L’article 7 du RGPD fixe les conditions d’un consentement valable : l’entreprise doit pouvoir prouver qu’il a été donné, la demande doit être distincte des autres clauses et rédigée en termes simples, la personne peut le retirer à tout moment aussi facilement qu’elle l’a donné, et il n’est pas libre lorsqu’un service est conditionné à un traitement qui n’est pas nécessaire. En pratique, une case non pré-cochée, une preuve horodatée et un lien de désinscription couvrent l’essentiel.
L’essentiel
- Quatre exigences : preuve, demande distincte et claire, retrait à tout moment, liberté réelle.
- Le consentement est une base légale parmi six : il ne s’impose que pour les traitements facultatifs (newsletter à des prospects, cookies non essentiels, réutilisation commerciale).
- Un consentement non prouvable équivaut à une absence de consentement.
- Le retrait n’efface pas la licéité du traitement passé, mais impose d’arrêter le traitement futur.
Ce que dit l’article 7
| Paragraphe | Ce que dit le texte |
|---|---|
| 7.1 – Preuve | Lorsque le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne a consenti. |
| 7.2 – Forme | Si le consentement est donné dans une déclaration écrite qui concerne aussi d’autres questions, la demande est présentée de manière clairement distincte, sous une forme compréhensible, en termes clairs et simples. Une partie de la déclaration qui contrevient au règlement n’est pas contraignante. |
| 7.3 – Retrait | La personne peut retirer son consentement à tout moment ; le retrait ne compromet pas la licéité du traitement antérieur ; elle en est informée avant de consentir ; il est aussi simple de retirer que de donner son consentement. |
| 7.4 – Liberté | Pour déterminer si le consentement est libre, il est tenu compte de la question de savoir si l’exécution d’un contrat ou la fourniture d’un service est subordonnée à un consentement au traitement de données qui n’est pas nécessaire à ce contrat. |
La définition même du consentement se trouve à l’article 4 : une manifestation de volonté libre, spécifique, éclairée et univoque, par une déclaration ou un acte positif clair. L’article 7 en tire les conséquences pratiques.
Ce que cela change pour une PME
Un acte positif, jamais un silence
Case pré-cochée, bandeau « en poursuivant votre navigation vous acceptez », inscription automatique à la newsletter lors d’une commande : aucun de ces procédés ne vaut consentement. Il faut une case à cocher vide, un bouton d’acceptation ou une action équivalente, distincte de la validation du contrat ou des conditions générales.
Une preuve conservée
Votre outil d’e-mailing enregistre la date, l’origine et le texte de la case cochée ; votre gestionnaire de cookies journalise les choix des visiteurs ; un formulaire papier est daté et archivé. En cas de plainte, c’est cette trace qui vous protège.
Un retrait aussi simple que l’accord
Un lien de désinscription dans chaque e-mail, un bouton « refuser » aussi visible que « accepter » sur le bandeau de cookies, et une possibilité de revenir sur son choix depuis le site. Demander d’écrire un courrier pour se désinscrire d’une newsletter contrevient au paragraphe 3.
Pas de consentement forcé
Conditionner l’accès à un devis à l’acceptation de la newsletter, ou l’accès à un contenu à l’acceptation des cookies publicitaires sans alternative raisonnable, rend le consentement non libre. Le traitement nécessaire au service relève du contrat ; l’usage facultatif relève d’un consentement séparé. Cette logique de consentement granulaire est détaillée dans un article dédié.
Savoir quand ne pas demander de consentement
Demander un consentement pour un traitement qui repose sur le contrat ou sur une obligation légale est une erreur : la personne pourrait le retirer et l’entreprise ne pourrait pas y donner suite. Le choix de la base légale est expliqué à l’article 6.
Ce que la CNIL a sanctionné sur ce fondement
| Décision | Montant | Manquement retenu |
|---|---|---|
| Criteo, 15 juin 2023 | 40 millions d’euros | Incapacité à démontrer que les internautes avaient consenti au dépôt du traceur par les sites partenaires (article 7.1) ; la CNIL rappelle que celui qui se prévaut d’un consentement doit en apporter la preuve, même s’il est recueilli par un tiers. |
| TagadaMedia, janvier 2025 | 75 000 euros | Formulaires de collecte de prospects qui ne permettaient pas de recueillir un consentement conforme : présentation trompeuse, absence de choix réel ; injonction de les corriger sous un mois. |
La leçon des deux décisions est la même : un consentement existe juridiquement quand on peut le prouver et quand la personne a réellement eu le choix, pas quand une case figure sur un formulaire.
Les questions que je pose en audit
- Pour quels traitements le consentement est-il réellement la bonne base, et lesquels devraient reposer sur le contrat ou l’intérêt légitime ?
- Montrez-moi le formulaire : la case est-elle vide par défaut, distincte des conditions générales, et son texte dit-il à quoi la personne consent ?
- Dans votre outil d’e-mailing, pouvez-vous exporter pour chaque contact la date et l’origine de son inscription ?
- Combien de contacts ont été importés à la main (salon, fichier, partenaire), et sur quelle preuve ?
- Votre bandeau de cookies bloque-t-il les traceurs avant le choix, et le bouton « refuser » est-il aussi visible qu’« accepter » ?
- Comment une personne retire-t-elle son consentement, et en combien de clics ?
- Quand avez-vous renouvelé le consentement cookies pour la dernière fois ?
Prêt à l’emploi : trois formulations conformes
Newsletter (case vide, sous le formulaire) : « J’accepte de recevoir la lettre d’information mensuelle de [entreprise]. Je peux me désinscrire à tout moment via le lien présent dans chaque envoi. Pour en savoir plus sur l’usage de mes données, voir la politique de confidentialité. »
Transmission à des partenaires (case distincte, jamais couplée à la précédente) : « J’accepte que mes coordonnées soient transmises à [liste nominative des partenaires] afin de recevoir leurs offres. Je peux retirer cet accord à tout moment en écrivant à [adresse]. »
Information sur le retrait (politique de confidentialité) : « Lorsqu’un traitement repose sur votre consentement, vous pouvez le retirer à tout moment, sans que cela remette en cause les traitements effectués avant ce retrait. Le retrait s’effectue depuis le lien de désinscription, depuis votre compte, ou par e-mail à [adresse]. »
Et en Suisse ?
La nLPD définit le consentement à son article 6, alinéa 6 : il doit être donné librement, pour un ou plusieurs traitements déterminés, après une information adéquate, et de manière expresse pour les données sensibles, le profilage à risque élevé et certains cas particuliers. La nLPD n’exige toutefois pas de consentement par principe, puisque le traitement y est licite tant qu’il ne porte pas atteinte à la personnalité. Voir le guide nLPD.
Ce que je constate en mission. La preuve du consentement est le point qui manque le plus souvent : l’entreprise a bien une case à cocher, mais l’export de sa liste de diffusion ne dit ni quand ni comment chaque contact a été ajouté, parce que des adresses ont été importées à la main depuis un salon ou un ancien fichier. Avant de corriger le formulaire, il faut trier la liste existante, et c’est souvent là que se joue la conformité réelle.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Combien de temps un consentement reste-t-il valable ?
Le règlement ne fixe pas de durée, mais le consentement doit rester actuel. Pour les cookies, la CNIL recommande de le renouveler au plus tard tous les six mois ; pour une newsletter, un contact inactif depuis trois ans doit être supprimé ou sollicité à nouveau.
Faut-il le consentement des salariés ?
Rarement, parce que le lien de subordination rend la liberté du consentement douteuse. La gestion des ressources humaines repose sur le contrat de travail et les obligations légales ; le consentement ne se justifie que pour des usages réellement facultatifs, comme la publication d’une photo sur le site.
Et pour les mineurs ?
Pour les services en ligne proposés directement aux enfants, l’article 8 exige l’autorisation du titulaire de l’autorité parentale en dessous de 15 ans en France.
Vérifier vos consentements
Formulaires, bandeau de cookies et listes de diffusion sont contrôlés lors de tout audit RGPD ; l’étape 4 de notre guide mise en conformité en 7 étapes permet de le faire soi-même.
Sources
- Règlement (UE) 2016/679, article 7
- CNIL – Le consentement
- Le Monde Informatique – Criteo condamné à 40 M€ par la CNIL (juin 2023)
- CB News – La CNIL sanctionne TagadaMedia (janvier 2025)
