Lexique · Gouvernance & conformité
Consentement
Manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte, par une déclaration ou un acte positif clair, que ses données personnelles soient traitées (RGPD, article 4, point 11). C'est l'une des six bases légales du RGPD, dont le responsable de traitement doit pouvoir démontrer la validité.
- Rubrique
- Gouvernance
- Mise à jour
- Articles
- 2
Notions liées
Sources · 5
- [1] Conformité RGPD : comment recueillir le consentement des personnes ? (CNIL)
- [2] Le règlement général sur la protection des données, chapitre I : dispositions générales (CNIL)
- [3] Le règlement général sur la protection des données, chapitre II : principes (CNIL)
- [4] Lignes directrices 5/2020 sur le consentement au sens du règlement (UE) 2016/679 (Comité européen de la protection des données)
- [5] Décision n° 430810 du Conseil d'État du 19 juin 2020, Google LLC, traduction de courtoisie (CNIL)
Ce que ça change pour une organisation
Le consentement n’est pas la base légale par défaut : le RGPD en prévoit six, et le responsable de traitement peut s’appuyer sur une autre, comme le contrat ou l’intérêt légitime, lorsque la situation s’y prête. S’il retient le consentement, quatre critères cumulatifs s’appliquent : il doit être libre, spécifique, éclairé et univoque. Une case pré-cochée, un consentement groupé pour plusieurs traitements distincts ou l’absence de réponse ne suffisent donc pas.
L’organisation doit pouvoir prouver le consentement (article 7, paragraphe 1), ce qui suppose de documenter ses conditions de recueil, par exemple dans un registre des consentements. La personne peut le retirer à tout moment, et il doit être aussi simple de le retirer que de le donner (article 7, paragraphe 3). Le caractère libre est en outre mis en doute lorsque l’exécution d’un contrat dépend d’un consentement à un traitement qui n’y est pas nécessaire (article 7, paragraphe 4).
Certaines situations exigent un consentement explicite, c’est-à-dire une déclaration expresse : la CNIL cite les données sensibles et la décision entièrement automatisée.
Exemple
Le 21 janvier 2019, la CNIL a sanctionné Google LLC de 50 millions d’euros (délibération SAN-2019-001), notamment pour le recueil du consentement à la personnalisation des publicités. Le Conseil d’État a rejeté le recours de la société le 19 juin 2020 (décision n° 430810) : un consentement donné par défaut au moyen d’une case pré-cochée ne résulte pas d’un acte positif clair, et un consentement recueilli dans l’acceptation globale des conditions d’utilisation d’un service n’est pas spécifique.
À ne pas confondre avec
- La base légale : notion plus large, dont le consentement n’est qu’une des six formes, aux côtés notamment du contrat, de l’obligation légale et de l’intérêt légitime.
- Le droit d’opposition : il vise d’abord les traitements fondés sur l’intérêt légitime ou sur une mission d’intérêt public (article 21), tandis que le consentement se retire (article 7, paragraphe 3).
- L’information des personnes : elle est une condition d’un consentement éclairé, mais une simple information ne vaut pas accord.
