Consentement RGPD : les règles à respecter sur votre site

Une startup déploie un nouveau formulaire d'inscription, coche par défaut l'abonnement à la newsletter et lance sa campagne d'acquisition. Quelques mois plus tard, un investisseur demande, en due diligence, comment l'entreprise prouve l'accord de chaque utilisateur. Le silence qui suit coûte cher. Le consentement est une mécanique juridique précise, pas une formalité décorative. Bien maîtrisé, il devient un atout lors de vos levées et de vos contrats grands comptes.

L'essentiel en 30 secondes. Le consentement RGPD doit être libre, spécifique, éclairé et univoque, et reposer sur un acte positif clair. Vous devez pouvoir le prouver à tout moment et permettre un retrait aussi simple que le recueil. Le consentement n'est qu'une base légale parmi six : choisir la bonne sécurise vos traitements.

Les quatre critères d'un consentement valable

L'article 4.11 du RGPD définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque. Ces quatre adjectifs ne sont pas des synonymes décoratifs. Chacun pose une condition autonome que la CNIL contrôle.

Le caractère libre suppose une absence de pression et un vrai choix. Conditionner l'accès à un service à l'acceptation d'un traitement non nécessaire prive le consentement de sa liberté. Le critère spécifique impose un accord distinct pour chaque finalité. Vous ne pouvez pas regrouper l'envoi de prospection, le profilage publicitaire et le partage à des partenaires sous une seule case unique.

Le consentement éclairé exige une information préalable, claire et compréhensible. La personne doit savoir qui traite ses données, pour quoi faire et avec quels effets. Enfin, le caractère univoque impose une volonté dépourvue d'ambiguïté. Un silence, une inaction ou une fenêtre fermée ne valent jamais accord.

L'acte positif clair : la fin des cases pré-cochées

L'article 7 du RGPD et la jurisprudence européenne convergent sur un point. Le consentement résulte d'un acte positif clair par lequel la personne accepte le traitement. Cocher une case, cliquer sur un bouton dédié ou paramétrer activement un réglage répond à cette exigence.

Les cases pré-cochées sont interdites. Une case déjà remplie reporte sur l'utilisateur la charge de refuser, ce qui inverse la logique du texte. Les formules par défaut, les acceptations groupées et les renonciations implicites subissent la même sanction. Concevez vos interfaces pour que rien ne soit accepté tant que la personne n'a pas agi.

Cette exigence façonne directement le travail de vos équipes produit et design. Un parcours d'inscription doit présenter chaque finalité de manière distincte et neutre. Les pratiques manipulatrices, qui orientent le choix vers l'acceptation par la couleur ou la taille des boutons, fragilisent la validité du consentement. La loyauté de l'interface protège la solidité juridique du recueil.

Prouver le consentement : une obligation, pas une option

L'article 7.1 du RGPD impose au responsable de traitement de démontrer que la personne a consenti. Cette charge de la preuve repose sur vous, jamais sur l'utilisateur. Un consentement non documenté équivaut, en pratique, à une absence de consentement.

Conservez donc les éléments utiles : date du recueil, version de l'information affichée, finalités acceptées et modalité technique employée. Ces journaux de preuve rassurent les auditeurs lors d'une due diligence et raccourcissent les échanges avec un client grand compte exigeant. Une traçabilité propre transforme une obligation défensive en argument commercial.

Pensez cette documentation dès la conception de vos systèmes. Un consentement collecté sans horodatage ni archivage devient impossible à reconstituer après coup. Les outils de gestion des préférences permettent d'automatiser cette trace et d'historiser les choix successifs. Vous disposez alors d'un dossier complet, mobilisable en quelques minutes lors d'un contrôle ou d'un audit client.

Le retrait : aussi simple que le recueil

Le RGPD garantit à chacun le droit de retirer son consentement à tout moment. Ce retrait doit rester aussi simple que le recueil initial. Si l'inscription tient en un clic, la désinscription ne peut imposer un courrier postal ou un parcours dissuasif.

Prévoyez un mécanisme accessible et visible, par exemple un lien de désabonnement dans chaque message ou un réglage dans l'espace personnel. Le retrait ne remet pas en cause la licéité des traitements antérieurs, mais il interrompt le traitement pour l'avenir. Informez la personne de cette portée au moment où elle exprime son choix.

Le cas particulier des mineurs

Le traitement des données d'un mineur appelle une vigilance renforcée. L'article 8 du RGPD encadre l'offre directe de services en ligne aux enfants. En France, l'article 45 de la loi Informatique et Libertés fixe le seuil à quinze ans.

En dessous de cet âge, le traitement suppose le consentement du titulaire de l'autorité parentale, ou son consentement conjoint avec celui du mineur. Une startup proposant un service éducatif ou ludique destiné aux jeunes publics doit donc prévoir un dispositif de vérification proportionné. Cette exigence façonne dès la conception l'architecture du produit.

La vérification de l'âge soulève une difficulté pratique réelle. Le responsable déploie des efforts raisonnables, tenant compte des moyens techniques disponibles, pour s'assurer du consentement parental. Un dispositif trop intrusif collecterait lui-même des données excessives, en contradiction avec le principe de minimisation. L'équilibre se construit au cas par cas, selon la nature du service et le public visé.

Le consentement n'est qu'une base légale parmi six

Une erreur stratégique consiste à fonder tous les traitements sur le consentement. L'article 6 du RGPD prévoit six bases légales distinctes, et le consentement n'en est qu'une. Choisir la base adéquate évite des contraintes inutiles et renforce la solidité juridique du traitement.

L'exécution d'un contrat justifie le traitement nécessaire à la fourniture du service commandé. Le respect d'une obligation légale, la sauvegarde d'un intérêt vital, l'exercice d'une mission d'intérêt public et l'intérêt légitime du responsable complètent l'éventail. La gestion d'un compte client repose souvent sur le contrat, tandis que la prospection vers des particuliers appelle généralement le consentement. Cartographier chaque traitement avec sa base évite de solliciter un accord là où il n'est pas requis.

Le choix de la base légale emporte des conséquences pratiques. Un traitement fondé sur le consentement s'expose au retrait de la personne, qui interrompt alors l'activité concernée. Un traitement fondé sur le contrat suit un régime différent et offre une stabilité plus grande. Sélectionner la base adaptée dès le départ vous épargne des réajustements coûteux et clarifie l'information délivrée