Consentement RGPD valable : les 4 critères + modèle 2026

L’essentiel. Un consentement RGPD n’est valable que s’il est libre, spécifique, éclairé et univoque, matérialisé par un acte positif clair de la personne (article 4.11). Mais la première question n’est pas « comment recueillir le consentement ? » : c’est « ai-je vraiment besoin du consentement ? ». Dans la majorité des traitements, une autre base légale s’applique. Ne demandez le consentement que lorsqu’aucune des cinq autres bases de l’article 6 du RGPD ne convient — puis documentez-le pour pouvoir le prouver.

La question de savoir comment recueillir valablement un consentement au titre du RGPD suscite énormément de discussions, alors qu’elle est le plus souvent simple à traiter — à condition de raisonner dans le bon ordre. Ce guide pratique détaille les cas où le consentement est réellement exigé, les quatre critères qui le rendent valable, la manière de le prouver, et fournit un modèle de mention prêt à adapter. Pour aller directement à l’opérationnel, consultez nos modèles de consentement RGPD prêts à l’emploi : newsletter, formulaire de contact, cookies, programme bêta.

L’enjeu est loin d’être théorique. En cas de consentement mal recueilli, l’autorité de contrôle peut ordonner l’effacement de l’ensemble des données collectées sans base valable. Pour une entreprise dont le fichier de prospection constitue le principal actif commercial, la sanction peut anéantir des années de constitution de base. S’assurer de la validité du processus de recueil n’est donc pas un raffinement juridique : c’est un point de passage obligé de toute démarche de conformité, au même titre que la tenue du registre ou la gestion des sanctions RGPD.

Faut-il vraiment demander le consentement ?

La première erreur — et de très loin la plus fréquente — consiste à demander le consentement partout, par réflexe. C’est une faute juridique doublée d’une faute opérationnelle : le consentement est la base légale la plus fragile (la personne peut le retirer à tout moment) et la plus coûteuse à administrer. On ne le mobilise donc qu’en dernier recours.

Le consentement n’est que l’une des six bases légales de l’article 6 du RGPD. Pour traiter licitement des données (email, nom, prénom, adresse…), le responsable de traitement doit relever d’au moins l’une des situations suivantes :

Base légale (art. 6.1)	Quand l’utiliser	Exemple concret
a) Consentement	Aucune autre base ne s’applique	Inscription à une newsletter, dépôt de cookies non essentiels
b) Contrat	Traitement nécessaire à un contrat ou à des mesures précontractuelles	Livraison d’une commande e-commerce, gestion d’un compte client
c) Obligation légale	La loi impose la collecte	Facturation, déclarations sociales, conservation comptable
d) Intérêts vitaux	Vie ou intégrité physique en jeu	Patient inconscient admis aux urgences
e) Mission d’intérêt public	Autorité publique / mission d’intérêt général	Traitement par une collectivité territoriale
f) Intérêt légitime	Intérêt réel du responsable, non disproportionné	Sécurité informatique, prospection B2B mesurée

La méthode d’élimination pour trouver la bonne base

En pratique, on détermine la base légale par élimination, dans cet ordre :

1. La loi m’oblige-t-elle à collecter ces données ? (facturation, obligations RH, conservation comptable). Si oui, la base est l’obligation légale — pas le consentement.
2. Les données sont-elles nécessaires à un contrat avec la personne (compte client, commande, service souscrit) ? Si oui, la base est le contrat. Attention : seules les données réellement nécessaires à ce contrat sont couvertes.
3. Suis-je dans un cas d’intérêt vital ou de mission d’intérêt public ? Rare pour une entreprise privée.
4. Puis-je invoquer l’intérêt légitime ? Il faut alors documenter un triple test (finalité légitime, nécessité, mise en balance avec les droits des personnes).
5. À défaut de tout ce qui précède, la base est le consentement.

Concrètement, on ne demande le consentement que pour un nombre limité de finalités : inscription à une newsletter, téléchargement d’un livre blanc suivi de communications commerciales, dépôt de cookies non essentiels, participation à un programme bêta. À l’inverse, on ne demande jamais le consentement pour l’embauche (déséquilibre employeur/salarié) ni lorsque la loi impose déjà le traitement (la facturation relève de l’obligation légale, pas du consentement).

L’erreur classique : tout fonder sur le consentement

Le cas du site e-commerce illustre parfaitement le piège. Un même formulaire peut recouvrir plusieurs finalités, chacune reposant sur une base distincte :

• facturation → obligation légale (art. 6.1.c) ;
• traitement du paiement, expédition de la commande (adresse, email) → contrat (art. 6.1.b) ;
• envoi de nouvelles offres commerciales par email → consentement (art. 6.1.a).

On ne peut donc pas « recycler » l’email collecté pour la commande afin d’envoyer de la prospection : cette finalité supplémentaire exige un consentement spécifique. C’est une application directe du principe de finalité et du principe de minimisation. Pour approfondir la distinction opt-in / opt-out selon la nature du destinataire, voir notre guide opt-in / opt-out RGPD et l’analyse dédiée à la prospection commerciale.

Les 4 conditions d’un consentement valable (art. 4.11)

Une fois établi que le consentement est bien la base pertinente, encore faut-il qu’il soit valable. La définition légale figure à l’article 4.11 du RGPD :

« consentement » de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.

Derrière cette phrase se cachent quatre critères cumulatifs, plus l’exigence d’un acte positif. Si un seul manque, le consentement est nul.

Critère	Ce que cela signifie	Ce qui l’invalide
Libre	Choix réel, sans contrainte ni conséquence négative en cas de refus	Déséquilibre (employeur/salarié), service conditionné à un consentement non nécessaire
Spécifique	Un consentement par finalité	Consentement global « à tout traitement de vos données »
Éclairé	Information claire préalable (qui, quoi, pourquoi, durée, droits)	Mention absente, noyée ou trompeuse
Univoque	Aucune ambiguïté sur l’intention de consentir	Silence, inactivité, case pré-cochée
Acte positif clair	La personne agit elle-même	Consentement supposé, déduit d’une navigation

Libre : attention aux rapports de force

Le consentement doit résulter d’un choix réel. Il n’est pas libre lorsque la personne subit une pression ou lorsqu’un refus entraîne un désavantage. C’est pourquoi le consentement est en principe inadapté dans la relation de travail : le lien de subordination fait présumer un déséquilibre. On peut parfois y recourir (par exemple pour la diffusion facultative d’une photo sur l’intranet), mais il faut alors démontrer que le refus n’a aucune conséquence pour le salarié.

Autre application majeure : l’interdiction du couplage (art. 7.4). On ne peut pas subordonner la fourniture d’un service à un consentement qui n’est pas nécessaire à ce service. Exiger le consentement à la prospection publicitaire pour donner accès à un simple téléchargement est une pratique fragile : le consentement n’est alors pas réellement libre.

Spécifique : un consentement par finalité

La personne doit consentir à quelque chose de précis (recevoir une newsletter, être recontactée pour une étude). On ne peut pas solliciter un consentement fourre-tout couvrant « tout traitement ». Lorsque plusieurs finalités coexistent (newsletter + partage à des partenaires, par exemple), il faut une case ou un choix distinct pour chacune : c’est l’exigence de granularité.

Éclairé : informer avant de recueillir

La personne ne peut consentir en connaissance de cause que si elle sait ce qu’elle accepte. Avant le recueil, il faut donc délivrer une information claire : identité du responsable, finalités, catégories de destinataires, durée de conservation, existence des droits (dont le droit d’opposition et le retrait). Cette information s’articule avec les exigences de transparence de l’article 12 — voir nos bonnes pratiques de l’article 12. L’information doit être rédigée en des termes simples : le considérant 58 du RGPD impose que toute mention adressée au public soit « concise, aisément accessible et facile à comprendre ».

Univoque + acte positif : la fin du consentement présumé

Le consentement doit résulter d’un acte positif clair : la personne agit elle-même. Le silence, l’inactivité ou une navigation ne valent jamais consentement. Ce point tranche un vieux débat juridique — « qui ne dit mot consent » — que le RGPD résout par la négative, pour prévenir les dérives.

Concrètement, une personne qui saisit elle-même son adresse email dans un formulaire réalise déjà un acte positif suffisant. Le RGPD n’impose pas nécessairement une case à cocher : celle-ci peut matérialiser l’acte positif, mais elle n’est pas obligatoire dès lors que l’action émane de la personne. En revanche, la case pré-cochée est prohibée : la Cour de justice de l’Union européenne a jugé qu’une case cochée par défaut ne peut jamais constituer un consentement valable, faute d’acte positif.

Sont ainsi illicites, faute d’acte positif de la personne :

• collecter des emails sur des forums ou annuaires pour envoyer de la publicité ;
• importer ses contacts professionnels dans une newsletter commerciale sans consentement préalable ;
• déduire un consentement de la simple poursuite de la navigation sur un site.

Consentement renforcé : enfants, données sensibles, cookies

Trois situations appellent un régime plus strict.

• Données sensibles. Le traitement de données sensibles (santé, opinions, orientation sexuelle, convictions…) est en principe interdit par l’article 9 du RGPD, sauf exception. Lorsque la base retenue est le consentement, celui-ci doit être explicite : une déclaration expresse et non un simple acte positif implicite.
• Enfants. Pour les services en ligne offerts directement aux mineurs, le consentement doit être donné ou autorisé par le titulaire de l’autorité parentale en deçà d’un âge fixé par le droit national (15 ans en France).
• Cookies et traceurs. Le dépôt de cookies non essentiels relève des règles « ePrivacy » transposées, sous le contrôle de la CNIL. Le consentement y obéit aux mêmes exigences (libre, spécifique, éclairé, univoque) : refuser doit être aussi simple qu’accepter, et l’absence de choix ne vaut pas acceptation. La CNIL a précisé en 2024 les conditions dans lesquelles les modèles « accepter ou payer » (cookie walls) peuvent être admis, au cas par cas et sous conditions strictes.

Prouver et documenter le consentement

Recueillir un consentement valable ne suffit pas : il faut pouvoir le démontrer. L’article 7.1 pose une obligation de preuve à la charge du responsable de traitement. En cas de contrôle, l’incapacité à prouver le consentement équivaut à son absence.

Une preuve robuste conserve, pour chaque personne :

• la date et l’heure du recueil ;
• la formulation exacte de la mention affichée au moment du recueil (versionnée) ;
• le périmètre exact : quelle(s) finalité(s) ont été acceptées ;
• le canal (formulaire web, double opt-in email, etc.) ;
• l’historique des retraits et modifications.

Ces éléments doivent être reliés au registre des activités de traitement. Un logiciel RGPD permet d’industrialiser cette collecte de preuve et la tenue du registre, en horodatant et en versionnant automatiquement chaque consentement — ce qui évite le casse-tête du « prouver a posteriori » sur des milliers de contacts.

Checklist : recueillir un consentement opposable

• [ ] J’ai vérifié qu’aucune autre base légale ne s’applique (contrat, obligation légale, intérêt légitime).
• [ ] L’information préalable est claire, complète et accessible avant le recueil.
• [ ] Le consentement est spécifique à chaque finalité (cases distinctes si besoin).
• [ ] Aucune case n’est pré-cochée ; l’action émane de la personne.
• [ ] Le service n’est pas conditionné à un consentement non nécessaire (pas de couplage).
• [ ] Je conserve la preuve (date, formulation versionnée, périmètre, canal).
• [ ] Le retrait est possible et aussi simple que le recueil.
• [ ] Pour les données sensibles ou les mineurs, j’applique le régime renforcé.

Retrait du consentement : aussi simple que de le donner

L’article 7.3 impose que la personne puisse retirer son consentement à tout moment, et que ce retrait soit aussi facile que le fait de consentir. Un lien de désinscription en bas de chaque email, ou un réglage accessible dans l’espace client, remplit cette exigence pour une newsletter.

Le retrait ne vaut que pour l’avenir : il ne remet pas en cause la licéité des traitements réalisés avant. Il ne faut pas confondre le retrait du consentement (qui suppose que la base était bien le consentement) avec le droit d’opposition, qui s’exerce, lui, sur les traitements fondés sur l’intérêt légitime ou l’intérêt public.

Modèle de mention de recueil du consentement

Voici une mention type à afficher au point de collecte (formulaire d’inscription newsletter). Elle combine l’acte positif et l’information éclairée exigés par le RGPD.

☐ J’accepte de recevoir la newsletter de [Société] et ses communications sur la conformité RGPD.

En cochant cette case, vous consentez à ce que [Société], responsable de traitement, utilise votre adresse email pour vous envoyer sa newsletter et des informations sur ses produits et services. Base légale : votre consentement (art. 6.1.a du RGPD). Données conservées tant que vous restez inscrit. Vous pouvez retirer votre consentement à tout moment via le lien de désinscription présent dans chaque email, sans que cela n’affecte les traitements déjà réalisés. Vous disposez d’un droit d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité, et du droit d’introduire une réclamation auprès de la CNIL. Contact : [email DPO / responsable].

Modèle indicatif fourni à titre documentaire — ne constitue pas un conseil juridique. À adapter à votre contexte avant usage. Version 1.0 — 10 juillet 2026.

Pour des variantes couvrant le formulaire de contact, les cookies ou un programme bêta, voir nos modèles de consentement RGPD et l’analyse comparée opt-in / opt-out.

FAQ

Le consentement est-il obligatoire pour collecter des données personnelles ?

Non. Le consentement n’est que l’une des six bases légales de l’article 6. Pour la plupart des traitements courants (exécution d’un contrat, obligation légale de facturation, gestion de la paie), il n’est ni requis ni approprié. On ne recourt au consentement que lorsqu’aucune autre base ne s’applique — typiquement la prospection commerciale par email ou les cookies non essentiels.

Une case à cocher est-elle obligatoire pour un consentement valable ?

Non. Le RGPD exige un acte positif clair, pas nécessairement une case à cocher. La saisie volontaire d’une adresse email dans un formulaire constitue déjà un acte positif suffisant. En revanche, une case pré-cochée est prohibée : elle ne matérialise aucun acte de la personne. La case à cocher reste toutefois recommandée lorsqu’il faut recueillir un consentement distinct pour une finalité additionnelle.

Peut-on utiliser le consentement d’un salarié ?

En principe, non, en raison du déséquilibre inhérent à la relation de travail : le consentement risque de ne pas être « libre ». On privilégie donc d’autres bases (obligation légale, intérêt légitime de l’employeur, exécution du contrat de travail). Le consentement ne reste envisageable que pour des traitements réellement facultatifs, sans aucune conséquence en cas de refus (par exemple, la publication facultative d’une photo).

Combien de temps faut-il conserver la preuve du consentement ?

Il n’existe pas de durée forfaitaire : conservez la preuve tant que le traitement fondé sur ce consentement se poursuit, puis pendant le délai nécessaire à établir la licéité passée en cas de contrôle ou de litige. En pratique, on conserve l’horodatage, la formulation versionnée et le périmètre du consentement aussi longtemps que la personne figure dans le fichier, plus une période de sécurité probatoire.

Quelle différence entre retrait du consentement et droit d’opposition ?

Le retrait (art. 7.3) ne concerne que les traitements fondés sur le consentement ; il est de droit, sans motivation, et doit être aussi simple que le recueil. Le droit d’opposition s’exerce, lui, sur les traitements fondés sur l’intérêt légitime ou une mission d’intérêt public — il suppose des motifs tenant à la situation particulière de la personne, sauf en matière de prospection où l’opposition est absolue.

Que risque une entreprise en cas de consentement mal recueilli ?

Au-delà des amendes prévues par le RGPD, la CNIL peut ordonner l’effacement de l’ensemble des données collectées sans base valable — ce qui peut détruire un fichier de prospection constitué de longue date. S’ajoutent les injonctions de mise en conformité et l’atteinte réputationnelle. Le coût d’un recueil rigoureux dès l’origine est sans commune mesure avec celui d’une régularisation forcée.

Conclusion

Le risque majeur, pour toute organisation qui collecte des données, est de ne pas recueillir valablement le consentement et de devoir ensuite effacer l’intégralité d’un fichier. Ce scénario catastrophe est pourtant simple à éviter : raisonner d’abord sur la base légale (le consentement en dernier recours), respecter les quatre critères de l’article 4.11, informer clairement en amont, et surtout conserver la preuve de chaque consentement. Une fois ces réflexes en place, le recueil du consentement cesse d’être une source d’angoisse pour devenir un simple processus documenté.