Consentement RGPD : faut-il une case à cocher ?

Le RGPD n’impose pas une case à cocher sur tous les formulaires. Il impose, lorsqu’un traitement repose sur le consentement, une manifestation de volonté libre, spécifique, éclairée et univoque. Un bouton clairement consacré à une inscription peut remplir cette fonction ; une case intitulée « J’accepte le RGPD » peut au contraire laisser l’usage des données totalement indéterminé.

La bonne décision dépend donc de ce que la personne accomplit et de ce que votre système déclenche réellement. Avant de choisir un composant, décrivez le traitement, son fondement et les conséquences d’un refus.

Partir du traitement qui exige un accord

L’Art. 4(11) du RGPD définit le consentement par une déclaration ou un acte positif clair. L’Art. 7(1) à (4) encadre sa preuve, sa présentation, son retrait et l’appréciation de sa liberté. Aucun de ces textes ne désigne une case comme composant obligatoire dans tous les cas.

Il faut d’abord vérifier si le consentement est le fondement approprié. Traiter les données nécessaires à une commande peut relever de l’Art. 6(1)(b) ; une obligation légale peut relever de l’Art. 6(1)(c). Une case d’accord général ne remplace pas cette qualification. En revanche, ajouter une newsletter facultative à la commande constitue un usage distinct à examiner séparément.

Le présent guide traite principalement les formulaires ordinaires de contact et d’inscription. Les situations exigeant un consentement explicite, notamment certaines opérations portant sur des données sensibles, appellent un examen spécifique ; un dispositif adapté à une newsletter ne suffit pas automatiquement pour ces traitements.

Comprendre ce que le bouton signifie

Les lignes directrices 05/2020 du CEPD, paragraphes 75 à 81, expliquent l’exigence d’un acte positif clair. Le silence, l’inactivité et les options précochées ne constituent pas un choix valable. Une acceptation globale de conditions générales ne démontre pas non plus un consentement spécifique au traitement.

Un bouton peut exprimer une inscription lorsqu’il n’a pas plusieurs significations concurrentes. Sur une page dédiée, « M’inscrire à la newsletter de l’atelier Vallon » décrit une action plus précise que « Continuer ». Il faut encore que l’atelier, le contenu proposé, les usages et les modalités de retrait soient compréhensibles avant la validation.

À l’inverse, « Envoyer ma demande de devis » signifie d’abord que la personne souhaite un devis. La même action ne doit pas inscrire silencieusement cette personne à des offres récurrentes. Le formulaire de contact conforme au RGPD aide à distinguer la réponse attendue d’une utilisation commerciale supplémentaire.

Ce tableau décrit des orientations. Il ne valide pas un formulaire sans examen de l’information, de la liberté de choix et des traitements effectivement déclenchés.

Utiliser une case lorsque le parcours comporte un usage facultatif

Une case initialement décochée est souvent adaptée à un usage supplémentaire. Son libellé doit expliquer qui utilisera quelles données pour quelle finalité. Évitez les formulations purement juridiques : « consentement RGPD », « acceptation des données » ou « accord à la confidentialité » ne décrivent pas une opération.

Libellé partiel proposé pour un cas fictif :

Je souhaite recevoir par email les actualités et offres de l’atelier Vallon. Je pourrai me désinscrire à tout moment.

Ce texte doit correspondre au contenu réellement envoyé. Il n’autorise pas, à lui seul, la transmission à des partenaires, un autre canal ou un profilage supplémentaire. La notice complète reste nécessaire ; elle ne doit pas contredire la promesse concise présentée près du choix.

Ne multipliez pas non plus les cases pour chaque étape technique d’une même finalité. Collecter l’adresse, enregistrer l’inscription et envoyer la newsletter peuvent contribuer au même usage annoncé. Le découpage pertinent dépend des finalités et de la possibilité de choisir, pas du nombre de tables dans le logiciel. Les modèles de consentement RGPD doivent toujours être adaptés à ce périmètre réel.

Vérifier que le refus laisse le service attendu accessible

L’Art. 7(4) demande notamment d’examiner si l’exécution d’un contrat est subordonnée au consentement à des traitements non nécessaires. Pour un formulaire de devis, bloquer l’envoi tant que la newsletter n’est pas cochée compromet la liberté du choix facultatif.

Dans le cas Vallon, le devis doit pouvoir être demandé sans abonnement. L’absence de choix newsletter ne doit pas devenir une erreur de validation. Le message de confirmation doit annoncer la prise en charge du devis, sans présenter la personne comme nouvel abonné.

La vérification porte aussi sur les réglages invisibles. Une case correctement décochée à l’écran ne protège pas la personne si le connecteur transmet toujours « abonné : oui ». Le responsable doit faire correspondre l’interface, les événements enregistrés et les listes destinataires. Cette cohérence met en œuvre les obligations de responsabilité et de protection dès la conception des Art. 5(2) et 25(1).

Fournir l’information avant l’action

L’Art. 13(1) et (2) énumère les informations à communiquer lors d’une collecte directe. Il faut notamment identifier le responsable, les finalités et bases légales, les destinataires, la durée ou ses critères et les droits. Lorsque le traitement repose sur le consentement, expliquez le retrait avant son recueil.

Une présentation en plusieurs niveaux peut être utile : l’essentiel près du bouton ou de la case, puis une notice détaillée aisément accessible. Le lien ne doit pas cacher un usage que le premier niveau laisse raisonnablement ignorer. La présence d’une longue politique en pied de page ne résout pas une promesse ambiguë.

Il faut également distinguer information et consentement. Demander de confirmer la lecture d’une notice ne recueille pas automatiquement l’accord à une newsletter. Inversement, retirer une case de « lecture » n’autorise pas à retirer la notice. Le RGPD n’impose pas de faire approuver sa propre application par chaque personne.

Construire une preuve qui raconte le choix

L’Art. 7(1) impose de pouvoir démontrer le consentement. Une date isolée et une colonne « oui » peuvent être insuffisantes si vous ne savez plus quel texte était présenté. Le guide pour prouver le consentement décrit ce rattachement entre acte individuel et support.

Préparez au minimum une référence de personne ou d’inscription, la finalité, la date de l’acte, la version du libellé et le résultat du choix. Ce sont des éléments pratiques à adapter, pas une liste réglementaire de champs imposés. Ne collectez pas davantage de données techniques que nécessaire pour constituer la preuve.

Exemple fictif : Vallon publie deux formulaires pendant la même semaine. La version D1 sert aux devis avec une option newsletter ; la version N1 sert seulement à la newsletter. Un simple événement « formulaire envoyé » ne permet pas de les confondre. Pour D1, il faut conserver l’état de l’option. Pour N1, il faut pouvoir établir le sens du bouton et l’information attachée à cette inscription.

Si D1 change de texte en cours de campagne, gardez les deux versions et leur période d’utilisation. Renommer toutes les anciennes inscriptions avec le libellé actuel fabriquerait une apparence de preuve qui ne correspond pas aux faits.

Prévoir les états intermédiaires et le retrait

Un double message de confirmation peut aider à vérifier une adresse et à renforcer la preuve. Le RGPD ne l’impose pas de façon générale à chaque formulaire. Si vous choisissez ce mécanisme, définissez ce qui se passe avant confirmation, après expiration et lors d’un nouveau clic ; l’envoi du premier formulaire ne doit pas être confondu avec l’état confirmé prévu par votre propre parcours.

Le retrait doit être aussi simple que le recueil, conformément à l’Art. 7(3). Il faut donc préparer la désinscription en même temps que la case. Elle doit atteindre l’outil qui envoie réellement les messages, ainsi que les synchronisations susceptibles de réactiver l’abonnement.

Une demande de devis ultérieure ne vaut pas nouveau consentement après un retrait. Dans le cas Vallon, un ancien abonné peut solliciter un prix sans réintégrer la newsletter. Si une nouvelle inscription volontaire est recueillie, conservez cet événement avec son périmètre ; ne la déduisez pas de la seule réapparition de l’adresse.

Contrôler le parcours avec une grille de réception

La grille suivante constitue un protocole à réaliser avec des données fictives. Elle ne décrit pas des essais effectués sur votre site.

Examinez aussi le message de confirmation et la réception dans les outils connectés. Si le parcours utilise une étape de confirmation, adaptez les résultats attendus à cette étape. La grille doit refléter votre configuration réelle, sans prétendre qu’un seul contrôle visuel suffit.

En cas d’erreur, distinguez les nouvelles inscriptions corrigées et les anciennes populations. Une interface réparée aujourd’hui ne valide pas rétrospectivement les accords manquants. Suspendez les usages dont le fondement n’est pas établi et examinez les mesures nécessaires pour les données déjà collectées.

Ce qu’il faut retenir

• La case n’est pas obligatoire dans tous les parcours ; le sens de l’action compte.
• Un usage supplémentaire fondé sur le consentement demande un vrai choix.
• Information, acceptation contractuelle et consentement sont des opérations distinctes.
• La preuve et le retrait doivent fonctionner jusque dans les outils connectés.

FAQ

Une case précochée devient-elle valable après l’envoi ?

L’envoi du formulaire ne transforme pas une option activée par défaut en choix positif spécifique. Concevez un mécanisme dans lequel la personne accomplit l’action exprimant l’accord requis.

Faut-il une case « j’ai lu la politique de confidentialité » ?

Le RGPD n’en fait pas une obligation générale. Présentez l’information clairement et conservez les éléments utiles sur sa mise à disposition, sans assimiler sa lecture à un consentement.

Peut-on utiliser uniquement un bouton d’inscription ?

Oui, lorsque le parcours permet une manifestation de volonté répondant aux conditions du consentement. Vérifiez l’objet du bouton, l’information préalable, la liberté du choix, sa preuve et le retrait.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.