Consentement RGPD valable : une grille de contrôle

Pour vérifier si un consentement RGPD est valable, examinez le parcours réellement présenté à la personne. Le libellé d’une case ne permet pas, à lui seul, de conclure : il faut regarder les choix possibles, l’information affichée, les opérations déclenchées et le retrait. Cette grille sert à contrôler un formulaire existant avant de l’utiliser pour une nouvelle collecte.

Ce qu’il faut retenir

• Les quatre critères sont cumulatifs : libre, spécifique, éclairé et univoque.
• La présence d’une case décochée ne corrige pas une finalité vague ou un choix contraint.
• La saisie d’un email peut manifester un accord seulement si le parcours donne clairement ce sens à l’action.
• L’audit doit retrouver une preuve exploitable et vérifier l’effet du retrait dans les outils.

Confirmer le fondement avant de contrôler la forme

Le consentement est l’une des six bases de l’Art. 6(1) du RGPD. Il n’est ni une formalité obligatoire pour tout traitement ni une base de dernier recours imposée après élimination des cinq autres. Définissez la finalité et vérifiez ses conditions d’application, ainsi que les éventuelles règles sectorielles. Le texte de l’article 6 ne crée pas cette hiérarchie.

Le guide général du consentement permet de traiter cette décision. Ici, partez d’un traitement pour lequel l’accord de la personne constitue effectivement le fondement pertinent ou une exigence applicable.

La grille de contrôle du parcours

La CNIL présente les quatre critères de validité. L’Art. 7 ajoute notamment la preuve, la distinction de la demande lorsqu’elle figure dans une déclaration concernant d’autres questions et la simplicité du retrait.

Examiner trois cas qui se ressemblent à l’écran

Formulaire dédié à une newsletter. Un champ email accompagné d’une information claire et d’un bouton « M’inscrire à la newsletter » peut matérialiser l’accord. Vérifiez que le résultat se limite bien à cette inscription et que la personne comprend qui écrit et comment arrêter les envois.

Formulaire de devis avec le même champ email. Le bouton « Envoyer ma demande » exprime la demande de devis. Il ne prouve pas un accord supplémentaire à la newsletter. Si cet accord est nécessaire pour l’usage envisagé, présentez un choix distinct et facultatif.

Formulaire réunissant plusieurs finalités. Un unique bouton de validation ne doit pas rendre indissociables des usages qui doivent pouvoir être choisis séparément. Le guide consacré à la case à cocher RGPD aide à choisir le mécanisme sans confondre contrôle visuel et volonté exprimée.

Ces exemples n’autorisent pas à demander systématiquement un consentement là où une autre règle s’applique. Ils servent à vérifier le sens de l’action dans son contexte.

Vérifier les preuves sur un échantillon

Sélectionnez quelques inscriptions issues de canaux différents : formulaire actuel, ancienne version, salon et import. Pour chacune, tentez de retrouver l’information reçue, le périmètre de l’accord et l’action réalisée. Une colonne « opt-in » importée d’un prestataire ne suffit pas à résoudre ces questions.

Les lignes directrices 05/2020 du CEPD, paragraphes 104 à 108, demandent une preuve suffisante sans collecte excessive. Il n’existe pas de liste universelle imposant l’adresse IP ou l’enregistrement intégral de chaque session. Consultez la méthode pour prouver le consentement avant de multiplier les journaux.

Classez les résultats : preuve retrouvée et cohérente, périmètre limité, preuve insuffisante ou retrait non répercuté. Ne transformez pas une absence de preuve en accord supposé et ne relancez pas automatiquement les personnes pour « régulariser » : la sollicitation doit elle-même être licite.

Adapter une mention sans promettre trop

Pour une inscription dédiée, une formulation peut être : « Je souhaite recevoir par email la newsletter de [organisme] consacrée à [sujet]. Je peux me désinscrire à tout moment grâce au lien présent dans les messages. »

Cette phrase doit être complétée par l’information adaptée au traitement : responsable, données, finalité, durée ou critères, destinataires, droits et contact. Elle ne remplace ni le paramétrage ni la preuve. Les modèles de consentement fournissent des variantes à adapter ; aucun texte générique ne valide à lui seul un parcours.

Contrôler aussi le parcours de la personne qui refuse

Un audit limité au clic d’acceptation peut manquer le problème principal. Parcourez le formulaire sans donner l’accord facultatif : la demande initiale peut-elle être envoyée, les informations annoncées restent-elles accessibles et le refus est-il conservé correctement ? Faites ce contrôle dans les différentes versions effectivement proposées, notamment lorsque l’affichage mobile diffère de celui du bureau.

Rapprochez les résultats de l’Art. 7(4) : la dépendance entre un service et un consentement portant sur des données non nécessaires à son exécution doit peser dans l’appréciation de la liberté. Une interface qui présente une case comme facultative mais empêche ensuite la validation sans la cocher appelle une correction du parcours, pas seulement du texte.

Examinez les messages d’erreur et les écrans intermédiaires. Une information compréhensible au début peut devenir ambiguë si le bouton final annonce plusieurs actions différentes. Conservez les éléments utiles pour expliquer la difficulté et indiquez quelle version devra être revue. Cette vérification est proposée comme méthode ; aucun formulaire réel n’a été testé pour cet article.

Relier les preuves sans leur faire dire davantage

La preuve doit permettre de comprendre un événement dans son contexte. Séparez la documentation du mécanisme, la version de l’information et l’élément rattachant une personne à une action. Une capture d’écran peut montrer ce qui était prévu ; elle ne démontre pas à elle seule que cette version a été présentée à tous les inscrits. Un journal d’événements peut établir une validation sans expliquer la finalité qu’elle couvrait.

Utilisez une fiche de lecture plutôt qu’une appréciation binaire :

Cette grille n’impose pas quatre documents distincts ni une technologie particulière. Elle aide à relever les correspondances et les lacunes. Si un prestataire remet un fichier de preuve, demandez la signification des champs et les règles de mise à jour. Un code « actif » peut désigner un compte ouvert, un abonnement commercial ou un choix de communication : ces situations ne sont pas interchangeables.

Exemple fictif : une liste fusionnée dans un nouvel outil

Dans cet exemple entièrement fictif, l’entreprise Aster regroupe des inscriptions à sa newsletter et des demandes de devis. Le nouveau fichier comporte un champ « accord » mais aucune indication de finalité. Une partie des lignes renvoie à un ancien formulaire ; pour les autres, seule la date d’import est disponible.

L’analyse commence par les sources disponibles. Pour les demandes de devis, l’adresse ne devient pas une inscription à la newsletter par l’effet de la fusion. Pour les lignes issues du formulaire dédié, il faut rapprocher l’action enregistrée, l’information de l’époque et les éventuels retraits. La date d’import établit une opération technique, pas la date à laquelle la personne a consenti.

Le résultat peut être différent selon les groupes : périmètre établi, accord limité à un usage précis ou preuve insuffisante. Conservez cette différence lors de la reprise dans l’outil. Une conclusion favorable sur quelques lignes ne valide pas le fichier entier ; elle peut au contraire faire apparaître une question à examiner sur d’autres canaux ou périodes.

Faire produire un effet au retrait

Décrivez la chaîne entre le choix exprimé par la personne et les opérations qui doivent s’arrêter. Identifiez notamment les listes exportées, les automatisations et les prestataires recevant une mise à jour. Demandez comment une erreur de transmission est détectée et corrigée. Un écran confirmant la désinscription ne suffit pas si une autre liste continue à alimenter les mêmes envois.

La poursuite éventuelle d’un traitement pour une autre finalité doit avoir sa justification propre. Le retrait d’une newsletter ne commande pas, par lui-même, la disparition de toute pièce comptable détenue à propos du client. En revanche, on ne peut pas simplement renommer la base légale de la même campagne pour contourner le retrait ou réparer rétroactivement un consentement invalide. Les paragraphes 118 à 123 des lignes directrices du CEPD distinguent ces situations.

La preuve du consentement ne doit pas davantage être gardée indéfiniment par précaution. Fixez une durée justifiée, des accès limités et le sort des éléments lorsque le traitement prend fin. Les paragraphes 104 à 108 du CEPD articulent démonstration et minimisation ; ils ne rendent pas nécessaire la conservation de chaque détail de navigation.

Transformer les constats en décisions

Pour chaque difficulté, notez le traitement concerné, les personnes ou périodes potentiellement touchées, la mesure immédiate et la correction du mécanisme. Distinguez la décision de suspendre un usage insuffisamment justifié de la modification du formulaire pour les collectes futures. Un nouveau texte ne réécrit pas l’information reçue auparavant.

Après correction, vérifiez le parcours et ses effets, puis conservez la version mise en service. Une modification ultérieure de finalité, de destinataires ou d’organisation doit conduire à réexaminer la portée de l’accord et l’information nécessaire. Le dossier doit expliquer pourquoi l’usage envisagé reste couvert ou demande une nouvelle décision, sans supposer qu’un consentement ancien autorise toutes les évolutions.

FAQ

Une case décochée rend-elle automatiquement l’accord valable ?

Non. Elle peut matérialiser l’action, mais il faut encore vérifier la liberté, la précision de la finalité, l’information et les autres conditions applicables.

Peut-on déduire l’accord de la simple saisie d’un email ?

Seulement si l’action exprime clairement cet accord dans le parcours présenté. Un email donné pour recevoir une facture ou un devis ne signifie pas, par lui-même, une inscription commerciale.

Que faire si une ancienne version du formulaire a disparu ?

Recherchez les preuves disponibles et leur portée réelle. Ne recréez pas a posteriori un écran présenté comme historique. Documentez la lacune et décidez des traitements encore justifiables.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.