En une phrase. L’article 7 du RGPD précise les conditions du consentement utilisé comme fondement d’un traitement : le responsable doit pouvoir le démontrer, présenter clairement la demande lorsqu’elle accompagne d’autres sujets, informer du droit au retrait à tout moment et rendre ce retrait aussi simple que le consentement, puis apprécier si le choix est libre, notamment lorsqu’un contrat est conditionné à un traitement non nécessaire. La définition du consentement libre, spécifique, éclairé et univoque figure à l’article 4 §11.
Une case cochée n’est donc qu’un élément du dossier. Avant de la placer sur un formulaire, il faut décider si le consentement est la bonne base juridique, ce qui sera refusé sans conséquence, comment la personne changera d’avis et quelle preuve restera disponible. La CNIL explique les conditions de recueil ; les lignes directrices 05/2020 du CEPD précisent les cas délicats.
Points clés
- L’article 7 s’applique lorsque le traitement repose sur le consentement ; il ne rend pas le consentement obligatoire pour tout traitement.
- La preuve doit permettre de relier une action à une personne, une finalité et l’information effectivement présentée.
- Refus et retrait doivent être réellement praticables ; le texte n’impose pas un nombre identique de clics ni un délai chiffré universel.
- Le consentement requis pour une finalité facultative ne doit pas être dissimulé dans l’acceptation d’un contrat.
- Les cookies non exemptés obéissent aussi à des règles spécifiques sur les traceurs : vérifier les deux cadres.
1. Vérifier d’abord si le consentement est la bonne base juridique
L’article 6 §1 propose plusieurs bases juridiques. Une organisation ne peut choisir le consentement pour éviter d’analyser une obligation légale, un contrat ou un intérêt légitime, puis retirer aux personnes un choix réel. La paie obligatoire d’un salarié ne repose généralement pas sur son consentement ; une newsletter facultative peut, selon les règles applicables, reposer sur un choix exprimé. La présentation des bases juridiques aide à documenter ce choix par finalité.
Séparer les finalités dès la conception. Un formulaire de commande peut demander l’adresse nécessaire à la livraison et proposer séparément des messages publicitaires. Refuser la publicité ne doit pas empêcher la commande. Si l’on change ultérieurement la finalité ou les destinataires au-delà de ce qui a été annoncé, réexaminer la base juridique et, si nécessaire, demander un nouveau consentement avant le nouveau traitement. Une « acceptation générale de la politique de confidentialité » ne constitue pas un accord spécifique à toute utilisation future.
Les règles de prospection et de traceurs peuvent compléter le RGPD. Ne pas déduire du seul article 7 qu’un type précis de message nécessite toujours un opt-in ou qu’un cookie est exempté. Le guide de prospection directe traite ces choix selon le canal et le contexte.
2. Article 7 §1 : une preuve qui permet de reconstituer le choix
Le responsable doit être en mesure de démontrer que la personne a consenti. En pratique, une trace utile associe un identifiant fiable, la date, le canal, la finalité, l’action positive accomplie et la version des informations vues à ce moment. Le système doit aussi enregistrer un retrait ou un remplacement de choix. La simple présence actuelle d’une case « oui » dans un profil n’explique pas qui a répondu, à quoi et sous quelle interface.
Exemple hypothétique : un site propose deux cases distinctes, « recevoir la lettre d’information » et « recevoir des offres de partenaires ». Le journal garde pour chacune un choix, un horodatage, l’identifiant du formulaire et la version du texte. Lorsqu’un utilisateur retire seulement la seconde autorisation, la première reste inchangée. Si le responsable ne peut produire que la mention « marketing = oui », il ne peut distinguer les deux portées.
La preuve ne doit pas devenir une collecte excessive. Conserver les éléments nécessaires à la démonstration, protéger les journaux contre les modifications non autorisées, limiter les accès et définir une durée justifiée par la finalité de preuve et les délais applicables. L’article 7 ne fixe pas « 24 ou 36 mois après retrait » comme durée universelle. Une capture de formulaire modèle n’établit pas à elle seule que chaque personne l’a vu ; il faut relier la version et le parcours à la trace individuelle.
Pour une collecte sur papier ou au téléphone, définir une preuve adaptée au canal : exemplaire du document signé ou script, trace de la réponse, date et référence du support. En cas de migration d’outil, préserver la signification des anciens choix ; copier seulement un booléen « opt-in » dans la nouvelle base ferait perdre une partie du contexte probatoire.
3. Article 7 §2 : une demande compréhensible et distincte
Lorsqu’une déclaration écrite porte aussi sur d’autres questions, la demande de consentement doit être clairement distinguable, aisément accessible et formulée dans des termes clairs et simples. Cette exigence s’ajoute aux qualités « spécifique » et « éclairé » de l’article 4 §11. Une case unique « j’accepte les CGV, la politique de confidentialité et les offres » échoue à montrer un choix indépendant sur la publicité.
Rédiger la phrase autour de l’action et de sa conséquence. Identifier le responsable, les données et finalités pertinentes, les destinataires lorsqu’ils sont déterminants, et rendre l’information plus complète facilement accessible. Des exemples de formulations à adapter illustrent cette rédaction. Tester la compréhension avec une personne qui ne connaît pas le projet : sait-elle ce qu’il se passe si elle refuse, et comment revenir sur son choix ? Une information longue peut être exacte tout en cachant le point décisif dans le parcours.
La demande doit laisser une action positive claire. Une case précochée ou le silence ne suffisent pas ; l’arrêt Planet49 de la CJUE l’illustre pour les traceurs. Il ne faut toutefois pas réduire toute la solution à des cases : un bouton peut exprimer un choix si sa portée est claire, spécifique et démontrable. Le design doit éviter les libellés ambigus et les changements d’état difficiles à voir.
4. Article 7 §3 : organiser un retrait effectif
La personne peut retirer son consentement à tout moment ; elle doit en être informée avant de consentir. Le retrait ne rend pas illicite ce qui a été fait valablement avant, mais il met fin au traitement fondé sur ce consentement pour l’avenir. Le responsable doit diffuser le changement aux systèmes et sous-traitants qui continueraient sinon l’opération. Un bouton qui met seulement à jour l’écran sans arrêter l’envoi de messages ne satisfait pas l’objectif.
Le retrait doit être aussi simple que le consentement. Selon la CNIL, un consentement recueilli en ligne doit pouvoir être retiré en ligne par une modalité simple et équivalente. Cela ne signifie pas qu’il faut mécaniquement le même nombre de clics dans tous les parcours. En revanche, obliger à téléphoner ou écrire par courrier après une inscription en ligne crée une friction difficile à justifier. Le bandeau cookies doit offrir un accès durable aux préférences lorsque le choix concerne des traceurs.
Prévoir la propagation et l’effacement. Une personne retire son accord à la prospection : arrêter les nouveaux envois et répercuter le choix dans les listes et chez les prestataires. Si aucune autre base juridique ne justifie la conservation des données traitées sur ce consentement, le responsable doit les effacer dans les meilleurs délais, sans attendre une demande d’effacement distincte, conformément à l’article 17 §1 b). Le traitement antérieur reste licite, mais cela n’autorise pas à conserver indéfiniment les données. Une facture soumise à une obligation légale de conservation ou une trace minimale nécessaire pour démontrer le choix peuvent relever d’une justification distincte ; en limiter le contenu et la durée, et vérifier les exceptions de l’article 17 §3 lorsqu’elles sont invoquées.
Exemple hypothétique : une application recueille le consentement à un suivi facultatif depuis son écran de paramètres. Le même écran permet de le désactiver, affiche immédiatement le nouvel état, arrête l’envoi d’événements, et indique le sort des données déjà collectées. Un essai technique vérifie l’absence de nouveaux événements après retrait. Cette preuve complète la capture de l’interface.
5. Article 7 §4 : vérifier la liberté réelle du choix
Le §4 demande de tenir le plus grand compte d’un contrat subordonné à un consentement pour des données non nécessaires à son exécution. Un client doit pouvoir acheter un produit sans accepter la revente de ses données à des partenaires. Un salarié se trouve souvent dans un rapport de dépendance où le refus peut sembler coûteux ; le consentement y est rarement une base solide pour les traitements imposés par l’employeur. Demander l’avis du DPD et consulter le guide des traitements RH pour chercher une base juridique adéquate selon le traitement.
La liberté suppose aussi une véritable possibilité de refus sans préjudice injustifié. Le fait d’offrir un bouton « refuser » n’est pas suffisant si l’interface le rend pratiquement inaccessible ou si un service promis cesse sans raison liée à la finalité. Examiner le rapport de force, les conséquences du refus, la possibilité d’une alternative et le caractère nécessaire des données. Documenter cette analyse avant le lancement, puis observer ce que fait réellement l’interface.
Les cookie walls demandent une appréciation au cas par cas. Le Conseil d’État a écarté une interdiction générale absolue dans les lignes directrices de la CNIL ; la CNIL donne des critères pour examiner une alternative et la liberté du choix. La présence d’une option payante ne rend pas automatiquement le consentement valide, et aucun tarif universel « raisonnable » n’est fixé par l’article 7. Il faut vérifier la réalité de l’alternative, le périmètre des traceurs et l’absence de détournement du refus.
6. Consentement explicite, données sensibles et décisions automatisées
Un consentement explicite peut être requis dans certains cas, notamment l’exception de l’article 9 §2 a) pour des catégories particulières de données ou l’article 22 §2 c) pour certaines décisions entièrement automatisées. « Explicite » demande une manifestation particulièrement claire relative au traitement concerné ; une acceptation générale implicite ne suffit pas. Les autres conditions de l’article 7 continuent de s’appliquer. Le guide des décisions automatisées détaille les garanties supplémentaires de l’article 22.
Le consentement explicite n’est pas un remède universel à un traitement disproportionné. Un organisme doit encore vérifier sa finalité, la minimisation, la sécurité et, selon le cas, les exigences d’AIPD. Si le choix ne peut être libre en pratique, demander une signature supplémentaire ne résout pas le défaut. La décision de recourir au consentement doit être prise avant la collecte, pas reconstruite après une plainte.
7. Contrôler le parcours complet avant publication
Un contrôle utile suit plusieurs profils : nouveau visiteur, personne qui refuse, personne qui consent à une finalité mais pas à une autre, personne qui retire, et personne dont le choix a été importé d’un ancien outil. Pour chacun, vérifier l’écran affiché, l’état stocké, les événements ou messages réellement émis et les informations disponibles au support. Consigner les résultats avec la version déployée. Une maquette validée ne prouve pas le comportement du code en production.
Pour les traceurs, le guide CNIL consolidé en 2026 rappelle l’importance de rendre le retrait accessible et effectif. Tester aussi les partenaires : le gestionnaire de consentement peut enregistrer « refus » alors qu’un script tiers continue à lire ou écrire un traceur. Pour les formulaires, vérifier que la preuve et la liste d’envoi respectent les mêmes finalités après une modification de campagne.
La CNIL peut sanctionner un consentement invalide selon les dispositions en cause ; l’article 83 §5 prévoit un plafond élevé pour les principes et droits concernés. Le montant et la qualification dépendent du dossier. Un dossier solide montre le choix proposé, la preuve du consentement, le retrait effectif et le sort des données après ce retrait.
FAQ
L’article 7 impose-t-il une case à cocher ?
Non. Il impose des conditions de validité lorsque le consentement sert de base. Une action positive claire peut prendre plusieurs formes, pourvu que sa portée soit spécifique, éclairée et prouvable.
Le retrait efface-t-il immédiatement toutes les données ?
Il arrête le traitement fondé sur le consentement pour l’avenir. Si les données n’ont pas d’autre fondement juridique, elles doivent être effacées dans les meilleurs délais, sans nouvelle demande de la personne. Une conservation autonome, telle qu’une obligation de garder une facture, doit être justifiée et limitée.
Combien de temps garder la preuve ?
Le RGPD ne donne pas de durée chiffrée générale. Fixer une durée justifiée par la nécessité de démontrer le choix, les risques de contestation et les autres délais applicables, puis limiter et protéger cette conservation.
Un salarié peut-il consentir ?
Parfois, mais le déséquilibre avec l’employeur rend difficile la preuve d’une liberté réelle. Examiner les conséquences du refus et préférer une autre base juridique lorsque le traitement fait partie de la relation de travail.