte, la personne qui administre le compte, le personnel du fournisseur ayant accès à la production, ses sous-traitants, et toute autorité capable de contraindre juridiquement le fournisseur. Cette liste est la sécurité de votre formulaire. Le reste est du détail.

Deux leviers la raccourcissent. Le premier est organisationnel : des accès par rôle, pour que chacun voie les réponses dont il a besoin et non l'archive entière, avec retrait de l'accès en cas de changement de fonction. Le second est architectural : le chiffrement de bout en bout, où les réponses sont chiffrées dans le navigateur du répondant et ne peuvent être déchiffrées que par le détenteur de la clé — ce qui retire complètement le fournisseur et ses sous-traitants de la liste, et fait qu'une injonction adressée au fournisseur produit du texte chiffré. Le mécanisme est décrit sur notre page sécurité, et le raisonnement dans l'architecture à connaissance nulle expliquée.

Étape 8 : fixer la règle de conservation avant le premier envoi

L'art. 6 al. 4 nLPD exige que les données personnelles soient détruites ou anonymisées dès qu'elles ne sont plus nécessaires à la finalité du traitement. Personne n'enfreint cette règle exprès ; on l'enfreint en ne décidant jamais. Un formulaire créé pour une campagne de recrutement conserve encore les candidatures trois ans plus tard, parce que la suppression n'était la tâche de personne.

• Inscrire la durée dans la documentation du formulaire, en mois, à côté de la finalité. « Conservé six mois après l'événement, puis supprimé » est une règle ; « conservé le temps nécessaire » est un souhait.
• Distinguer l'enregistrement de la copie de travail. Les exports sur les portables, les notifications par courriel contenant les réponses et les tableurs sur les disques partagés survivent à l'enregistrement de la plateforme — et ce sont ces copies qui fuient réellement.
• Vérifier que la suppression atteint les exports et les sauvegardes, et savoir combien de temps la rotation des sauvegardes rend un enregistrement supprimé récupérable.
• Conserver la preuve. Un auditeur ne demande pas si vous supprimez, mais comment vous le démontrez — journal de suppression, procédure datée, capture d'une archive vide.

Les durées de conservation croisent des obligations légales — pièces comptables selon le CO, dossiers médicaux, dossiers du personnel — de sorte que « tout supprimer vite » n'est pas automatiquement la réponse prudente. Notre article sur la durée de conservation des données de formulaires explique comment fixer des durées défendables, et la liste opérationnelle des autres obligations figure dans la checklist de conformité nLPD pour formulaires et sondages.

Étape 9 : tester comme le ferait une personne négligente

La version en dix minutes

S'il vous faut un formulaire aujourd'hui et que vous ne pouvez pas mener une revue complète, cette séquence vous donne l'essentiel de la protection pour très peu d'effort.

1. Supprimez deux champs que vous ne pouvez pas justifier en une phrase chacun.
2. Rendez tout facultatif, sauf ce sur quoi vous allez vraiment agir.
3. Ajoutez quatre lignes : qui collecte, pourquoi, qui voit, combien de temps.
4. Limitez les téléversements à des documents nommés et à une taille raisonnable.
5. Mettez un code de déverrouillage si le contenu est confidentiel, et une date de clôture.
6. Réduisez les notifications à une alerte sans les réponses.
7. Inscrivez la date de suppression dans votre agenda le jour de la publication.

Six erreurs que nous voyons sans cesse

• Prendre le lien pour un secret. Il n'en est pas un. S'il ne doit pas être public, posez un contrôle dessus.
• Les réponses dans les courriels de notification. La façon la plus courante dont des envois chiffrés finissent en clair dans des archives hors plateforme.
• Dupliquer un formulaire et oublier la copie. Les doublons héritent des questions et perdent la décision de conservation. Les vieilles copies aux liens encore actifs sont une source récurrente d'envois égarés.
• Collecter « anonymement » tout en envoyant des liens d'invitation personnalisés. Soit une réponse peut être rattachée à une personne, soit elle ne peut pas ; voir formulaires anonymes et pseudonymes.
• Supposer qu'un fournisseur d'apparence suisse stocke en Suisse. Un domaine .ch ne dit rien de la base de données — la question de la localisation est traitée dans quels outils de formulaires sont hébergés en Suisse.
• Aucun responsable. Un formulaire sans personne nommée pour en répondre ne sera revu, fermé ni supprimé par personne.

L'essentiel

Un formulaire en ligne sûr est avant tout un formulaire bien délimité. Moins de champs, une formulation plus claire, une note honnête, un lien contrôlé, une courte liste de lecteurs et une date de suppression font davantage pour les personnes qui le remplissent que n'importe quel comparatif de fonctionnalités — et ce sont toutes des décisions que vous prenez, non des fonctions que vous achetez. Le rôle de la plateforme est plus étroit que le marketing ne le suggère : garder les données confidentielles en transit et au repos, tenir le fournisseur hors de votre périmètre de confiance si vous en avez besoin, et rendre les contrôles ci-dessus faciles à appliquer et difficiles à oublier.

Si vous ne retenez qu'une chose de ce guide, retenez l'étape 1. Toutes les autres étapes deviennent moins coûteuses quand il y a moins de données à protéger.