Consentement RGPD Valide Conditions

Conditions de validité et cas particuliers

Application des 4 conditions de validité du consentement RGPD : Libre — un employeur ne peut pas se fonder sur le consentement de ses employés pour traiter leurs données personnelles (déséquilibre de pouvoir — le consentement n'est pas libre car un refus peut avoir des conséquences professionnelles) ; les services publics ne peuvent pas conditionner l'accès à leurs services au consentement à des traitements non nécessaires au service ; en cas de déséquilibre net entre RT et personne concernée, une autre base légale doit être utilisée. Spécifique — un consentement doit couvrir une seule finalité précise (ex. : « j'accepte de recevoir la newsletter mensuelle » est un consentement valide pour l'envoi de la newsletter, pas pour la transmission à des partenaires ou pour le ciblage publicitaire — ces finalités nécessitent des consentements séparés).

Éclairé — l'information sur la finalité, l'identité du RT, la durée de conservation et les droits de l'utilisateur doit être fournie avant le recueil du consentement et de façon claire et compréhensible (pas noyée dans des conditions générales de 50 pages). Un consentement recueilli sans information préalable suffisante est nul. Univoque — un acte positif clair est requis : cocher une case non pré-cochée, cliquer sur un bouton « J'accepte » après avoir eu la possibilité de refuser. Le silence, le défilement d'une page, ou une case pré-cochée ne constituent pas un consentement valide (CJUE, 1er octobre 2019 — Planet49).

Gestion des preuves de consentement

La preuve du consentement doit être conservée aussi longtemps que le traitement fondé sur ce consentement est actif, plus un délai supplémentaire pour couvrir les éventuelles prescriptions et litiges. Les preuves nécessaires : journal de consentement (timestamp, user ID ou email, finalité consentie, version du bandeau/formulaire au moment du recueil, choix effectué), mécanisme de versioning du bandeau de consentement (pour prouver ce que l'utilisateur a vu et accepté), et mécanisme de retrait et preuve de sa prise en compte.

Des CMP (Consent Management Platform) comme Axeptio, Didomi, OneTrust, TrustArc conservent automatiquement ces preuves. En cas de contrôle CNIL ou de litige, le DPO doit être capable de présenter pour n'importe quel utilisateur la preuve que son consentement a été valablement obtenu (ou qu'une autre base légale est applicable si le consentement n'a pas été recueilli). L'absence de preuve de consentement pour un traitement fondé sur le consentement est une violation directe de l'art. 7.1 RGPD.

Alternatives au consentement

Le consentement n'est pas la seule base légale disponible sous le RGPD. Pour de nombreux traitements professionnels, d'autres bases légales sont préférables car elles ne dépendent pas de la volonté de la personne et ne peuvent pas être retirées : exécution d'un contrat (art. 6.1b — traitement nécessaire à l'exécution d'un contrat avec la personne) ; obligation légale (art. 6.1c — traitement nécessaire au respect d'une obligation légale) ; intérêts vitaux (art. 6.1d) ; mission d'intérêt public (art. 6.1e) ; intérêt légitime (art. 6.1f — traitement nécessaire aux fins des intérêts légitimes du RT ou d'un tiers, sauf si ces intérêts sont supplantés par les intérêts ou libertés fondamentales de la personne concernée). L'intérêt légitime nécessite un Legitimate Interest Assessment (LIA) documenté pour vérifier la proportionnalité.

Le choix de la bonne base légale est une décision juridique que le DPO doit documenter pour chaque traitement dans le registre des traitements. Changer de base légale en cours de traitement est en principe possible mais doit être justifié et notifié aux personnes. La CNIL a précisé dans ses lignes directrices les bases légales adaptées aux traitements les plus courants (fidélisation clients : intérêt légitime ; marketing direct : intérêt légitime pour les clients existants, consentement pour les prospects ; RH : contrat et obligation légale ; vidéosurveillance : intérêt légitime).