Le consentement est la base légale la plus visible du RGPD et la plus mal mise en oeuvre. Le choix de cette base doit être démontré finalité par finalité : une interface correcte ne répare pas une base juridique inadaptée. Voici ce que l’Art. 7 RGPD exige réellement, avec des exemples conformes et non conformes.
Points Clés
- Le consentement doit être libre, spécifique, éclairé et univoque (Art. 4(11) RGPD) — l’absence d’un seul critère l’invalide.
- Le responsable de traitement porte la charge de la preuve du consentement (Art. 7(1) RGPD).
- Le retrait du consentement doit être aussi simple que son octroi (Art. 7(3) RGPD).
- Les cases pré-cochées ne constituent jamais un consentement valide (CJUE, Planet49, C-673/17, 1er octobre 2019).
- Pour un service en ligne offert directement à un mineur de moins de 15 ans en France et fondé sur le consentement, l’accord conjoint de l’enfant et du titulaire de l’autorité parentale est requis (art. 45 de la loi Informatique et Libertés).
Les quatre conditions cumulatives du consentement
L’Art. 4(11) RGPD définit le consentement comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». Ces quatre conditions sont cumulatives.
Libre
Le caractère libre dépend notamment de la possibilité réelle de refuser sans subir un préjudice ; le lien avec le service rendu doit être examiné concrètement. L’Art. 7(4) RGPD précise que pour déterminer si le consentement est libre, il faut tenir compte de la question de savoir si l’exécution d’un contrat est subordonnée au consentement au traitement de données non nécessaires.
Exemple non conforme : un site e-commerce qui refuse de finaliser une commande si l’utilisateur ne consent pas à recevoir des newsletters. La newsletter n’est pas nécessaire à la livraison : le consentement n’est pas libre.
Exemple conforme : un formulaire d’inscription où la case newsletter est séparée du bouton de validation de commande, sans impact sur le processus d’achat.
Le CEPD (Lignes directrices 05/2020) ajoute que le déséquilibre de pouvoir entre l’organisme et la personne (employeur/salarié, administration/administré) peut compromettre le caractère libre du consentement.
Spécifique
Le consentement doit porter sur des finalités suffisamment déterminées. Lorsque des finalités sont distinctes, le choix doit être granulaire ; une formule générale comme « J’accepte le traitement de mes données » ne les décrit pas.
Exemple non conforme : une seule case pour « J’accepte de recevoir des offres commerciales et que mes données soient partagées avec des partenaires et utilisées à des fins de profilage. »
Exemple conforme : trois cases distinctes — (1) offres commerciales de l’organisme, (2) partage avec partenaires identifiés, (3) profilage pour personnalisation. Chacune doit pouvoir être activée indépendamment. Dans l’open banking, il faut examiner séparément l’autorisation d’accès prévue par la DSP2 et la base juridique du traitement de données au titre du RGPD ; le mot « consentement » n’a pas automatiquement le même effet dans les deux régimes.
Éclairé
La personne doit disposer d’informations suffisantes pour prendre une décision en connaissance de cause. L’Art. 13 RGPD précise l’information à fournir lorsque les données sont collectées auprès de la personne : identité du responsable, finalités et bases juridiques, destinataires, durée de conservation et droits. L’énumération des catégories de données figure explicitement à l’Art. 14 pour les données collectées indirectement ; une information claire sur les données demandées reste nécessaire pour éclairer le choix.
La CNIL insiste sur la lisibilité de l’information : un texte juridique de 15 pages en corps 8 ne remplit pas cette condition, même si toutes les informations y figurent.
Univoque
Le consentement doit résulter d’un acte positif clair : cocher une case, cliquer sur un bouton « J’accepte », activer un paramètre. Le silence, l’inaction ou les cases pré-cochées ne constituent pas un consentement. C’est la distinction fondamentale entre les mécanismes d’opt-in et d’opt-out.
La CJUE a tranché définitivement cette question dans l’arrêt Planet49 (C-673/17, 1er octobre 2019) : une case pré-cochée ne peut pas être considérée comme un consentement valide, même si l’utilisateur peut la décocher.
La preuve du consentement (Art. 7(1))
L’Art. 7(1) RGPD impose au responsable de traitement de démontrer que la personne a donné son consentement. Cette charge de la preuve implique :
- La conservation d’un horodatage (date, heure) du consentement
- L’enregistrement du mécanisme utilisé (formulaire, interface, version de la politique)
- La traçabilité de l’information fournie au moment du consentement
- L’identification de la personne ayant consenti
En pratique, le responsable de traitement doit conserver une trace technique complète : log du consentement, capture de l’interface présentée, version du texte d’information. Le responsable doit vérifier que son dispositif conserve une preuve exploitable, y compris la version de l’écran et le choix réellement offert.
Le retrait du consentement (Art. 7(3))
L’Art. 7(3) RGPD pose deux règles fondamentales :
- La personne doit être informée de son droit de retrait avant de consentir.
- Le retrait doit être aussi simple que l’octroi du consentement.
Un parcours en ligne simple doit permettre le retrait d’un choix recueilli en ligne ; le test porte sur la facilité réelle, pas sur un nombre universel de clics.
Conséquence du retrait : le responsable de traitement doit cesser le traitement concerné. L’Art. 7(3) précise que le retrait n’affecte pas la licéité du traitement effectué avant le retrait.
La CNIL rappelle que le retrait doit rester aussi simple que l’octroi du consentement. Un lien de désinscription doit aboutir à une action effective, sans parcours inutilement dissuasif.
Consentement des mineurs (Art. 8)
L’Art. 8 RGPD prévoit un régime spécifique pour les services de la société de l’information proposés directement à un enfant. Le consentement est licite si l’enfant a au moins 16 ans (seuil par défaut), mais les États membres peuvent abaisser ce seuil jusqu’à 13 ans.
La France a fixé ce seuil à 15 ans (Art. 45 de la loi n°78-17 du 6 janvier 1978 modifiée). Pour un service de la société de l’information offert directement à l’enfant et un traitement fondé sur le consentement, les moins de 15 ans doivent donner leur accord conjointement avec le titulaire de l’autorité parentale. À partir de 15 ans, le mineur peut consentir seul dans ce cadre. Ce régime ne doit pas être appliqué mécaniquement à tout traitement scolaire. La CNIL explique ce consentement conjoint.
Le responsable de traitement doit mettre en œuvre des efforts raisonnables pour vérifier l’autorisation parentale, compte tenu des moyens technologiques disponibles (art. 8(2) RGPD), et conserver une trace adaptée de l’accord de l’enfant et du titulaire.
Exemples conformes vs non conformes
Consentement aux cookies
Non conforme : un bandeau qui affiche « En poursuivant votre navigation, vous acceptez l’utilisation de cookies. » Le scroll ou la poursuite de navigation ne constituent pas un acte positif clair.
Conforme : une interface proposant « Accepter » et « Refuser » au même niveau, avec un lien « Personnaliser » permettant un choix granulaire par finalité. Les traceurs soumis au consentement ne sont pas déposés avant le choix ; les traceurs strictement nécessaires exemptés par la loi peuvent fonctionner sans cet accord, sous réserve de respecter leurs conditions d’exemption.
Consentement en prospection B2C
Non conforme : un formulaire de contact qui inclut en petits caractères « En soumettant ce formulaire, vous acceptez de recevoir nos offres commerciales. » L’acceptation est liée à l’action principale (contacter l’entreprise).
Conforme : case séparée, non pré-cochée : « Je souhaite recevoir les offres commerciales de [Société] par email. » L’envoi du formulaire de contact fonctionne indépendamment de cette case.
Consentement en contexte RH
Non conforme : un contrat de travail qui inclut une clause de consentement au traitement des données. Le déséquilibre employeur/salarié rend le consentement non libre (CEPD, Lignes directrices 05/2020).
Conforme : la gestion de la paie et l’exécution du contrat de travail reposent sur les bases légales appropriées (contrat, obligation légale). Le consentement n’est utilisé que pour des traitements véritablement optionnels (photo sur l’intranet, par exemple).
Décider si le consentement est vraiment la bonne base
Avant de dessiner une case, écrivez la finalité en une phrase compréhensible. Pour une commande, le traitement strictement nécessaire à la livraison peut relever de l’exécution du contrat ; demander une case de consentement pour l’adresse de livraison brouillerait le droit au retrait. Pour une newsletter facultative ajoutée au parcours d’achat, le choix doit rester séparé du paiement. Pour la paie, le déséquilibre entre employeur et salarié et les obligations légales rendent le consentement généralement inadapté. La méthode de choix des bases légales doit précéder la configuration de l’interface.
La décision doit également tenir compte des données particulières. Lorsque l’article 9 RGPD exige une exception spécifique, une base de l’article 6 ne suffit pas à elle seule. Le consentement explicite de l’article 9, paragraphe 2, point a, n’est pas une simple version « plus visible » d’une case ordinaire : il faut examiner si cette exception est disponible et si la volonté exprimée couvre précisément la donnée et la finalité. Le responsable doit pouvoir expliquer pourquoi il n’a pas choisi une base incompatible avec la situation réelle.
Atelier de preuve : reconstruire le choix d’une personne
Une ligne de base de données disant consent=true ne montre ni le texte affiché ni les options de refus. Pour un contrôle, réunissez l’identifiant de la personne, la date de l’action, la finalité, la version de l’interface, la version de l’information, la portée du choix et les éventuels changements ultérieurs. Une capture du parcours ou un historique de configuration permet de comprendre ce que voyait l’utilisateur à cette date. Le journal des consentements doit être protégé contre les modifications non tracées ; il traite lui-même des données personnelles et mérite une durée de conservation justifiée. Si une plateforme est envisagée, le comparatif des approches CMP permet de séparer preuve, paramétrage et comportement des traceurs.
Test concret : un visiteur a accepté l’analyse d’audience en janvier puis a retiré son choix en avril. L’équipe doit pouvoir démontrer l’état de janvier, la demande d’avril, la date de prise d’effet et les traitements arrêtés. Il faut aussi vérifier les outils aval : l’interface peut afficher « désactivé » alors qu’un fournisseur reçoit encore les événements. La CNIL rappelle la preuve et la facilité du retrait ; ces deux exigences doivent être testées ensemble.
Trois parcours à tester avant mise en production
Premier parcours : l’utilisateur refuse toutes les finalités facultatives et continue la fonction principale. Vérifiez qu’aucun traceur non nécessaire n’est déposé avant le choix, que les boutons acceptation et refus sont proposés avec une visibilité comparable et que le refus persiste. Pour les traceurs, la règle française résulte du cadre spécifique des cookies en plus du RGPD ; ne déduisez pas la conformité du seul libellé du bouton. Le contrôle du bandeau selon la CNIL détaille les essais techniques à effectuer.
Deuxième parcours : la personne accepte une finalité mais pas une autre. Les choix doivent être indépendants dans le registre et dans le déclenchement technique. Une case globale « partenaires et personnalisation » ne permet pas de savoir quelle utilisation a été autorisée. Si un partenaire reçoit les données, son identité ou sa catégorie doit être annoncée avec assez de précision pour permettre un choix éclairé.
Troisième parcours : la personne retire son consentement après avoir reçu plusieurs communications. Contrôlez l’effet sur les listes actives, les exports déjà programmés et les préférences stockées dans chaque outil. Le retrait n’efface pas rétroactivement les traitements licites passés, mais les nouveaux envois fondés sur le choix retiré doivent cesser. Le propriétaire du processus doit conserver une preuve de cet arrêt et traiter toute autre conservation sur sa propre base, si elle existe.
Consentement des mineurs : vérifier le périmètre
L’âge de 15 ans en France concerne l’offre directe de services de la société de l’information fondée sur le consentement. Il ne crée ni une interdiction générale de traiter les données de tout mineur sans double signature ni une base juridique universelle pour les établissements scolaires. Avant de demander cet accord conjoint, l’organisme doit vérifier la nature du service, la base juridique du traitement et les règles nationales applicables. Il doit prévoir des efforts raisonnables pour vérifier la qualité du titulaire de l’autorité parentale au regard des moyens disponibles, sans collecter plus de justificatifs que nécessaire.
Un service accessible à des adolescents peut prévoir un parcours d’information adapté à leur âge, une explication des finalités et un mécanisme de retrait facile à retrouver. Lorsque plusieurs responsables participent à l’expérience, le dossier doit préciser qui recueille le choix et qui traite ensuite les données. Cette allocation évite qu’une interface soignée masque un transfert non expliqué ou un changement de finalité. Les lignes directrices 05/2020 du CEPD constituent la référence pour l’analyse de la liberté, de la granularité et du retrait.
FAQ
Le consentement est-il toujours la meilleure base légale ?
Non. Le consentement est approprié lorsqu’il correspond au traitement envisagé et que la personne dispose d’un véritable choix. Pour les traitements nécessaires à l’exécution d’un contrat (Art. 6(1)(b)) ou imposés par la loi (Art. 6(1)©), le consentement est inadéquat car il impliquerait un droit de retrait incompatible avec l’obligation de traitement.
Comment prouver le consentement en cas de contrôle CNIL ?
Le responsable de traitement doit produire un registre horodaté des consentements, incluant l’identifiant de la personne, la date et l’heure, la finalité, le mécanisme (interface, version), et une copie de l’information présentée au moment du consentement. Faute de preuve suffisante, le responsable risque de ne pas pouvoir démontrer la validité du consentement invoqué.
Un consentement oral est-il valide au regard du RGPD ?
Le RGPD n’exige pas formellement un consentement écrit. Pour les données sensibles, l’Art. 9(2)(a) exige un consentement explicite, ce qui ne signifie pas nécessairement une signature écrite. L’Art. 7(1) impose toutefois de pouvoir démontrer le consentement. Un consentement oral peut être valide, mais il faut prévoir une preuve adaptée au contexte ; un formulaire RGPD électronique est une option et non une obligation générale.
Quelle sanction pour un consentement non conforme ?
Pour situer les sanctions, consultez le bilan des décisions CNIL. Les amendes pour défaut de consentement valide peuvent relever de l’Art. 83(5)(a) RGPD : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. Le montant concret dépend des faits, de la base juridique du manquement et des critères de l’article 83 ; les règles propres aux traceurs doivent aussi être vérifiées.