Consentement RGPD : les erreurs qui exposent votre entreprise

Quand le consentement est-il la bonne base légale ?

Le RGPD prévoit six bases légales pour traiter des données personnelles. Le consentement n’est pas toujours la plus adaptée — et recourir au consentement quand une autre base légale serait plus appropriée crée des obligations inutiles.

Le consentement est pertinent notamment pour : l’envoi de newsletters, le dépôt de cookies non essentiels, le traitement de données sensibles (santé, opinions politiques…), ou tout traitement pour lequel vous ne pouvez pas vous appuyer sur l’exécution d’un contrat ou un intérêt légitime.

Les conditions d’un consentement valide

Pour être valide au sens du RGPD, le consentement doit être :

• Libre : il ne peut pas être conditionné à l’accès à un service (pas de « consentez ou payez » sauf dans des cas très encadrés)
• Spécifique : un consentement global pour « toutes les utilisations possibles » n’est pas valide — chaque finalité doit faire l’objet d’un consentement distinct
• Éclairé : la personne doit savoir précisément à quoi elle consent, qui traitera ses données et dans quel but
• Univoque : le consentement doit résulter d’un acte positif clair — une case pré-cochée ne vaut pas consentement

Les erreurs les plus fréquentes

• La case « J’accepte les CGU et la politique de confidentialité » cochée par défaut
• Le consentement obtenu via les CGU sans mention explicite des traitements
• L’absence de mécanisme simple pour retirer le consentement
• Le recueil du consentement oral sans preuve conservée
• L’utilisation d’un consentement unique pour plusieurs finalités distinctes

La preuve du consentement

Vous devez être en mesure de prouver à tout moment que le consentement a bien été recueilli, quand et dans quelles conditions. Cette preuve suppose de conserver des traces techniques horodatées des consentements — ce que peu d’entreprises font systématiquement.

Le retrait du consentement

Retirer son consentement doit être aussi simple que de le donner. Un lien de désinscription caché, un processus en plusieurs étapes ou un formulaire postal obligatoire pour se désinscrire d’une newsletter sont des pratiques illégales.

Conclusion

Un consentement mal recueilli est un consentement nul — ce qui signifie que le traitement qui en dépend est lui-même illicite. Vérifier la conformité de ses mécanismes de recueil de consentement est une priorité.

Vous souhaitez vérifier que vos formulaires et mécanismes de consentement sont conformes ? Le Cabinet d’Avocat Mizrahi vous accompagne lors d’une première consultation gratuite de 30 minutes. Consultation gratuite →