Article

Recueil du consentement RGPD : règles et bonnes pratiques

Rédigé par Redlina Dernière mise à jour : 1 août 2026 7 minutes de lecture

Cocher une case en bas d'un formulaire ne suffit pas à recueillir un consentement valable au sens du RGPD. Ce règlement impose des conditions précises : sans elles, le consentement recueilli est juridiquement nul, même si l'utilisateur a cliqué sur « j'accepte ».

Cette exigence concerne directement les dirigeants de TPE et de PME : newsletter, prospection commerciale, dépôt de cookies non essentiels, traitement de données sensibles. Chaque fois que le consentement constitue la base légale d'un traitement, sa validité conditionne la légalité de l'ensemble du traitement de données personnelles qui en découle.

Cet article détaille les quatre conditions cumulatives de validité du consentement, les situations où il constitue réellement la base légale appropriée, la manière de le recueillir en pratique, ainsi que les règles applicables à sa preuve et à son retrait.

Accès direct :

Qu'est-ce que le consentement au sens du RGPD ?

Le consentement est défini par l'article 4, paragraphe 11, du RGPD comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l'objet d'un traitement ».

Le consentement n'est qu'une des six bases légales prévues par l'article 6 du RGPD pour justifier un traitement de données personnelles. Les autres bases sont l'exécution d'un contrat, le respect d'une obligation légale, la sauvegarde d'intérêts vitaux, l'exécution d'une mission d'intérêt public, et l'intérêt légitime du responsable du traitement. Retenir systématiquement le consentement, même lorsqu'une autre base légale serait plus adaptée, expose l'entreprise à des difficultés inutiles : parmi les six bases légales, le consentement offre le moins de sécurité juridique au responsable du traitement, puisqu'il peut être retiré à tout moment.

Identifier correctement la base légale de chaque traitement fait partie des obligations RGPD essentielles pesant sur les TPE et PME. Le consentement n'en constitue qu'un cas particulier, à réserver aux situations où aucune autre base ne convient.

Les quatre conditions cumulatives de validité du consentement

Les quatre conditions posées par la définition du RGPD doivent être réunies simultanément. L'absence d'une seule d'entre elles suffit à rendre le consentement invalide, quelle que soit la présentation du formulaire utilisé.

Condition	Ce qu'elle implique concrètement
Libre	La personne dispose d'un choix réel, sans contrainte ni déséquilibre de pouvoir, et l'accès à un service non nécessaire au traitement ne peut pas être conditionné à ce consentement.
Spécifique	Le consentement est recueilli pour une finalité déterminée. Un consentement global couvrant plusieurs finalités distinctes n'est pas valable.
Éclairé	La personne reçoit, avant de consentir, une information claire sur l'identité du responsable, la finalité poursuivie, les destinataires éventuels et la durée de conservation.
Univoque	Le consentement résulte d'un acte positif et clair. Le silence, une case pré-cochée ou une simple inactivité ne valent jamais consentement.

Quand le consentement est-il la base légale à utiliser ?

Le consentement n'est obligatoire que dans certaines situations précises. Dans les autres cas, une autre base légale s'applique déjà, et solliciter un consentement supplémentaire n'apporte rien sur le plan juridique.

Les situations où le consentement est requis

Le consentement constitue la base légale appropriée notamment pour le dépôt de cookies et traceurs non strictement nécessaires au fonctionnement du site, pour la prospection commerciale par voie électronique adressée à des personnes qui ne sont pas déjà clientes, et pour le traitement de données considérées comme sensibles au sens de l'article 9 du RGPD, telles que les données de santé ou les opinions religieuses, sauf exception légale prévue par ce même article.

Les situations où une autre base légale suffit

Livrer un produit commandé, facturer une prestation ou conserver des documents comptables relève de l'exécution d'un contrat ou d'une obligation légale, sans qu'un consentement distinct soit requis. De même, adresser une prospection sur des produits analogues à un client existant peut s'appuyer sur l'intérêt légitime de l'entreprise, à condition de laisser à cette personne la possibilité de s'y opposer facilement. Consigner la base légale retenue pour chaque finalité fait partie du contenu attendu du registre des traitements, que toute entreprise traitant des données personnelles doit tenir à jour.

Comment recueillir un consentement conforme en pratique ?

La conformité du recueil se joue autant dans le fond que dans la forme. Une case techniquement présente mais mal positionnée, ou une formulation ambiguë, suffisent à fragiliser l'ensemble du dispositif.

La case destinée à recueillir le consentement doit être présentée non pré-cochée, distincte des conditions générales d'utilisation, et associée à une seule finalité à la fois. Pour les cookies, les boutons « accepter » et « refuser » doivent être placés au même niveau de visibilité, sans qu'un parcours plus long ou plus complexe soit imposé pour refuser. L'information délivrée juste avant le recueil doit rester cohérente avec celle figurant dans la politique de confidentialité publiée sur le site.

Checklist : recueillir un consentement conforme

Voici les points à vérifier avant de considérer qu'un consentement recueilli sur un formulaire ou une bannière de cookies respecte les exigences du RGPD.

Présenter une case à cocher non pré-cochée pour chaque finalité distincte
Séparer la demande de consentement des conditions générales d'utilisation
Formuler la demande dans un langage clair, sans jargon juridique
Rendre le bouton « refuser » aussi visible que le bouton « accepter »
Informer la personne avant qu'elle ne consente, jamais après
Conserver une preuve horodatée de chaque consentement recueilli

Prouver et conserver le consentement

Le principe de responsabilité posé par l'article 5, paragraphe 2, du RGPD impose au responsable du traitement de démontrer, à tout moment, que le consentement recueilli est valable. L'article 7, paragraphe 1, du RGPD précise que cette charge de la preuve lui incombe exclusivement, et non à la personne concernée.

En pratique, conserver la preuve suppose d'enregistrer, pour chaque consentement recueilli, la date et l'heure exactes, le texte précis présenté à la personne au moment du recueil, la méthode utilisée, ainsi que l'identifiant permettant de rattacher ce consentement à une personne déterminée.

Pour les cookies et traceurs, la CNIL recommande de renouveler le recueil du consentement au bout d'environ six mois, la pertinence d'un consentement ancien devenant discutable avec le temps qui s'écoule depuis son obtention.

Erreur fréquente : le cookie wall et la case pré-cochée

Bloquer l'accès à un site tant que l'utilisateur n'a pas accepté les cookies, sans lui laisser d'alternative, s'appelle un « cookie wall ». La CNIL considère cette pratique comme contraire au caractère libre du consentement, l'utilisateur ne disposant alors d'aucun choix réel.

Une case pré-cochée présente le même défaut : la Cour de justice de l'Union européenne a jugé qu'une case déjà cochée par défaut ne constitue jamais un acte positif clair, quelle que soit la possibilité théorique de la décocher.

Le retrait du consentement

L'article 7, paragraphe 3, du RGPD impose que le retrait du consentement soit aussi simple que son octroi. Un utilisateur qui a consenti en un clic doit pouvoir retirer son consentement en un clic, sans démarche disproportionnée par rapport à celle exigée pour consentir.

Le retrait du consentement n'a pas d'effet rétroactif : les traitements effectués avant le retrait restent licites. Seuls les traitements postérieurs au retrait deviennent dépourvus de base légale, sauf si une autre base légale peut s'appliquer à compter de ce moment.

Le non-respect de ces règles expose l'entreprise à un risque de contrôle et, en cas de manquement caractérisé, à une sanction de la CNIL, dont le montant dépend de la gravité du manquement et de la taille de l'entreprise concernée.

FAQ : recueil du consentement RGPD

Le consentement RGPD doit-il être renouvelé périodiquement ?

Le RGPD ne fixe pas de durée de validité générale. Pour les cookies et traceurs, la CNIL recommande toutefois de renouveler le recueil du consentement au bout d'environ six mois, la pertinence d'un consentement ancien devenant discutable avec le temps.

Un client existant doit-il donner son consentement pour recevoir une newsletter ?

Non, sous certaines conditions. Pour des produits ou services analogues à ceux déjà achetés, la loi permet d'adresser des messages sans consentement préalable, à condition d'offrir un moyen simple de s'y opposer dès le premier envoi et à chaque envoi suivant.

Une case pré-cochée est-elle valable si l'utilisateur ne la décoche pas ?

Non. La Cour de justice de l'Union européenne a jugé qu'une case déjà cochée par défaut ne constitue jamais un acte positif clair, quelle que soit la possibilité de la décocher. Ce type de consentement est nul.

Le consentement d'un mineur suit-il une règle particulière ?

Oui. En France, un mineur peut consentir seul à un traitement lié à un service en ligne à partir de 15 ans. En dessous de cet âge, le consentement conjoint du mineur et du titulaire de l'autorité parentale est requis.