Consentement utilisateur : définition

Le consentement utilisateur désigne l’accord donné par une personne physique pour le traitement de ses données personnelles à une finalité déterminée. C’est l’une des six bases légales prévues par le RGPD, aux côtés notamment de l’exécution d’un contrat, du respect d’une obligation légale, de l’intérêt légitime, de la mission d’intérêt public ou de la sauvegarde des intérêts vitaux. Le consentement n’est donc pas la base légale par défaut de tout traitement : il doit être choisi lorsque le traitement repose réellement sur un choix libre de la personne concernée, par exemple dans certains cas de prospection électronique ou pour le dépôt de cookies non essentiels.

Critères de validité

Pour être valide au sens du RGPD, un consentement doit être libre, spécifique, éclairé et univoque. Libre signifie que la personne doit pouvoir refuser sans subir de conséquence négative disproportionnée, ce qui exclut notamment de conditionner l’accès à un service à un consentement sans rapport avec ce service. Spécifique signifie que le consentement porte sur une finalité déterminée, et non sur un ensemble large et indéterminé de traitements. Éclairé suppose que la personne dispose, avant de consentir, d’une information claire sur l’identité du responsable du traitement, la finalité poursuivie, les données concernées et ses droits. Univoque exclut toute forme de consentement implicite ou déduit d’une inaction, comme une case pré-cochée.

Preuve et retrait

Le responsable du traitement doit être en mesure de démontrer, à tout moment, que la personne a effectivement donné son consentement, ce qui implique de conserver une trace de cet accord, sa date et son contenu exact. Le retrait du consentement doit être aussi simple que son octroi initial. Le retrait n’affecte pas la licéité des traitements réalisés avant celui-ci, mais il interdit de continuer le traitement fondé sur ce consentement.

Distinction avec l’opt-in

Le consentement est le concept juridique ; l’opt-in est le mécanisme d’interface qui permet de le matérialiser concrètement, par exemple une case à cocher non pré-cochée dans un formulaire. Un opt-in mal conçu, avec une formulation ambiguë ou une case pré-cochée, ne produit pas un consentement valide même s’il en a l’apparence.

Application en contexte B2B

En prospection B2B, l’exigence de consentement varie selon le canal, la finalité et la nature des données utilisées. Les données relatives aux personnes morales ne relèvent pas du même régime que les données permettant d’identifier une personne physique. Dès qu’une adresse email nominative, un numéro direct ou un nom associé à une fonction est utilisé, le traitement concerne une personne physique, même dans un contexte professionnel. Selon le cas, la prospection peut nécessiter un consentement préalable ou reposer sur un autre cadre, à condition que la personne soit informée et puisse s’opposer facilement lorsque ce droit d’opposition s’applique.

Limites

Un consentement valide à un instant donné ne le reste pas nécessairement indéfiniment : il doit être réévalué si la finalité du traitement évolue, si le contexte de collecte change, ou si son ancienneté affaiblit la capacité à démontrer un choix toujours éclairé. Un consentement recueilli pour une finalité ne peut pas être étendu à d’autres usages sans nouvelle information de la personne concernée, voire sans nouveau consentement lorsque la nouvelle finalité l’exige.

Voir aussi

Opt-in
RGPD
Données personnelles

Sources et références

CNIL. Les bases légales : le consentement. Critères de validité du consentement et conditions de recueil au sens du RGPD.

CNIL. La prospection commerciale par courrier électronique, SMS-MMS et automate d’appel. Règles relatives à l’information, au consentement et au droit d’opposition dans le cadre de la prospection électronique.