Comment recueillir un consentement valable selon le RGPD ?

Ce que dit le texte

L'article 4 du RGPD définit le consentement comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne accepte, par une déclaration ou par un acte positif clair, que des données la concernant fassent l'objet d'un traitement. L'article 7 complète cette définition : le responsable doit être en mesure de démontrer que la personne a consenti, la demande doit être présentée sous une forme compréhensible et distincte des autres sujets, la personne a le droit de retirer son consentement à tout moment, et le caractère libre s'apprécie notamment au regard du fait qu'un service soit conditionné ou non à un consentement qui n'est pas nécessaire à son exécution.

Un consentement libre

La personne doit avoir un véritable choix. Le consentement n'est pas libre si le refus entraîne des conséquences négatives disproportionnées, s'il est mélangé à l'acceptation des conditions générales ou s'il existe un déséquilibre manifeste de pouvoir, ce qui est souvent le cas entre un employeur et un salarié ou entre une administration et un usager. Le RGPD interdit de conditionner un service à l'acceptation d'un traitement qui n'est pas nécessaire à ce service, ce que l'on appelle le couplage. La question des « murs de cookies », qui subordonnent l'accès à un site à l'acceptation des traceurs, fait l'objet d'une appréciation au cas par cas par la CNIL, en tenant compte notamment de l'existence d'une alternative réelle et équitable.

Un consentement spécifique et éclairé

Chaque finalité distincte appelle un consentement distinct : accepter de recevoir la newsletter d'une marque n'implique pas d'accepter que ses partenaires vous écrivent. L'information doit précéder le consentement et contenir au minimum l'identité du responsable, la finalité de chaque traitement, le type de données collectées, l'existence du droit de retirer son consentement et, le cas échéant, l'utilisation pour une décision automatisée ou un transfert hors de l'Union. Une formulation vague comme « vos données pourront être utilisées pour améliorer votre expérience » ne permet pas un consentement éclairé.

Un consentement univoque, par un acte positif

Le silence, l'inaction ou une case pré-cochée ne valent pas consentement : la Cour de justice l'a jugé dans son arrêt Planet49 du 1er octobre 2019 (affaire C-673/17), à propos d'une case pré-cochée pour accepter des cookies. Continuer à naviguer sur un site ne constitue pas davantage un consentement. Les formes valables sont nombreuses : case à cocher vide à l'origine, bouton « J'accepte » associé à une information claire, interrupteur, signature, réponse orale enregistrée, à condition que le geste ne laisse aucun doute sur la volonté de la personne.

Prouver le consentement

La charge de la preuve pèse sur le responsable du traitement. Il doit conserver la trace de qui a consenti, quand, comment, à quoi exactement (la version de l'information présentée) et, le cas échéant, quand le consentement a été retiré. Pour un formulaire en ligne, cela peut prendre la forme d'un horodatage associé à l'identifiant de la personne et à la version du texte affiché ; pour un consentement papier, de l'archivage du formulaire signé. Ces preuves sont elles-mêmes des données personnelles, à conserver de façon sécurisée et pour une durée proportionnée.

Le retrait du consentement

La personne peut retirer son consentement à tout moment, et ce retrait doit être aussi simple que l'acceptation : un lien de désinscription en un clic dans chaque e-mail, un bouton pour modifier ses choix de cookies accessible en permanence, un interrupteur dans les paramètres d'une application. Le retrait ne remet pas en cause la licéité des traitements réalisés avant, mais il impose d'arrêter ceux qui reposaient sur ce consentement. Les données doivent alors être supprimées si aucune autre base légale ne justifie leur conservation, par exemple une obligation comptable.

Le consentement des mineurs

Pour les services de la société de l'information proposés directement à un enfant, comme un réseau social ou un jeu en ligne, l'article 8 du RGPD fixe en principe à 16 ans l'âge à partir duquel un mineur peut consentir seul, en laissant les États membres l'abaisser jusqu'à 13 ans. La France a retenu l'âge de 15 ans (article 45 de la loi Informatique et Libertés) : en dessous, le consentement doit être donné conjointement par le mineur et le ou les titulaires de l'autorité parentale. Le responsable doit faire des efforts raisonnables pour vérifier ce point, et l'information doit être rédigée dans des termes adaptés à l'âge du public visé.

Quand ne pas utiliser le consentement ?

Le consentement n'est pas la base légale par défaut. Il est inadapté pour les traitements indispensables à la relation (facturation, livraison, paie), pour ceux imposés par la loi, et pour la plupart des traitements de données des salariés. Choisir le consentement dans ces cas fragilise le traitement, puisque son retrait obligerait à l'interrompre. Le guide des bases légales du RGPD aide à identifier le fondement le plus adapté, et la page consacrée aux cookies et traceurs détaille les règles propres aux bandeaux de consentement.

Le consentement dans les relations de travail

Le lien de subordination entre un employeur et un salarié rend le consentement difficile à utiliser. Les lignes directrices européennes sur le consentement (5/2020) considèrent qu'il est peu probable qu'un salarié puisse refuser librement une demande de son employeur sans craindre des conséquences. Le consentement n'est donc envisageable que pour des traitements réellement facultatifs, dont le refus n'emporte aucune conséquence : publication de la photo du salarié sur le site, participation à une vidéo de présentation, inscription à une activité sociale ou sportive organisée par l'entreprise. Pour l'essentiel des traitements de ressources humaines, l'employeur doit s'appuyer sur le contrat de travail, les obligations légales ou son intérêt légitime, et non sur un consentement qui serait fragile et révocable à tout moment.

Les candidats

Le même raisonnement vaut pour les candidats : l'employeur ne peut pas obtenir par un consentement l'autorisation de collecter des informations sans lien avec l'emploi. En revanche, conserver un CV au-delà de la procédure pour une éventuelle offre ultérieure peut être proposé au candidat, à condition de l'informer et de lui permettre de refuser simplement.

Le consentement des patients et des usagers

Dans le domaine de la santé, il faut distinguer le consentement aux soins, régi par le Code de la santé publique, et le consentement au traitement des données au sens du RGPD. Le traitement des données nécessaires à la prise en charge d'un patient ne repose généralement pas sur le consentement du RGPD, mais sur l'exception de l'article 9 relative aux soins et sur les obligations du professionnel ; le patient doit être informé et peut s'opposer à certains échanges. Le consentement explicite est en revanche requis pour certains usages, comme l'utilisation des données pour une recherche non couverte par une méthodologie de référence, ou l'envoi d'informations commerciales par un établissement. Dans les services publics, le consentement est réservé aux services facultatifs, le refus ne devant entraîner aucune perte de droit.

Consentement et cookies

Les cookies sont le terrain où le consentement est le plus visible au quotidien. Les règles de l'article 82 de la loi Informatique et Libertés s'appuient sur la définition du consentement du RGPD : l'utilisateur doit pouvoir accepter ou refuser les traceurs non essentiels, de façon libre, spécifique, éclairée et univoque. La CNIL considère que le refus doit être aussi simple que l'acceptation, que la poursuite de la navigation ne vaut pas consentement et que le choix doit être conservé pendant une durée raisonnable, six mois étant recommandés. La CNIL a publié en janvier 2026 des recommandations sur le consentement multi-terminaux, c'est-à-dire la possibilité de recueillir ou de faire valoir un choix sur plusieurs appareils d'un même utilisateur connecté à son compte.

Le consentement en prospection commerciale

Pour la prospection électronique des particuliers (courriel, SMS), le consentement préalable est la règle, en vertu de l'article L. 34-5 du Code des postes et des communications électroniques, sous réserve de l'exception des clients existants pour des produits analogues. Le consentement doit être recueilli par une case dédiée, non pré-cochée, distincte de l'acceptation des conditions générales, et préciser si les données seront transmises à des partenaires. Depuis le 11 août 2026, le démarchage téléphonique des consommateurs suppose lui aussi leur consentement préalable, en application de la loi du 30 juin 2025. Dans tous les cas, chaque message doit offrir un moyen simple de retirer son accord.

Le consentement à la transmission aux partenaires

Lorsque des coordonnées sont collectées pour être transmises à des partenaires à des fins de prospection, la personne doit savoir au moment de la collecte à qui ses données pourront être transmises, au moins par catégories ou par une liste accessible. La CNIL a sanctionné à plusieurs reprises des courtiers en données pour des formulaires qui mettaient en avant l'acceptation et rendaient le refus difficile, ou qui renvoyaient à des listes de partenaires interminables.

Les pièges de conception à éviter

La manière dont un formulaire ou un bandeau est conçu peut vicier le consentement. Les autorités européennes ont publié en 2023 des lignes directrices sur les « interfaces trompeuses » (dark patterns) dans les réseaux sociaux, qui décrivent les pratiques à proscrire : boutons d'acceptation mis en valeur et refus grisé, formulations culpabilisantes (« Non, je préfère payer plus cher »), demandes répétées après un refus, cases cachées derrière plusieurs clics, informations essentielles noyées dans un long texte. Le règlement sur les services numériques interdit par ailleurs aux plateformes en ligne de concevoir des interfaces qui trompent ou manipulent les utilisateurs.

Consentement et intelligence artificielle

Le consentement est rarement la base légale adaptée pour l'entraînement des grands modèles d'intelligence artificielle, faute de relation directe avec les personnes dont les données ont été collectées. Il peut en revanche être pertinent pour des usages ciblés, comme l'utilisation des conversations d'un utilisateur avec un assistant pour améliorer le service, à condition que l'utilisateur puisse refuser sans perdre l'accès au service et retirer son accord facilement. Plusieurs grands éditeurs proposent désormais un réglage qui permet d'exclure ses conversations de l'entraînement, ce qui illustre l'exigence d'un choix réel.

Gérer les consentements dans la durée

Un consentement n'est pas éternel. Il doit être renouvelé lorsque la finalité change, lorsque de nouveaux partenaires sont ajoutés ou lorsque l'information initiale n'est plus exacte. La CNIL recommande de redemander régulièrement le choix des utilisateurs pour les cookies, et il est de bonne pratique de vérifier périodiquement que les bases de contacts commerciaux reposent sur des consentements encore valables. Une plateforme de gestion du consentement ou un simple tableau de suivi permet de conserver les preuves, de répercuter les retraits dans tous les outils (outil d'envoi de courriels, CRM, réseaux publicitaires) et de démontrer la conformité en cas de contrôle.

Le consentement explicite

Certaines situations exigent un consentement explicite, plus exigeant que le consentement ordinaire : le traitement de données sensibles fondé sur l'article 9, paragraphe 2, a), la décision entièrement automatisée fondée sur l'article 22, paragraphe 2, c), et le transfert de données vers un pays tiers sans garanties appropriées au titre de l'article 49. Le CEPD précise que le caractère explicite renvoie à la manière dont la personne exprime son accord : une déclaration écrite et signée, un formulaire en ligne où la personne coche une case formulée de façon précise (« J'accepte que mes données de santé soient utilisées pour… »), un courriel de confirmation ou une double validation. Un simple comportement, comme la poursuite d'une navigation, ne suffit jamais. L'information doit nommer la catégorie de données sensibles et la finalité, de sorte que la personne sache exactement à quoi elle consent.

Le consentement conditionné à un service

L'article 7, paragraphe 4, exige de tenir le plus grand compte de la question de savoir si l'exécution d'un contrat est subordonnée au consentement à un traitement qui n'est pas nécessaire à ce contrat. C'est la question du « couplage » : un service ne devrait pas être refusé à une personne qui n'accepte pas un traitement accessoire. La pratique du « cookie wall », qui conditionne l'accès à un site à l'acceptation des cookies publicitaires, a été examinée par le Conseil d'État en 2020, qui a jugé qu'elle ne pouvait pas être interdite de manière générale et absolue par une simple recommandation. La CNIL admet désormais, au cas par cas, des modèles « accepter ou payer », à condition qu'une alternative réelle et équitable soit proposée, par exemple un accès payant à un prix raisonnable. Le CEPD a adopté en avril 2024 un avis sur ces modèles pour les grandes plateformes, en estimant qu'elles devraient en principe proposer une troisième voie gratuite avec une publicité moins intrusive.

Les jeux concours et les avantages

Offrir un avantage en échange d'un consentement, comme une remise pour l'inscription à une lettre d'information, n'est pas interdit par principe, tant que l'avantage n'exerce pas une pression telle que la liberté du choix disparaît. Un jeu concours dont la participation est subordonnée à l'acceptation de la prospection par des dizaines de partenaires est plus discutable : la CNIL recommande de distinguer la participation au jeu et l'accord pour la prospection.

Les preuves que la CNIL attend

Lors d'un contrôle, la CNIL peut demander comment le consentement a été recueilli. L'organisme doit alors pouvoir présenter la version du formulaire ou du bandeau en vigueur à la date de la collecte, la date et l'heure du consentement, l'identifiant de la personne ou du terminal, les finalités acceptées et, le cas échéant, la date du retrait. Lorsque des données sont achetées à un fournisseur de fichiers, l'acheteur doit vérifier et pouvoir montrer que les consentements ont été valablement recueillis pour la prospection par des tiers : la CNIL a sanctionné plusieurs entreprises qui s'étaient contentées d'une clause contractuelle sans contrôler les formulaires d'origine.

Les mineurs et le consentement

Pour les services en ligne proposés directement aux enfants, le consentement n'est valable seul qu'à partir de 15 ans en France ; en dessous, il doit être donné conjointement par l'enfant et le titulaire de l'autorité parentale, en application de l'article 45 de la loi Informatique et Libertés. Le responsable doit faire des efforts raisonnables pour vérifier l'âge et l'accord parental, compte tenu des moyens techniques disponibles, sans pour autant collecter plus de données que nécessaire. Une simple déclaration d'âge peut suffire pour un service peu risqué, alors qu'un service exposant l'enfant à des contenus ou à des contacts inadaptés appelle une vérification plus robuste, réalisée de préférence par un tiers de confiance qui ne transmet que l'information « majeur » ou « mineur ».