Comment gérer et prouver les consentements reçus ?

Le consentement est la base légale la plus visible du RGPD, et la plus fragile. Recueilli à la va-vite, il ne vaut rien et emporte avec lui la licéité du traitement. Le gérer correctement suppose autant d'organisation que de rédaction. Cet article donne des repères généraux et ne constitue pas un conseil juridique.

Ce qui rend un consentement valable

Quand le consentement n'est pas le bon outil

Demander un accord pour un traitement que la personne ne peut pas refuser crée une illusion de choix. Facturer une commande, conserver une pièce comptable ou sécuriser un site ne relèvent pas du consentement mais d'autres bases légales. À l'inverse, la prospection commerciale par voie électronique et les traceurs non essentiels en dépendent, comme le détaille notre article sur le bandeau cookies.

Le contexte compte aussi. Entre un employeur et un salarié, le déséquilibre rend rarement un consentement réellement libre : d'autres bases sont généralement plus adaptées.

Conserver la preuve

La charge de la démonstration vous revient. Vous devez pouvoir établir, pour chaque personne, qu'un accord a bien été donné et sur quoi il portait. Une trace utile comprend :

• l'identifiant de la personne, généralement son adresse e-mail ;
• la date et l'heure du recueil ;
• l'objectif exact accepté, finalité par finalité ;
• le moyen utilisé : formulaire du site, bulletin papier numérisé, réponse à un message de confirmation ;
• la version du texte affiché au moment de l'accord, car les formulations évoluent ;
• la date et l'objet de tout retrait ultérieur.

Conserver la version du texte affiché est souvent oublié. Sans elle, vous prouvez qu'une case a été cochée, mais pas ce qu'elle disait. Un simple horodatage dans une base, accompagné d'un archivage des formulaires successifs, suffit généralement.

Organiser le recueil et le retrait

1. Séparez les cases : une par objectif, aucune pré-cochée, et jamais de case unique couvrant plusieurs usages.
2. Distinguez le consentement des conditions générales, qui relèvent d'une acceptation contractuelle différente.
3. Confirmez l'inscription par un message demandant une validation : la démarche vérifie l'adresse et constitue une trace solide.
4. Placez un lien de retrait visible dans chaque envoi et sur une page dédiée.
5. Traitez le retrait sans délai et sans demander de justification ni imposer un parcours plus long que l'accord.
6. Propagez l'information vers tous les outils concernés, y compris ceux de vos prestataires.
7. Vérifiez régulièrement que les retraits sont bien pris en compte, en testant vous-même le parcours.

Les erreurs les plus coûteuses

• importer un fichier acquis auprès d'un tiers sans preuve du consentement recueilli par ce tiers ;
• considérer qu'un ancien accord couvre un nouvel objectif apparu depuis ;
• garder un contact dans les envois parce qu'il a acheté autrefois, alors qu'il s'est désinscrit ;
• oublier de rappeler, à l'endroit du recueil, la possibilité de revenir sur son accord ;
• recueillir correctement l'accord sur le site, mais pas dans les formulaires papier ou lors des appels.

Selon les cas, notamment pour les traceurs, la CNIL formule des recommandations précises sur la durée de validité d'un choix : reportez-vous à ses publications. Nos repères sur le formulaire de contact complètent ce sujet. NexSecure peut mettre en place ce suivi des consentements dans le cadre de son offre de conformité RGPD.