Comment éviter qu’un formulaire recueille des données sensibles inutiles

Repérer où des informations inutiles peuvent apparaître

Un formulaire peut demander directement des données, comme un nom ou un numéro de téléphone, mais il peut aussi recevoir des informations sensibles sans les avoir explicitement sollicitées. Le risque se situe souvent dans les champs libres accompagnés d’instructions vagues : « Racontez-nous votre situation », « Décrivez le problème » ou « Ajoutez tous les détails utiles ». Une personne peut inclure des mots de passe, des informations de santé, des numéros d’identification ou des données concernant des tiers, parce qu’elle pense que ces détails aideront à traiter sa demande.

Commencez par vous demander ce qu’écrirait une personne qui ne connaît pas les limites du formulaire. Pour chaque champ, demandez-vous si sa formulation pourrait inciter à communiquer plus que nécessaire et si la personne saura quelles informations éviter. Le fait que l’équipe n’ait pas l’intention de recueillir des données délicates ne suffit pas : il faut tenir compte de ce que le texte invite à saisir, de ce qui est conservé dans la réponse et des personnes qui pourront la consulter ensuite.

• Repérez les champs de texte libre, les pièces jointes et les questions qui acceptent des réponses très longues.
• Recherchez les formulations imprécises comme « tous les détails » ou « informations complètes ».
• Vérifiez si une réponse peut contenir des données concernant une autre personne, en plus de celles de la personne qui remplit le formulaire.

Justifier chaque champ avant de le conserver

Attribuez un objectif précis à chaque question : classer une demande, confirmer une inscription ou décider de l’étape suivante. Si l’équipe ne peut pas expliquer à quoi servira la réponse, le champ n’est probablement pas nécessaire. Demandez-vous aussi si cette décision pourrait être prise à partir d’une catégorie moins détaillée ou d’une réponse oui/non, plutôt qu’en recueillant un long récit.

Essayez de supprimer temporairement la question et simulez le travail qui suit. Si l’équipe peut tout aussi bien répondre à la demande, l’orienter ou la traiter, supprimez le champ. Si une décision en dépend, ne conservez que le niveau de détail nécessaire et expliquez son objectif dans un langage clair. Cette vérification ne constitue pas une garantie juridique : c’est un moyen pratique de réduire l’accumulation d’informations et les efforts nécessaires pour les protéger.

• Pour chaque champ, écrivez : « Nous en avons besoin pour… ». En l’absence de réponse précise, réévaluez son utilité.
• Vérifiez si une catégorie, une tranche ou un choix multiple peut remplacer une donnée exacte.
• Évitez de demander à nouveau des informations déjà recueillies dans une autre question.

Reformuler les questions ouvertes en fixant des limites claires

Lorsqu’une question ouverte est indispensable, précisez ce qui est attendu. Au lieu de « Décrivez votre problème en détail », essayez « Indiquez la fonctionnalité que vous tentiez d’utiliser et ce qui s’est passé ; n’incluez ni mot de passe ni donnée personnelle ». Si une simple classification du cas suffit, proposez des choix comme « Je ne peux pas me connecter », « J’ai un problème de paiement » ou « Autre demande ». Cela réduit la pression à raconter des informations qui ne contribueront pas à décider de la prochaine étape.

Une autre approche utile consiste à séparer la classification de l’explication : la personne choisit d’abord un type de problème, puis dispose d’un champ court pour donner le contexte indispensable. Par exemple : « De quoi avez-vous besoin ? » avec des choix limités et, uniquement lorsque cela est nécessaire, « Quelle étape étiez-vous en train d’effectuer ? ». Ne promettez pas qu’une instruction empêchera la saisie de toute donnée sensible : elle aide à orienter les réponses, mais certaines personnes peuvent tout de même en écrire.

• Remplacez « Racontez-nous tout » par une question précise sur le fait qui change la manière de traiter la demande.
• Ajoutez une courte consigne à côté du champ : « N’incluez ni mot de passe, ni donnée de santé, ni information sur d’autres personnes ».
• Proposez un canal alternatif adapté si le cas nécessite de communiquer des informations que le formulaire ne devrait pas demander.

Utiliser les validations et les aides avec prudence

La validation doit aider à fournir une réponse utile, et non inciter la personne à communiquer davantage de données. Définissez le type de réponse attendu, limitez sa longueur lorsqu’une brève description suffit et expliquez pourquoi le champ est nécessaire. Si un champ est facultatif, indiquez-le ; si la réponse doit respecter un format particulier, donnez un exemple qui ne contient aucune donnée réelle.

Les validations du navigateur peuvent guider la personne pendant qu’elle remplit le formulaire, mais les éléments techniques consultés indiquent qu’une validation effectuée uniquement côté client ne suffit pas. Lorsque l’équipe maîtrise l’implémentation, elle doit également envisager la validation côté serveur, le type de données et les limites de longueur. Ne partez pas du principe que chaque formulaire ou plateforme propose tous ces contrôles : vérifiez les options disponibles avant la publication.

• Évitez de demander une donnée plus détaillée uniquement pour satisfaire une validation sans objectif opérationnel.
• Vérifiez que les messages d’erreur expliquent comment corriger la réponse sans demander d’informations supplémentaires.
• Évaluez l’autocomplétion avec soin : la désactiver peut éviter que le navigateur enregistre des données pour les renseigner ultérieurement, mais le comportement dépend des heuristiques de chaque navigateur.

Tester avec des réponses fictives, y compris sur mobile

Avant la publication, remplissez le formulaire comme le feraient différentes personnes : l’une qui comprend les choix proposés, une autre qui donne une réponse ambiguë et une troisième qui interprète mal une instruction. Utilisez exclusivement des données fictives. Vérifiez si les questions incitent à révéler plus que prévu, si un champ obligatoire bloque une demande légitime et si les choix permettent d’expliquer le cas sans exposer de détails personnels.

Prévoyez un test spécifique portant sur la saisie accidentelle de contenu sensible. Rédigez un exemple fictif dans lequel une personne saisit un mot de passe ou une donnée de santé dans un champ libre, puis vérifiez si la consigne aurait été visible et compréhensible. Répétez le test sur mobile : le texte d’aide peut être éloigné du champ ou difficile à lire sur un petit écran. Corrigez la formulation et testez à nouveau le parcours complet avant de partager le formulaire.

• Cas normal : la personne peut terminer sans remplir les champs dont elle n’a pas besoin.
• Cas ambigu : les choix et les aides lui permettent de sélectionner une réponse appropriée.
• Cas sensible : la consigne de ne pas inclure de données délicates apparaît à côté du champ concerné.
• Cas mobile : les libellés, les choix et les consignes sont compréhensibles sans dépendre d’un contexte masqué.

Limiter les accès et préparer les exportations

Les réponses doivent être accessibles aux personnes qui en ont besoin pour traiter la demande, et non à toute l’équipe par commodité. Avant d’accorder des accès, déterminez qui examine les demandes, qui les traite et qui a uniquement besoin d’indicateurs agrégés. Le principe général du moindre privilège consiste à limiter l’accès aux informations confidentielles aux seules personnes qui en ont réellement besoin ; appliquez-le également aux copies téléchargées et aux fichiers envoyés hors de l’espace de travail.

Avant d’exporter des données, définissez l’objectif de la copie et vérifiez quelles colonnes sont indispensables. Si vous devez partager un ensemble de réponses, contrôlez les champs inclus, supprimez ceux qui ne sont pas nécessaires et confirmez à qui le fichier sera envoyé et par quel moyen. Évitez de laisser des copies dans des emplacements ou des conversations qui élargissent les accès sans raison opérationnelle. L’exportation facilite le travail sur les réponses, mais ne détermine pas à elle seule quelles informations doivent être partagées.

• Vérifiez régulièrement qui peut consulter les réponses et si sa fonction l’exige toujours.
• Ouvrez l’exportation avant de l’envoyer et vérifiez les champs, les destinataires et l’objectif.
• Ne partez pas du principe qu’une exportation supprime la réponse d’origine ou qu’une fonction précise d’effacement ou de conservation existe : vérifiez le comportement réel de l’outil.

Ce qu’Apification apporte et ce que l’équipe doit décider

Apification permet de créer des formulaires structurés de collecte de données avec des validations, des contrôles d’accès et des réponses exportables. Ces fonctionnalités peuvent contribuer à concevoir le parcours, à gérer les accès et à exploiter les réponses. La disponibilité d’une fonctionnalité ne remplace pas l’examen de l’objectif de chaque champ, et ne rend pas automatiquement une question nécessaire ni une exportation sûre pour tous les destinataires.

L’équipe reste responsable de formuler des questions proportionnées, de configurer les accès avec discernement, de tester le formulaire et d’examiner les copies qu’elle partage. Il ne faut pas supposer que la plateforme empêche toute saisie accidentelle de données sensibles, applique une politique de conservation particulière ou garantit la conformité juridique. Pour évaluer un usage précis, confirmez les options disponibles dans le formulaire et testez le parcours d’accès et d’exportation avec des réponses fictives.

• Vérifiez quelles validations et quels contrôles d’accès sont disponibles pour le formulaire que vous allez publier.
• Effectuez un export de test avec des informations fictives et vérifiez son contenu avant d’utiliser de vraies réponses.
• Considérez la minimisation, l’information des personnes qui répondent et le traitement ultérieur comme des décisions relevant de l’équipe.

Liste de vérification avant publication et en cas de détection d’une donnée sensible

Avant la publication, examinez le formulaire du point de vue de la personne qui répond et de celle qui devra utiliser chaque donnée. Vérifiez que chaque champ a un objectif, que les questions ouvertes sont assorties de limites compréhensibles et que les consignes ne contredisent pas les choix proposés. Testez le formulaire sur mobile et sur ordinateur, vérifiez qui y aura accès et essayez une exportation sans données réelles. Si une question ne change ni une décision ni une étape ultérieure, supprimez-la ou simplifiez-la.

Si vous détectez une information sensible dans une réponse, évitez de la copier dans d’autres canaux ou de l’inclure inutilement dans des notes et des exportations. Limitez son exposition pendant l’examen et suivez la procédure interne applicable pour traiter la situation. Ne promettez pas à la personne que la donnée a déjà été supprimée si vous n’avez pas vérifié qu’une action de suppression existe et qu’elle a été effectuée. Ensuite, examinez la question ou la consigne qui a pu provoquer cette réponse et testez une correction à l’aide de données fictives.

• Avant : objectif défini pour chaque champ, choix suffisants, consignes visibles, accès vérifiés et test sur mobile effectué.
• Lors d’une exportation : objectif défini, colonnes nécessaires, fichier vérifié et destinataires confirmés.
• En cas de réponse sensible : évitez les nouvelles copies, limitez l’accès conformément à la procédure interne et corrigez la cause probable dans le formulaire.

Questions fréquentes