Au sens du RGPD, le consentement correspond à une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte le traitement de ses données personnelles pour une ou plusieurs finalités précises. Il constitue l’une des six bases légales prévues par le RGPD permettant de fonder un traitement.
Pour les entreprises, recueillir le consentement ne consiste pas simplement à ajouter une case à cocher ou un bandeau cookies. Il faut d’abord vérifier que cette base correspond réellement au traitement envisagé, puis s’assurer que la personne comprend ce qu’elle accepte, qu’elle peut refuser librement et que son choix pourra être prouvé.
Le Cabinet Bouchara & Avocats accompagne les entreprises dans leur mise en conformité RGPD, notamment pour sécuriser leurs parcours de consentement.
Points à retenir
- Le consentement est l’une des six bases légales prévues par le RGPD.
- Il doit résulter d’une volonté libre, spécifique, éclairée et univoque.
- Le responsable de traitement doit pouvoir prouver dans quelles conditions il a été recueilli.
- La personne peut retirer son consentement à tout moment, aussi facilement qu’elle l’a donné.
Dans quels cas faut-il demander le consentement ?
Le bon point de départ est la finalité du traitement.
L’article 6 du RGPD prévoit plusieurs bases juridiques : le consentement, l’exécution d’un contrat, le respect d’une obligation légale, la sauvegarde des intérêts vitaux, l’exécution d’une mission d’intérêt public et l’intérêt légitime.
Une entreprise de e-commerce peut ainsi utiliser l’adresse de son client pour livrer sa commande sur le fondement de l’exécution du contrat. Demander en plus son consentement n’apporte rien.
La situation change si les mêmes données sont utilisées pour une autre finalité, par exemple certaines opérations de prospection ou de profilage.
Le responsable de traitement doit donc choisir la base adaptée pour chaque finalité, avant de commencer le traitement. Le consentement est pertinent lorsque le traitement repose effectivement sur cette base légale et que la personne doit pouvoir exercer un choix libre et éclairé quant à l’utilisation de ses données.
À quoi reconnaît-on un consentement RGPD valable ?
Le RGPD retient quatre critères : le consentement doit être libre, spécifique, éclairé et univoque (article 4, 11° du RGPD).
| Critère | En pratique |
|---|---|
| Libre | La personne doit pouvoir refuser sans subir de désavantage indu, notamment lorsque le traitement n’est pas nécessaire à l’exécution du service demandé. |
| Spécifique | Elle doit savoir à quelle utilisation précise de ses données elle donne son accord. |
| Éclairé | Les informations utiles doivent lui être présentées avant qu’elle fasse son choix. |
| Univoque | Son accord doit résulter d’un acte positif clair. |
Une case précochée, le silence ou la simple poursuite de la navigation ne permettent pas de recueillir un consentement valable.
Lorsque plusieurs finalités sont poursuivies, elles doivent être présentées de façon suffisamment distincte. Une formule générale comme « J’accepte l’utilisation de mes données à des fins commerciales et par les partenaires » peut être trop large si elle ne permet pas de comprendre les différents usages et, lorsque cela est nécessaire, d’exprimer un choix distinct pour ces différentes finalités.
Pour que le consentement soit éclairé, la personne doit notamment connaître l’identité du responsable du traitement, les finalités poursuivies, les catégories de données concernées et la possibilité de retirer son consentement. Selon le traitement, d’autres informations peuvent être nécessaires, par exemple sur les destinataires des données.
Ces informations n’ont pas besoin d’être toutes reproduites dans le formulaire. Elles peuvent être présentées en plusieurs niveaux, à condition que les éléments utiles au choix soient accessibles au moment où le consentement est demandé.
Enfin, le consentement univoque doit être distingué du consentement explicite, exigé dans certaines situations particulières, notamment lorsqu’il est utilisé pour permettre le traitement de certaines données relevant des catégories particulières de données au sens de l’article 9 du RGPD.
Comment recueillir et prouver le consentement ?
Le RGPD n’impose pas une forme unique. Une case à cocher, un bouton ou une déclaration peuvent convenir dès lors que le choix est clair et résulte d’un acte positif.
La difficulté apparaît surtout au moment de la preuve.
L’article 7 du RGPD impose au responsable de traitement d’être en mesure de démontrer que la personne a bien donné son consentement. Il faut donc pouvoir retrouver :
- la date et les modalités du recueil ;
- la finalité acceptée ;
- la version du formulaire ou du texte présenté ;
- l’action réalisée par la personne ;
- les éventuels retraits ou modifications intervenus ensuite.
Une simple mention « consentement : oui » dans un CRM apporte peu de garanties si l’entreprise ne peut plus retrouver ce que la personne avait effectivement accepté.
Cette question compte aussi lorsque le consentement est recueilli par un partenaire. Dans l’affaire Criteo, le Conseil d’État a confirmé le 4 mars 2026 qu’un responsable du traitement devait pouvoir en apporter la preuve même lorsque le recueil avait été confié à des tiers.
La clause par laquelle un partenaire affirme avoir obtenu les consentements ne dispense donc pas l’entreprise de vérifier les conditions dans lesquelles le consentement a été recueilli et de disposer d’une preuve exploitable de celui-ci.
Comment gérer le retrait du consentement ?
La personne peut retirer son consentement à tout moment. Le RGPD prévoit que cette démarche doit être aussi simple que celle qui lui a permis de le donner.
Un accord recueilli en quelques clics ne devrait donc pas nécessiter ensuite un courrier ou un parcours difficile à trouver pour être retiré.
Le retrait ne remet pas en cause les traitements réalisés auparavant sur la base d’un consentement valable. Pour l’avenir, l’entreprise doit en revanche cesser les traitements qui reposaient sur cette base de licéité.
Elle doit aussi vérifier que le retrait est bien répercuté dans les outils concernés : CRM, campagnes marketing, plateforme de gestion des cookies ou bases transmises à des partenaires.
La question doit donc être pensée dès la conception du parcours. Un bouton « retirer mon consentement » reste insuffisant si l’information ne circule pas ensuite dans les systèmes qui utilisent les données.
Consentement ou intérêt légitime : comment choisir ?
L’intérêt légitime est une base légale distincte du consentement. Il peut être retenu lorsqu’une entreprise poursuit un objectif réel et licite, que le traitement est nécessaire pour l’atteindre et qu’il ne porte pas une atteinte excessive aux droits et libertés des personnes concernées.
Cette base peut concerner, selon les cas, des traitements liés à la sécurité des réseaux, à la prévention de la fraude, à la gestion administrative interne ou à la prospection commerciale.
L’entreprise doit toutefois procéder à une mise en balance entre son intérêt et celui des personnes concernées. Cette analyse tient compte de la nature des données, du contexte du traitement, des attentes raisonnables des personnes et des garanties mises en place.
Le choix de la base légale doit intervenir avant la mise en œuvre du traitement. Lorsqu’un traitement repose sur l’intérêt légitime, l’opposition de la personne concernée impose en principe d’y mettre fin, sauf si le responsable peut justifier de motifs légitimes et impérieux prévalant sur ses droits et libertés. En matière de prospection commerciale, l’opposition doit en revanche être respectée sans qu’il soit possible d’invoquer de tels motifs. L’intérêt légitime ne peut pas non plus se substituer au consentement lorsque celui-ci est imposé par les textes, notamment pour certains cookies et traceurs.
Cookies et publicité en ligne : quand faut-il recueillir le consentement ?
Les cookies présentent une particularité : les règles relatives aux traceurs et celles relatives au traitement de données personnelles peuvent se cumuler.
L’article 82 de la loi Informatique et Libertés impose en principe le consentement avant certaines opérations de lecture ou d’écriture sur le terminal de l’utilisateur.
Certains traceurs sont toutefois exemptés, notamment lorsqu’ils sont strictement nécessaires à la fourniture d’un service expressément demandé.
Lorsqu’un consentement est requis, l’utilisateur doit pouvoir accepter ou refuser de manière claire. La poursuite de la navigation ne suffit pas.
Il faut ensuite examiner les traitements réalisés à partir des informations collectées : finalités poursuivies, données utilisées, destinataires, partenaires impliqués et base juridique applicable au traitement de ces données.
Cette articulation entre le régime des traceurs et celui des traitements de données personnelles se retrouve également pour certains pixels de suivi, notamment lorsqu’ils sont utilisés dans les courriels.
Pixels de suivi dans les courriels : quand le consentement est-il nécessaire ?
Les pixels de suivi, notamment utilisés dans les courriels, permettent de collecter certaines informations sur l’ouverture et la consultation des messages. La CNIL a adopté en mars 2026 une recommandation spécifique à l’utilisation des pixels de suivi dans les courriels, publiée le 14 avril 2026.
Le consentement est notamment requis lorsque le pixel est utilisé pour mesurer et optimiser les performances d’une campagne, personnaliser les contenus, créer des profils à partir des préférences des destinataires ou réaliser certaines analyses de comportement.
La CNIL prévoit toutefois certaines exemptions, notamment pour les pixels utilisés exclusivement à des fins de sécurité liées à l’authentification ou, sous des conditions strictes, pour mesurer individuellement la délivrabilité des courriels. Dans ce dernier cas, les données collectées doivent être limitées à ce qui est strictement nécessaire, notamment pour identifier les destinataires inactifs et adapter ou interrompre les envois.
Lorsqu’un consentement est nécessaire, il doit être recueilli avant l’utilisation du pixel, dans des conditions permettant à la personne de comprendre les finalités poursuivies et de refuser ou retirer son consentement aussi facilement qu’elle peut l’accepter.
L’entreprise doit donc distinguer, pour chaque usage du pixel, les finalités poursuivies, les données collectées et les éventuelles exemptions applicables, puis documenter le choix effectué.
Comment auditer le recueil du consentement dans votre entreprise ?
Pour chaque traitement fondé sur le consentement, quelques vérifications permettent de voir rapidement si le dispositif tient juridiquement et techniquement.
| Point à contrôler | Question à se poser |
|---|---|
| Base légale | Le consentement est-il vraiment la base adaptée à cette finalité ? |
| Liberté du choix | La personne peut-elle refuser sans perdre un service qui ne dépend pas du traitement concerné ? |
| Finalités | Les usages distincts peuvent-ils être acceptés ou refusés séparément ? |
| Information | La personne comprend-elle clairement ce qu’elle accepte au moment où elle donne son consentement ? |
| Preuve | Pouvez-vous retrouver qui a consenti, quand, comment et sur la base de quelle information ? |
| Prestataires | Vos CMP, CRM, agences ou partenaires permettent-ils eux aussi de retrouver cette preuve ? |
| Retrait | Le retrait est-il bien répercuté dans tous les outils concernés ? |
| Évolution du traitement | Une nouvelle finalité ou une modification substantielle du traitement impose-t-elle de demander un nouveau consentement ? |
L’audit fait souvent apparaître deux types de problèmes : des consentements mal recueillis ou mal documentés, mais aussi des consentements demandés alors qu’une autre base légale serait plus adaptée.
Le Cabinet Bouchara & Avocats peut analyser les bases légales retenues, revoir les parcours et formulaires de consentement, auditer les dispositifs cookies et organiser la preuve. Son intervention peut également porter sur les contrats avec les prestataires et partenaires, la gestion du retrait et l’assistance de l’entreprise en cas de contrôle ou de procédure devant la CNIL.
FAQ
Combien de temps un consentement RGPD reste-t-il valable ?
Le RGPD ne fixe pas une durée de validité générale applicable à tous les consentements. Il faut surtout vérifier que les conditions dans lesquelles il a été recueilli restent les mêmes. Une modification importante de la finalité, des données utilisées ou des conditions du traitement peut imposer de réexaminer sa validité et, selon les cas, de solliciter un nouveau consentement.
Le consentement est-il obligatoire pour traiter des données sensibles ?
Pas nécessairement. Le traitement des données sensibles est en principe interdit par l’article 9 du RGPD, mais plusieurs exceptions sont prévues. Le consentement explicite de la personne en est une. Il faut toutefois également disposer d’une base légale au titre de l’article 6 du RGPD.
Peut-on conditionner l’accès à un service au consentement ?
Cela dépend du traitement concerné. Si les données sont nécessaires à l’exécution du service demandé, le traitement peut relever d’une autre base légale. Si l’utilisation des données est facultative, refuser son consentement ne doit en principe pas priver la personne du service ni lui faire subir de conséquences négatives. Dans le cas contraire, le caractère libre du consentement peut être contesté.
Le consentement est-il obligatoire pour la prospection commerciale ?
Cela dépend du canal utilisé et du destinataire. Pour la prospection commerciale par voie électronique auprès de particuliers, le consentement préalable est en principe requis (article L. 34-5 du CPCE). Des règles différentes peuvent s’appliquer dans certaines situations, pour la prospection entre professionnels ou lorsqu’un client est sollicité pour des produits ou services analogues proposés par la même entreprise. L’entreprise doit toujours vérifier le régime applicable avant d’utiliser les coordonnées à des fins commerciales.
Sources
- Règlement (UE) 2016/679 du 27 avril 2016 (RGPD), notamment articles 4, 6, 7 et 9
- Loi Informatique et Libertés du 6 janvier 1978, article 82
- Conseil d’État, 4 mars 2026, n° 482872, Société Criteo
- CNIL, recommandation relative aux pixels de suivi dans les courriels, adoptée par délibération n° 2026-042 du 12 mars 2026
- Code des postes et des communications électroniques, article L.34-5
