Le consentement est la base légale la plus connue, et souvent la plus mal employée en entreprise : on le recueille par réflexe, puis on découvre qu'on ne sait ni le prouver ni gérer son retrait. Cet article traite le consentement RGPD sous l'angle de celui qui doit le mettre en œuvre : les conditions de validité, la preuve, le retrait, et surtout les situations où une autre base légale est plus solide. Les six bases légales sont présentées dans notre article sur les règles et principes du RGPD.
Ce que le RGPD entend par consentement
Le règlement (UE) 2016/679 définit le consentement à son article 4, point 11. La définition tient en une phrase, mais chaque adjectif y est une condition autonome : il suffit qu'une seule manque pour que le traitement perde sa base légale.
« Toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement. »
Quelles sont les quatre conditions d'un consentement valide ?
Un consentement RGPD n'est valable que s'il est à la fois libre, spécifique, éclairé et univoque. Ces quatre conditions sont cumulatives, et c'est au responsable de traitement de démontrer qu'elles étaient réunies au moment du recueil.
| Condition | Ce qu'elle exige | Exemple non conforme |
|---|---|---|
| Libre | La personne peut refuser sans subir de conséquence défavorable. | Subordonner un service à l'acceptation d'un traitement qui ne lui est pas nécessaire. |
| Spécifique | Un accord distinct pour chaque finalité. | Une case unique couvrant newsletter et partage avec des partenaires. |
| Éclairé | Identité du responsable, finalités, données collectées et droit de retrait connus avant l'accord. | Un formulaire qui renvoie à une politique introuvable. |
| Univoque | Un acte positif clair : case cochée par la personne, déclaration, clic dédié. | Case précochée, silence ou simple poursuite de la navigation. |
Le caractère libre est souvent mis en défaut. L'article 7, paragraphe 4 impose de vérifier si l'exécution d'un contrat est subordonnée à un traitement qui n'est pas nécessaire à ce contrat. Les lignes directrices 05/2020 du CEPD donnent l'exemple d'une banque qui conditionnerait l'ouverture d'un compte à l'accord pour une prospection par des tiers : ce consentement est présumé ne pas avoir été donné librement.
Comment prouver le consentement recueilli ?
L'article 7, paragraphe 1, met la preuve à la charge du responsable : il doit être en mesure de démontrer que la personne a consenti. La preuve doit permettre de reconstituer qui a consenti, quand et à quoi.
- l'identifiant de la personne, sans collecter davantage que nécessaire ;
- la date et l'heure du recueil ;
- la version exacte du texte d'information et du formulaire présentés à ce moment ;
- le canal utilisé (formulaire en ligne, document signé, confirmation par courriel) ;
- l'historique des retraits et des modifications.
Le CEPD précise que cette preuve se conserve tant que dure le traitement, mais pas au-delà de ce qui est nécessaire. Il ne fixe pas de durée de validité générale du consentement RGPD : elle dépend du contexte et des attentes de la personne, et le CEPD recommande de le renouveler à intervalles appropriés.
Comment organiser le retrait du consentement ?
La personne peut retirer son consentement à tout moment, et l'article 7, paragraphe 3 exige qu'il soit aussi simple de le retirer que de le donner. Elle doit être informée de ce droit avant de consentir.
Le retrait ne rend pas illicite le traitement antérieur, mais il y met fin pour la suite. Le CEPD cite comme non conforme un retrait possible seulement par téléphone, aux heures ouvrables, alors que l'accord se donnait en ligne à tout moment. Un lien de désinscription dans chaque message ou un réglage dans l'espace client répondent à cette exigence. Répercutez aussi le retrait auprès de vos prestataires.
Quand le consentement n'est-il pas la bonne base légale ?
Le consentement n'est pas adapté lorsqu'un déséquilibre manifeste empêche la personne de refuser librement, en particulier entre employeur et salarié ou face à une autorité publique. Dans ces cas, une autre base légale (contrat, obligation légale, intérêt légitime, mission d'intérêt public) doit être recherchée.
Le CEPD estime qu'il est peu probable qu'un salarié puisse refuser une demande de son employeur sans craindre de conséquence. Pour la majorité des traitements liés au travail, la base légale ne peut donc pas être le consentement. Il admet des exceptions, lorsque le refus n'entraîne aucune conséquence.
Le bon réflexe consiste donc à poser une question simple avant de recueillir un consentement RGPD : si la personne refuse, le traitement peut-il réellement ne pas avoir lieu ? Si la réponse est non, le consentement est la mauvaise base.
Données sensibles : le consentement explicite
Pour les données sensibles, l'article 9, paragraphe 2, point a) exige un consentement explicite, donné pour une ou plusieurs finalités spécifiques, sauf si le droit de l'Union ou d'un État membre interdit de lever l'interdiction de cette manière. Explicite signifie une déclaration expresse, et non un simple acte positif. Le CEPD cite la déclaration écrite signée, le formulaire électronique dédié, le courriel, ou une double vérification. Nous détaillons ce régime dans notre article sur les données sensibles et le RGPD.
Mineurs et cookies : deux régimes particuliers
Pour les services en ligne proposés directement aux enfants, l'article 8 du RGPD fixe un âge de principe de 16 ans et permet aux États de l'abaisser jusqu'à 13 ans. Selon la CNIL, ce seuil est de 15 ans en France ; en dessous, le consentement doit être donné conjointement par le mineur et le titulaire de l'autorité parentale. Le dépôt de cookies relève quant à lui de règles spécifiques issues de la directive ePrivacy, qui imposent en principe un accord préalable pour les traceurs non essentiels.
À retenir
- Un consentement doit être libre, spécifique, éclairé et univoque : une seule condition manquante suffit à l'invalider.
- La preuve incombe au responsable : conservez qui a consenti, quand, à quoi et par quel moyen. Le consentement RGPD ne vaut que ce que vaut sa preuve.
- Le retrait doit être aussi simple que le recueil, et il met fin au traitement concerné.
- Entre employeur et salarié, le consentement est en principe à écarter au profit d'une autre base légale.
- Les données sensibles exigent un consentement explicite, et les mineurs un régime adapté à leur âge.
Définitions utiles
Tout le lexique RGPD- ConsentementLe consentement est une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte, par une déclaration ou un acte positif clair, que ses données personnelles soient traitées.
- Base légaleLa base légale est le fondement juridique qui autorise un traitement de données personnelles. Le RGPD en prévoit six : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public et intérêt légitime.
- CEPDLe CEPD (Comité européen de la protection des données) est l'organe de l'Union qui réunit les autorités de protection des données des États membres, dont la CNIL, pour veiller à une application cohérente du RGPD dans toute l'Europe.
- Données sensiblesLes données sensibles sont des catégories de données dont le traitement est interdit par principe : origine raciale ou ethnique, opinions politiques, religion, appartenance syndicale, données génétiques, biométriques, de santé, vie ou orientation sexuelle.
- CookieUn cookie est un petit fichier déposé sur l'ordinateur ou le téléphone d'un internaute lorsqu'il consulte un site. Sauf s'il est strictement nécessaire au service, il ne peut être déposé ou lu qu'avec le consentement préalable de l'internaute.
- Directive ePrivacyLa directive ePrivacy (2002/58/CE) est le texte européen qui protège la vie privée dans les communications électroniques. Elle fonde les règles sur les cookies et sur la prospection par courriel et SMS, transposées en droit français.
