RGPD : faut-il une case pour obtenir un consentement ?

Une case à cocher n’est pas imposée pour chaque formulaire qui collecte des données personnelles. Il faut d’abord savoir si le traitement repose sur le consentement. Ensuite, si un accord est nécessaire, l’interface doit exprimer un choix libre, précis, informé et sans ambiguïté.

Cette distinction évite deux erreurs : imposer une case « J’accepte le RGPD » pour répondre à une demande de devis, ou inscrire automatiquement à une newsletter les personnes qui envoient ce devis.

Commencer par la finalité du formulaire

L’Art. 6(1) du RGPD prévoit six bases légales. Selon le contexte, répondre à une demande précontractuelle peut relever de l’Art. 6(1)(b), conserver une facture d’une obligation légale et gérer certains échanges professionnels d’un intérêt légitime documenté. Demander un consentement artificiel crée alors une confusion sur les droits réellement applicables.

Le choix de la base légale précède donc le dessin du formulaire. L’information sur le traitement reste nécessaire même lorsqu’aucune case de consentement n’est affichée.

Quand une case est-elle utile ?

Une case est particulièrement adaptée lorsqu’une action principale ne traduit pas l’accord à un usage secondaire. Le bouton « Envoyer ma demande » exprime une demande de réponse ; il n’exprime pas clairement un accord à recevoir des promotions régulières.

Exemple de mention à adapter pour cet usage supplémentaire : « Je souhaite recevoir par email les offres de la société X. Je peux retirer mon accord à tout moment. » La case doit être facultative et vide au départ. L’information détaillée sur les données, les destinataires et les droits doit être accessible au moment du choix.

La CNIL rappelle qu’une case précochée ou l’inaction ne constituent pas un consentement. Un intitulé vague comme « J’accepte l’utilisation de mes données » ne permet pas davantage de comprendre l’objectif autorisé. Pour travailler les formulations, utilisez le modèle de consentement en l’adaptant au traitement concret.

Quand un bouton peut-il suffire ?

Prenons un formulaire consacré exclusivement à la lettre de la société X : il explique son contenu, demande l’adresse email, informe sur le retrait et affiche « M’inscrire à la newsletter ». Dans ce contexte, cliquer peut constituer l’acte positif exprimant l’accord. Ajouter une case qui répète exactement cette action n’est pas une condition générale de validité.

L’analyse changerait si le bouton servait aussi à télécharger un document ou ouvrir un compte, sans distinguer l’abonnement. Les lignes directrices 05/2020 du CEPD, notamment leur section 3.4, examinent la manifestation non ambiguë de la volonté : la forme technique ne dispense jamais de vérifier le sens de l’action.

Ce raisonnement n’autorise pas à déduire un consentement de n’importe quelle interaction. Publier un commentaire n’établit pas automatiquement toutes les conditions d’un accord à sa réutilisation publicitaire. Le simple défilement d’une page ou la poursuite de la navigation ne constitue pas un choix suffisamment clair.

« J’ai lu la politique » ne vaut pas consentement

Une politique de confidentialité informe sur plusieurs traitements, leurs bases légales et les droits applicables. Demander de la lire ou d’en accuser réception ne transforme pas tous ces traitements en opérations consenties.

Une case obligatoire de lecture peut aussi laisser croire que les usages facultatifs sont imposés. Il est souvent plus clair de présenter une mention courte près du bouton et un lien vers l’information complète, puis de réserver les cases aux choix qui doivent réellement être exercés.

Conserver le contexte du choix

Une colonne « oui » dans un fichier est insuffisante si personne ne peut expliquer ce que la personne a accepté. La preuve du consentement doit permettre de relier l’action à la finalité, à l’identité de l’organisme et à l’information présentée à cette date.

En pratique, conservez une version du formulaire, le libellé du choix, la date de l’action et l’identifiant utile pour la rattacher à la personne. Définissez les durées et les accès. Une adresse IP n’est pas une exigence universelle ; sa collecte éventuelle doit être nécessaire et proportionnée.

Prévoyez également le retrait dès la conception. L’Art. 7(3) exige qu’il soit aussi simple que le recueil. Un utilisateur qui s’inscrit en ligne ne devrait pas devoir expédier un courrier papier pour arrêter ses messages. La gestion des désabonnements doit suivre le choix jusque dans les outils d’envoi.

Cas rempli : réserver un livre sans s’abonner aux offres

Exemple hypothétique. Une librairie indépendante française permet de réserver un ouvrage disponible pour le retirer en magasin. Le formulaire demande le nom, l’email et le livre choisi. Sous ces champs, une case obligatoire indique : « J’accepte le traitement de mes données et les communications de la librairie. » Le bouton « Réserver » reste bloqué tant que la personne ne coche pas cette case.

Le responsable distingue la réservation demandée et la newsletter commerciale. Les données nécessaires à préparer le retrait relèvent, dans ce scénario, des mesures précontractuelles demandées par le lecteur, au titre de l’Art. 6(1)(b). Leur utilisation n’a pas besoin d’un consentement générique. L’envoi d’offres régulières est un autre objectif. La librairie choisit de le fonder sur un consentement séparé ; elle ne doit pas l’imposer pour réserver un livre. RGPD, Art. 6(1)(a) et (b), 7(4).

Le formulaire corrigé comporte une information courte sur la réservation, avec accès à la notice complète. La case obligatoire disparaît. Une option facultative, vide au départ, propose les offres par email de cette librairie, en précisant le retrait possible. Le bouton principal reste « Réserver mon livre ». Le visiteur peut donc obtenir exactement le service annoncé en laissant l’option commerciale vide.

La spécification remise à la personne qui gère le site

La quatrième ligne est souvent négligée : une page peut afficher une case vide au premier chargement, puis la recocher lors d’une validation incomplète. L’examen doit couvrir le parcours entier, y compris le retour arrière et les erreurs de saisie. L’équipe vérifie aussi que le libellé reste associé au bon contrôle sur mobile et au clavier. Le choix transmis au serveur doit correspondre à ce que la personne voit, sans paramètre caché inversant sa réponse.

La page dédiée à la newsletter peut utiliser un bouton « Recevoir les offres de la librairie » sans seconde case redondante. En revanche, le même bouton serait ambigu si son clic validait également une réservation ou un partage de coordonnées avec d’autres commerces. La solution dépend du sens du geste dans son contexte, et non du nombre de contrôles visibles.

Que faire si l’ancien formulaire a créé des accords douteux ?

Corriger l’écran règle les prochaines collectes, pas la qualité des inscriptions passées. Dans notre exemple, la responsable isole les contacts provenant de l’ancienne case obligatoire. Elle recherche les versions successives du formulaire et les événements disponibles. Elle suspend leur utilisation pour la newsletter lorsque l’accord invoqué n’est pas démontrable, tout en conservant les éléments nécessaires aux réservations et aux autres obligations applicables.

Elle ne réécrit pas les anciens événements pour leur attribuer le nouveau libellé. Une trace « case cochée » de l’ancienne version ne prouve pas que la personne a vu une option facultative. Elle n’efface pas non plus toute l’historique des restrictions : cela pourrait faire réapparaître des personnes opposées lors du prochain import. La conservation de chaque élément doit avoir un objectif précis, une durée et des accès adaptés.

Si le prestataire du formulaire ne peut pas expliquer ce qui a été enregistré, l’inscription commerciale reste désactivée sur ce parcours jusqu’à correction. La réservation, lorsqu’elle peut fonctionner séparément, demeure disponible. Avant de rouvrir l’option, la librairie vérifie les six situations de la grille avec des adresses fictives et examine les messages réellement reçus. Aucune relance générale destinée à « réparer le consentement » n’est présumée autorisée : son contenu et le droit de contacter les personnes doivent être examinés avant envoi.

Enfin, tout changement de texte n’annule pas mécaniquement tous les accords existants. Une correction typographique n’a pas la même portée que l’ajout d’un nouvel annonceur ou d’un nouvel usage. L’équipe compare la finalité couverte, l’information d’origine et le projet actuel ; elle recueille un nouvel accord lorsque le traitement envisagé sort de ce qui a été valablement accepté. L’Art. 7(1) impose de pouvoir démontrer le consentement, pas de collectionner des cases sans contexte.

Ce qu’il faut retenir

• Une collecte de données n’impose pas automatiquement un consentement.
• La case est utile pour distinguer un usage facultatif de l’action principale.
• Un bouton explicite peut suffire dans un parcours exclusivement consacré à l’inscription annoncée.
• Information, preuve et retrait restent nécessaires lorsque le traitement repose sur le consentement.

FAQ

La CNIL impose-t-elle une case sur chaque formulaire ?

Non. Elle recommande notamment ce mécanisme pour recueillir certains choix, mais les conditions juridiques portent sur la validité de l’accord. Il faut d’abord déterminer si un consentement est nécessaire.

Une signature est-elle plus sûre qu’une case ?

Une signature peut contribuer à la preuve, mais elle ne corrige pas un accord forcé ou une finalité imprécise. La qualité de l’information et la liberté de choix restent déterminantes.

Une autorité publique peut-elle recueillir un consentement ?

Ce fondement est souvent inadapté en raison du déséquilibre avec l’administré. Le CEPD ne l’exclut toutefois pas absolument : un service réellement facultatif, sans conséquence défavorable en cas de refus, peut justifier un examen distinct.

Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.

Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.