Article 7 RGPD : les 4 conditions du consentement
Article 7 RGPD : preuve du consentement, forme, retrait et liberté du choix. Une méthode pour auditer vos formulaires et vos traitements.
Un consentement doit pouvoir être expliqué, retrouvé et retiré. L’article 7 du RGPD organise ces garanties : preuve, présentation de la demande, retrait et appréciation du caractère libre. Pour auditer un formulaire, il faut suivre le parcours complet, jusqu’à l’arrêt effectif du traitement.
Ce guide distingue les obligations du texte et les moyens pratiques de les appliquer. Il ne suffit pas d’enregistrer « oui » dans une base : il faut savoir quelle finalité la personne a acceptée et ce qui se passe lorsqu’elle change d’avis.
Article 7 et définition du consentement : deux textes complémentaires
L’Art. 4(11) définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque. Les quatre paragraphes de l’article 7 précisent ensuite ses conditions d’application :
| Paragraphe | Point à contrôler |
|---|---|
| Art. 7(1) | Pouvoir démontrer le consentement de la personne |
| Art. 7(2) | Distinguer la demande des autres éléments d’une déclaration écrite ; utiliser une formulation claire et accessible |
| Art. 7(3) | Informer du droit au retrait, le permettre à tout moment et aussi simplement que le recueil |
| Art. 7(4) | Tenir particulièrement compte du conditionnement du contrat à un traitement qui n’est pas nécessaire, pour apprécier la liberté du consentement |
Le consentement n’est qu’une des bases légales du RGPD. Ne demandez pas artificiellement à une personne d’accepter un traitement que vous devez réaliser en vertu d’une obligation légale, ou qui repose valablement sur un autre fondement. Le choix s’effectue avant la collecte et par finalité.
Art. 7(1) : construire une preuve proportionnée
Le RGPD ne prescrit ni logiciel particulier, ni modèle obligatoire de registre de consentement. La CNIL demande de pouvoir démontrer les conditions de validité : choix réel, finalités distinctes, information et action positive. Sa fiche sur le consentement précise cette démarche.
Une organisation pratique consiste à rapprocher :
- un identifiant permettant de rattacher le choix à la personne ou au contexte concerné ;
- la date, le canal et l’action qui a exprimé ce choix ;
- les finalités acceptées ou refusées ;
- la version de l’information et du formulaire alors présentés ;
- les modifications et retraits intervenus ensuite.
Cette liste constitue une trame de preuve à adapter, pas une liste réglementaire de champs obligatoires. L’adresse IP n’est pas systématiquement nécessaire. Un journal très détaillé peut créer une collecte excessive sans mieux établir que le choix était libre.
Contrôle concret : choisissez un consentement ancien et reconstruisez l’écran présenté ce jour-là. Si vous ne pouvez montrer que le formulaire actuel, l’historique ne permet pas de vérifier le recueil initial. Le guide prouver le consentement détaille les éléments à rapprocher.
Art. 7(2) : séparer les décisions
Une acceptation globale des conditions d’utilisation ne permet pas de dissimuler un choix publicitaire facultatif. La personne doit comprendre ce qu’elle décide et pouvoir choisir entre des finalités distinctes. La demande de consentement intégrée à une déclaration écrite doit être clairement distinguée des autres questions.
La granularité ne se résume toutefois pas à une règle « une case par destinataire ». Pour la transmission à des partenaires en vue de leur prospection électronique, la CNIL admet notamment un recueil commun couvrant transmission et prospection, sous réserve d’une information adaptée et d’une liste complète et à jour des partenaires. Voir sa fiche sur la prospection B to C et les partenaires, actualisée le 10 juin 2026.
Exemple fictif : Atelier Atlas vend un abonnement documentaire. L’adresse électronique nécessaire à l’accès au service n’a pas à faire l’objet d’une case de consentement facultatif. L’inscription à une newsletter publicitaire distincte doit, si elle repose sur le consentement, faire l’objet d’un vrai choix. Un refus ne doit pas être enregistré comme une erreur empêchant de poursuivre le parcours.
Pour travailler les formulations, utilisez les modèles de consentement RGPD, puis adaptez-les aux finalités et aux destinataires réels.
Art. 7(3) : rendre le retrait effectif
Le retrait doit être possible à tout moment et aussi simple que le recueil. Le texte ne fixe pas un nombre universel de clics. Un consentement recueilli dans une interface en ligne ne doit pas conduire à imposer un appel à horaires limités pour le retirer.
Le CEPD précise aussi que l’arrêt du traitement doit être examiné avec la conservation des données, et qu’on ne peut pas remplacer rétrospectivement un consentement invalide par l’intérêt légitime. Voir les lignes directrices 05/2020, paragraphes 113 à 123.
Le test doit porter sur le résultat :
- exprimer le retrait depuis le parcours accessible à la personne ;
- contrôler le statut dans le système de référence ;
- vérifier les campagnes programmées, synchronisations et prestataires concernés ;
- empêcher qu’une réimportation réactive le choix retiré ;
- examiner quelles données doivent être effacées et lesquelles peuvent être conservées pour une finalité distincte licite.
Pour les traceurs, le changement d’affichage de la bannière ne démontre pas l’arrêt des scripts. La fiche retrait du consentement et arrêt des scripts permet de préparer cette vérification.
Faut-il attendre une demande d’effacement distincte ?
Non, pas lorsque les conditions de l’Art. 17(1)(b) sont réunies : si le consentement est retiré et qu’aucun autre fondement ne justifie le traitement, l’obligation d’effacement doit être examinée sans exiger une seconde démarche. Les exceptions de l’Art. 17(3) et les finalités distinctes valablement fondées restent à prendre en compte. Le texte de l’article 17 expose ces conditions.
Une facture conservée pour satisfaire une obligation comptable et un profil publicitaire ne remplissent pas la même fonction. L’arrêt de la prospection ne justifie ni de supprimer indistinctement toute pièce, ni de conserver toute la base sous prétexte de comptabilité.
Art. 7(4) : vérifier la liberté réelle du choix
Le texte demande de tenir particulièrement compte du lien entre consentement et exécution du contrat. Posez une question concrète : que perd la personne si elle refuse le traitement facultatif ?
Documentez les conséquences du refus : accès au service, tarif, fonctionnalités, relations professionnelles ou démarches supplémentaires. Une simple mention « vous êtes libre » n’efface pas un désavantage réel. Dans une relation déséquilibrée, notamment de travail, l’analyse doit être particulièrement attentive ; cela ne se traduit pas par une impossibilité abstraite de tout consentement dans toute situation.
Les modèles économiques conditionnant l’accès à un choix publicitaire demandent une analyse spécifique. Leur licéité ne peut pas se déduire de l’existence d’un bouton, d’une option payante ou de l’article 7 isolément.
Quand revoir le consentement ?
Il n’existe pas de durée générale de validité fixée par l’article 7. Un changement substantiel du traitement impose de réexaminer ce qui a été accepté ; un simple ajustement rédactionnel n’invalide pas automatiquement tous les choix antérieurs. Le CEPD traite cette question aux paragraphes 110 et 111 des lignes directrices précitées.
Ajoutez une revue au lancement d’une nouvelle finalité, à l’ajout d’un partenaire, à une migration technique ou à une modification du parcours. Vérifiez si le consentement couvre encore l’opération et si un nouveau recueil est requis. La migration des preuves d’emailing est un cas où cette vérification doit précéder l’import.
Ce qu’il faut retenir
- L’article 7 organise la preuve, la forme, le retrait et l’appréciation du caractère libre du consentement.
- La preuve doit permettre de reconstituer le choix sans collecter inutilement davantage de données.
- Une demande distincte et des choix compréhensibles comptent davantage qu’une multiplication automatique des cases.
- Le retrait doit arrêter les traitements concernés ; l’effacement peut être obligatoire sans seconde demande.
- Réexaminez le consentement lors des changements significatifs et contrôlez sa transmission entre outils.
FAQ
Une signature est-elle obligatoire ?
L’article 7 ne l’impose pas pour tout consentement. Le mécanisme doit établir une volonté valable et permettre de la démontrer ; certains traitements exigent en outre un consentement explicite ou relèvent de règles spécifiques.
Faut-il conserver l’adresse IP pour chaque consentement ?
Pas systématiquement. Choisissez les éléments nécessaires à la preuve dans le contexte concerné et justifiez leur durée de conservation. Une adresse IP ne démontre pas, à elle seule, la liberté et l’information de la personne.
Le retrait rend-il illégal le traitement passé ?
Non, il ne remet pas en cause la licéité des opérations antérieures fondées sur un consentement valable. Il produit des effets pour la suite, notamment l’arrêt des opérations concernées et l’examen des données à effacer.
Faut-il redemander le consentement à chaque modification de texte ?
Pas automatiquement. Il faut déterminer si le traitement et les conditions acceptées ont changé de manière significative, puis décider si un nouveau consentement est nécessaire. Conservez les versions pour pouvoir justifier cette analyse.
Recevez nos analyses pratiques sur les données personnelles.
Thiébaut Devergranne, Docteur en droit privé (Paris II), plus de 20 ans d’expérience en droit des nouvelles technologies. Fondateur de donneespersonnelles.fr et de Legiscope.