Un consentement RGPD valable repose sur quatre critères : il doit être libre, spécifique, éclairé et univoque, exprimé par un acte positif que le responsable peut prouver à tout moment selon les lignes directrices de l’EDPB. L’action prioritaire pour tout responsable d’organisation consiste à cartographier ses traitements, vérifier que le consentement est la base légale adaptée, puis mettre en place un système permettant de prouver le recueil et d’organiser un retrait simple.
En bref:
- La cartographie doit préciser, pour chaque traitement, sa finalité, ses données, ses destinataires, sa durée et sa base légale ; le consentement ne convient pas toujours.
- Chaque finalité exige une information claire et une action distincte ; les traceurs non essentiels doivent rester bloqués jusqu’au choix explicite de la personne.
- Pour prouver le consentement, conservez l’heure, l’action réalisée, l’information affichée et une capture de l’interface correspondant à sa version au moment du choix.
- Le retrait met fin immédiatement aux traitements fondés uniquement sur le consentement, mais n’efface pas automatiquement les données ; vérifiez séparément toute autre base légale.
Table des matières
- Critères juridiques du consentement : libre, spécifique, éclairé, univoque
- Quand utiliser le consentement et comment faire une cartographie utile
- Recueillir le consentement en pratique : formulaires, interfaces et traceurs
- Documenter et prouver le consentement : méthodes opérationnelles
- Retrait du consentement : mise en œuvre et effets pratiques
- Cas particuliers : prospection, mineurs et données sensibles
- Durées de conservation : principes et méthode pour les justifier
- Checklist opérationnelle : 10 étapes pour mettre en place une gestion des consentements conforme
- Perspective éditoriale et preuves EEAT
- Centraliser les preuves de consentement avec Glass Manager
- Questions fréquentes
- Sources
Critères juridiques du consentement : libre, spécifique, éclairé, univoque
L’article 4(11) du RGPD définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte un traitement de ses données. Les articles 6 et 7 précisent qu’il s’agit d’une des bases légales possibles et imposent au responsable de pouvoir démontrer que la personne a consenti, selon les lignes directrices de l’EDPB.
Le critère de liberté suppose l’absence de pression commerciale ou contractuelle. La personne doit pouvoir refuser et retirer son accord sans contrainte. La spécificité interdit de regrouper plusieurs finalités distinctes derrière une seule case à cocher. Un formulaire qui mélange newsletter, partage à des partenaires commerciaux et étude statistique sous un seul intitulé ne respecte pas cette exigence, la CNIL rappelant que le consentement doit rester granulaire.
L’exigence d’un acte positif clair exclut toute forme de consentement par défaut. Une case pré-cochée, un bandeau fermé sans choix explicite ou la simple poursuite de la navigation ne constituent jamais une preuve de volonté. Cette règle structure la manière dont les formulaires papier, les interfaces web et les applications mobiles doivent être conçus, bien avant toute question de mise en œuvre technique.
Quand utiliser le consentement et comment faire une cartographie utile
Le consentement n’est qu’une des bases légales prévues à l’article 6 du RGPD, aux côtés du contrat, de l’obligation légale, de l’intérêt vital, de la mission d’intérêt public et de l’intérêt légitime. Choisir la bonne base dépend de la nature du traitement, pas d’une préférence par défaut pour le consentement.
La cartographie des traitements reste le point de départ opérationnel recommandé par la CNIL. Pour chaque traitement, il s’agit de consigner la finalité poursuivie, les catégories de données concernées, les destinataires, la durée de conservation, la base légale retenue et le responsable désigné. Cet inventaire permet de repérer rapidement les traitements pour lesquels le consentement n’est pas adapté : lorsque le service ne peut tout simplement pas fonctionner sans la donnée, qu’une obligation légale impose la collecte, ou que le retrait de l’accord rendrait le traitement impossible à interrompre proprement. Dans ces cas, une autre base légale, comme le contrat ou l’obligation légale, correspond mieux à la réalité du traitement.
Cette cartographie doit rester à jour. En cas de changement important, notamment de finalité, il convient de réévaluer la base légale choisie. Un traitement initialement fondé sur l’exécution d’un contrat peut glisser vers un besoin de consentement si une finalité secondaire, comme la prospection, s’y ajoute par la suite.
Recueillir le consentement en pratique : formulaires, interfaces et traceurs
Au moment du choix, la personne doit recevoir une information claire sur le traitement et les modalités d’exercice du droit de retrait. Ces informations se présentent séparément du texte des conditions générales, dans un langage clair, sans renvoi systématique vers un document juridique dense.
Concrètement, cela impose un acte positif distinct pour chaque finalité : une case à cocher par usage, jamais une case unique qui couvre plusieurs traitements. Pour les cookies et autres traceurs, la règle est stricte : aucun traceur non essentiel ne doit être déposé ou lu avant que la personne n’ait fait un choix positif valable, la simple poursuite de la navigation ne constituant pas un consentement selon les lignes directrices modificatives de la CNIL. La CNIL recommande également de conserver la trace du refus pendant une durée appropriée, afin d’éviter de solliciter à nouveau la personne à chaque visite.
Dans un contexte multi-supports, où un même client navigue depuis un ordinateur, un mobile et une tablette, la synchronisation des préférences via un compte authentifié suppose d’informer clairement la personne de la portée de cette synchronisation, sans jamais élargir les finalités initialement consenties.
L’ergonomie de l’interface n’est pas un détail esthétique mais une question juridique à part entière. Si refuser ou retirer un consentement demande davantage de clics ou d’efforts qu’accepter, le choix peut ne plus être considéré comme libre. L’EDPB a d’ailleurs consacré des lignes directrices spécifiques aux interfaces trompeuses, recommandant des pratiques qui préservent la liberté réelle de choix, par exemple un bouton de refus aussi visible que le bouton d’acceptation.
Documenter et prouver le consentement : méthodes opérationnelles
Le responsable doit pouvoir démontrer à tout moment le consentement et les conditions de son recueil, selon les lignes directrices de l’EDPB. Cette obligation de preuve structure l’ensemble du dispositif technique à mettre en place.
Plusieurs éléments constituent un faisceau de preuve solide : l’horodatage précis de l’action de consentement, la journalisation des événements dans un fichier de logs, des captures d’écran de l’interface telle qu’elle était présentée à ce moment précis, et le versioning du code de la plateforme de gestion des consentements utilisée. Lorsque la configuration de l’outil change, conserver un hachage ou une empreinte de chaque version permet de reconstituer exactement ce que la personne a vu et accepté à une date donnée.
Cette exigence de preuve s’impose à chaque responsable qui invoque ce consentement, y compris lorsqu’un tiers ou un sous-traitant intervient dans la chaîne de collecte. L’archivage doit donc permettre de retrouver rapidement, pour une personne donnée, la date, le contenu exact de l’information fournie et l’action réalisée. Un accès sécurisé à ces journaux, limité aux personnes habilitées, facilite les contrôles internes et les audits sans multiplier les risques de fuite sur des données déjà sensibles par nature.
Retrait du consentement : mise en œuvre et effets pratiques
Le retrait produit un effet pour l’avenir uniquement : les traitements réalisés avant le retrait restent licites si le consentement initial était valable, mais toute poursuite du traitement fondée uniquement sur ce consentement doit cesser immédiatement, selon la CNIL. Le retrait n’équivaut donc pas automatiquement à une suppression de toutes les données : l’effacement et la conservation des preuves doivent être analysés séparément, comme le précise le règlement européen.
Avant d’interrompre un traitement, il convient d’examiner séparément si une autre base légale justifie sa poursuite et si des données doivent être conservées.
Techniquement, le mécanisme de retrait doit être aussi accessible que celui de l’acceptation et se propager sur l’ensemble des supports rattachés à un même compte authentifié. La gestion des droits utilisateurs d’un outil métier illustre bien cette logique : un retrait effectué sur un terminal doit se répercuter partout. Conserver la preuve du retrait, avec sa date et son motif, reste recommandé pour justifier les durées de conservation appliquées ensuite.
Cas particuliers : prospection, mineurs et données sensibles
Vérifiez les règles applicables à votre situation et prévoyez un moyen accessible de s’opposer à la prospection.
Pour les mineurs, les règles relatives au consentement aux services de la société de l’information peuvent dépendre du droit national. Vérifiez les exigences applicables avant de recueillir un consentement.
Le traitement de données sensibles exige une analyse spécifique des conditions prévues par le RGPD. Le consentement explicite peut être pertinent, mais d’autres conditions peuvent s’appliquer.
Durées de conservation : principes et méthode pour les justifier
Le principe de limitation impose de fixer une durée de conservation proportionnée à la finalité du traitement, et non une durée arbitraire ou indéfinie. Cette durée doit être déterminée par le responsable lui-même, en fonction de l’objectif poursuivi, la CNIL proposant des référentiels sectoriels pour aider à ce calibrage.
Dans certains secteurs, des obligations légales ou des règles de prescription peuvent influer sur la durée de conservation. Vérifiez les règles applicables à chaque traitement.
En pratique, une grille d’analyse simple aide à documenter ce choix : la durée d’utilisation active de la donnée, suivie le cas échéant d’une durée d’archivage intermédiaire à accès restreint, avant suppression ou anonymisation définitive. Consigner le raisonnement derrière chaque durée, même sommairement, facilite la réponse à un contrôle ultérieur.
Checklist opérationnelle : 10 étapes pour mettre en place une gestion des consentements conforme
Cette séquence couvre l’ensemble du cycle, de la cartographie initiale jusqu’à l’archivage des preuves.
- Cartographier tous les traitements existants avec finalité, données, durée et base légale.
- Identifier les traitements qui reposent réellement sur le consentement plutôt que sur une autre base.
- Rédiger une information claire et séparée pour chaque finalité distincte.
- Concevoir des interfaces avec un acte positif par finalité, sans case pré-cochée.
- Paramétrer une plateforme de gestion des consentements qui bloque les traceurs non essentiels avant le choix.
- Mettre en place la journalisation horodatée de chaque action de consentement et de retrait.
- Prévoir une synchronisation des préférences entre les différents supports d’un même compte authentifié.
- Construire un mécanisme de retrait aussi simple d’accès que le mécanisme d’acceptation.
- Fixer et documenter une durée de conservation pour chaque finalité, y compris pour les preuves elles-mêmes.
- Organiser un point de contrôle périodique pour vérifier que les pratiques suivent les évolutions réglementaires.
Sur le plan technique, l’intégration d’une API de synchronisation entre les terminaux et la journalisation systématique des événements de consentement restent les deux chantiers qui demandent le plus d’anticipation. Un audit interne périodique, qui rejoue quelques parcours de collecte et vérifie la cohérence des logs associés, permet de repérer les écarts avant qu’un contrôle externe ne le fasse.
Perspective éditoriale et preuves EEAT
Les outils de gestion des consentements rendent la documentation plus rigoureuse et centralisent des preuves dispersées, mais ils ne transfèrent jamais la responsabilité juridique : celle-ci reste entièrement entre les mains du responsable de traitement, quel que soit le logiciel utilisé, comme le rappellent d’ailleurs les lignes directrices de l’EDPB sur le consentement.
Un point sous-estimé dans beaucoup d’organisations : la synchronisation des consentements liés à un dossier client physique, par exemple en atelier ou en point de service, est souvent plus fragile que celle d’un site web, car elle dépend de process humains plutôt que d’une plateforme automatisée. Former les équipes de terrain à reconnaître un retrait et à le faire remonter sans délai compte souvent plus que la sophistication de l’outil choisi.
— Fabien
Centraliser les preuves de consentement avec Glass Manager
Documenter un consentement, retrouver une pièce lors d’un contrôle ou suivre un retrait sur plusieurs dossiers devient vite chronophage sans système centralisé. Notre plateforme Glass Manager automatise la gestion des dossiers bris de glace, de la création au suivi des dossiers.
Notre plateforme intègre un chatbot IA, tandis que nos outils de gestion de la facturation et des devis regroupent dans un seul espace les documents qu’un centre de vitrage doit pouvoir produire rapidement. Nous ne nous substituons jamais au conseil juridique : la qualification de la base légale et le pilotage de la conformité restent de votre ressort, notre rôle se limite au support opérationnel et documentaire. Pour voir comment notre plateforme peut s’intégrer à votre organisation, découvrez notre offre de gestion des dossiers bris de glace.
Questions fréquentes
Qu’est-ce que le consentement selon le RGPD ?
Le consentement désigne une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte un traitement de ses données, exprimée par un acte positif clair selon les lignes directrices de l’EDPB. Il s’agit d’une base légale parmi d’autres, pas d’un passage obligé pour tout traitement.
Qu’est-ce que la gestion du consentement ?
La gestion du consentement regroupe l’ensemble des pratiques qui permettent de recueillir, documenter, conserver et retirer un consentement de manière conforme. Cela inclut la cartographie des traitements, le paramétrage des interfaces de recueil et la journalisation des preuves selon les recommandations de la CNIL.
Quelles sont les règles essentielles du consentement ?
Un consentement valable doit être libre, spécifique, éclairé et univoque, exprimé par un acte positif sans case pré-cochée ni inaction. Le responsable doit pouvoir le prouver à tout moment et garantir un retrait aussi simple que l’acceptation, comme le précisent les lignes directrices de l’EDPB.
Quels sont les éléments essentiels du consentement ?
Les éléments essentiels tiennent en trois points : une information claire sur la finalité et le responsable du traitement, un acte positif distinct pour chaque usage, et la possibilité réelle de retirer son accord sans conséquence négative. Ces exigences découlent directement des critères de liberté, de spécificité et d’univocité posés par le règlement.
