Le consentement RGPD est l'une des six bases légales qui rendent un traitement de données personnelles licite. L'article 4.11 du RGPD le définit comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque » par laquelle une personne accepte, par une déclaration ou un acte positif clair, que ses données soient traitées. Le formulaire de consentement est l'outil qui matérialise cet accord, et surtout celui qui permet de le prouver.
Le consentement n'est pas la base légale par défaut. Il est notamment requis dans les situations suivantes :
- la prospection commerciale par email ou SMS auprès de particuliers (article L34-5 du Code des postes et des communications électroniques) ;
- le dépôt de cookies et traceurs non essentiels (article 82 de la loi Informatique et Libertés) ;
- le traitement de données sensibles, lorsque aucune autre exception de l'article 9.2 du RGPD ne s'applique ;
- la transmission de données à des partenaires pour leur propre prospection.
En dehors de ces cas, d'autres bases légales de l'article 6 peuvent être plus adaptées : exécution d'un contrat, obligation légale, intérêts vitaux, mission d'intérêt public ou intérêt légitime. Notre guide sur la base légale à retenir aide à trancher, et notre guide sur le consentement explicite détaille le cas des données sensibles.
Qu'est-ce qu'un formulaire de consentement RGPD ?
Un formulaire de consentement RGPD est un dispositif, électronique ou papier, qui recueille l'accord d'une personne avant le traitement de ses données pour une finalité donnée. Il constitue la preuve matérielle exigée par l'article 7.1 du RGPD : c'est au responsable de traitement de démontrer que la personne a consenti.
Il peut prendre différentes formes selon le contexte :
- une case à cocher sur un formulaire en ligne ;
- un bouton d'acceptation distinct, associé à une information claire sur le traitement ;
- un formulaire papier signé, qui mentionne explicitement l'objet du traitement ;
- un double opt-in par email (confirmation active de l'inscription).
Les conditions de validité du consentement RGPD
Pour être valable, le consentement recueilli par votre formulaire doit réunir 4 critères cumulatifs, posés par l'article 4.11 et précisés par l'article 7 du RGPD et les lignes directrices 05/2020 du CEPD sur le consentement (4 mai 2020) :
- Libre : la personne a un choix réel. Conditionner l'accès à un service à un consentement qui n'est pas nécessaire à ce service est un indice fort d'absence de liberté (article 7.4), de même qu'un déséquilibre marqué entre les parties, par exemple entre employeur et salarié ;
- Spécifique : un consentement par finalité, pas d'autorisation générale ;
- Éclairé : la personne sait qui traite ses données, pour quoi faire, et qu'elle peut retirer son accord ;
- Univoque : un acte positif clair. Le silence, l'inactivité et les cases pré-cochées ne valent pas consentement, comme l'a jugé la CJUE dans l'arrêt Planet49 du 1er octobre 2019 (C-673/17).
Comment créer un formulaire de consentement conforme ?
1 - Une case à cocher décochée par défaut (opt-in)
Le formulaire propose une case décochée par défaut. En la cochant, l'utilisateur donne un accord actif. Ne pas cocher la case vaut refus, et le formulaire doit rester utilisable sans elle lorsque le consentement n'est pas nécessaire au service demandé.
2 - Énoncer clairement la finalité du traitement
Le texte associé à la case dit précisément à quoi serviront les données. Par exemple : « J'accepte de recevoir la newsletter mensuelle de la société X » ou « J'accepte que mes coordonnées soient transmises aux partenaires de la société X à des fins de prospection ». Évitez les formulations vagues comme « pour améliorer nos services ».
3 - Séparer les finalités (une case par finalité)
Si vous collectez des données pour plusieurs finalités (newsletter, prospection, partage avec des partenaires), prévoyez une case distincte pour chacune. L'article 7.2 exige que la demande de consentement soit présentée sous une forme qui la distingue clairement des autres questions, notamment des conditions générales.
4 - Mentionner le droit de retrait
Le retrait du consentement doit être aussi simple que son recueil (article 7.3). Le formulaire indique comment retirer son accord : lien de désinscription, paramètres du compte, adresse de contact du DPO.
5 - Conserver la preuve du consentement
Conservez une trace horodatée de chaque consentement : identifiant de la personne, date et heure, version du formulaire et texte exact présenté, canal de collecte. C'est cette trace qui vous permettra de répondre à un contrôle de la CNIL.
6 - Donner accès à l'information complète
Le formulaire renvoie, par un lien visible, vers une information complète sur le traitement, généralement votre politique de confidentialité. L'utilisateur doit pouvoir la consulter avant de consentir.
Exemples de formulaires de consentement RGPD
Formulaire d'inscription à une newsletter
- Champ texte : « Votre adresse email » ;
- Case à cocher (décochée par défaut) : « J'accepte de recevoir la newsletter mensuelle de [Entreprise X]. Je peux me désinscrire à tout moment via le lien présent dans chaque email. » ;
- Lien : « En savoir plus sur l'utilisation de vos données » vers la politique de confidentialité ;
- Bouton : « S'inscrire ».
Pour la suite, notre guide explique comment envoyer une newsletter conforme au RGPD.
Formulaire de contact avec option marketing
Répondre à une demande de contact ne nécessite pas de consentement : le traitement repose sur les mesures précontractuelles ou l'intérêt légitime. La case ne sert que pour une finalité supplémentaire :
- Champs : prénom, nom, email, message ;
- Mention d'information : « Vos données sont utilisées par [Entreprise X] pour traiter votre demande. En savoir plus : politique de confidentialité. » ;
- Case à cocher facultative (décochée par défaut) : « J'accepte de recevoir les offres commerciales de [Entreprise X] par email. » ;
- Bouton : « Envoyer ».
Formulaire de collecte de données de santé
Lorsque le traitement de données de santé repose sur le consentement, celui-ci doit être explicite (article 9.2.a) :
- Champs : prénom, nom, date de naissance, informations de santé strictement nécessaires ;
- Case à cocher (décochée par défaut) : « Je consens explicitement au traitement de mes données de santé par [Entreprise X] afin de [finalité précise]. Je peux retirer ce consentement à tout moment en écrivant à [adresse du DPO]. » ;
- Bouton : « Je consens et j'envoie ».
Le même raisonnement vaut pour une enquête : notre guide sur les questionnaires conformes au RGPD détaille quand le consentement des répondants est nécessaire et quand l'intérêt légitime suffit.
Les mentions obligatoires d'un formulaire de consentement RGPD
Au moment de la collecte, l'article 13 du RGPD impose de fournir, directement sur le formulaire ou par un lien :
- l'identité et les coordonnées du responsable de traitement ;
- les coordonnées du DPO, s'il y en a un ;
- la ou les finalités et la base légale du traitement ;
- les destinataires des données et, le cas échéant, les transferts hors de l'Union européenne ;
- la durée de conservation ;
- les droits de la personne (accès, rectification, effacement, opposition, limitation, portabilité) ;
- la possibilité de retirer son consentement à tout moment ;
- le droit d'introduire une réclamation auprès de la CNIL.
Consentement RGPD et outils de collecte
Deux familles d'outils coexistent, et il ne faut pas les confondre :
- Les générateurs de formulaires (outils de formulaires en ligne, modules de CRM ou de CMS) : vérifiez qu'ils permettent une case décochée par défaut, une case par finalité et l'export horodaté des consentements. L'éditeur est votre sous-traitant au sens de l'article 28 du RGPD.
- Les plateformes de gestion du consentement (CMP) : elles gèrent les cookies et traceurs, pas les formulaires. Pour les choisir, voir notre guide pour choisir un outil de gestion des cookies.
La fiche de la CNIL sur le consentement reste la référence pour vérifier un formulaire existant.
Questions fréquemment posées
Quelle est la différence entre un formulaire de consentement et une politique de confidentialité ?
Le formulaire de consentement est l'outil actif par lequel une personne donne son accord à un traitement précis. La politique de confidentialité est un document d'information qui décrit l'ensemble des traitements. Les deux sont complémentaires : la politique informe, le formulaire recueille et prouve l'accord.
Un formulaire de consentement est-il toujours obligatoire pour traiter des données ?
Non. Le consentement n'est que l'une des six bases légales de l'article 6 du RGPD. Un traitement peut reposer sur un contrat, une obligation légale ou l'intérêt légitime. Même pour les données sensibles, le consentement explicite n'est qu'une des exceptions prévues par l'article 9.2, à côté par exemple des obligations en droit du travail ou de la médecine du travail.
Comment prouver qu'un consentement a été recueilli ?
En conservant, pour chaque personne, un enregistrement horodaté : identifiant, date et heure, canal de collecte, version du formulaire et texte exact de la mention présentée. Le responsable de traitement doit pouvoir produire cette preuve à tout moment (article 7.1 du RGPD).
Combien de temps doit-on conserver les preuves de consentement ?
Le RGPD ne fixe pas de durée. La pratique consiste à conserver la preuve pendant toute la durée du traitement, puis en archive le temps nécessaire pour répondre à un éventuel contentieux, c'est-à-dire pendant les délais de prescription applicables. Fixez cette durée et inscrivez-la dans votre registre des traitements.
Peut-on utiliser un formulaire de consentement papier ?
Oui. Un formulaire papier signé est valable s'il respecte les quatre critères du consentement (libre, spécifique, éclairé, univoque). Conservez-le de façon à pouvoir le retrouver et le produire en cas de contrôle.
Quelle est la durée de validité d'un consentement RGPD ?
Le RGPD ne fixe pas de durée maximale : un consentement reste valable tant qu'il n'a pas été retiré et que le traitement n'a pas changé de finalité. Pour les cookies, la CNIL présente comme une bonne pratique de conserver le choix de l'utilisateur, acceptation ou refus, pendant 6 mois, et retient une durée de vie de 13 mois pour les traceurs de mesure d'audience exemptés de consentement. Pour les autres traitements, un renouvellement périodique est une bonne pratique.
Quel âge faut-il pour consentir seul au traitement de ses données ?
En France, 15 ans pour les services de la société de l'information proposés directement aux mineurs (article 8 du RGPD et article 45 de la loi Informatique et Libertés). En dessous, le consentement doit être donné conjointement par le mineur et le titulaire de l'autorité parentale.
Un formulaire de consentement bien construit ne suffit pas : il doit correspondre à un traitement documenté dans votre registre, avec la bonne base légale et une durée de conservation définie. Pour centraliser le registre, les bases légales et les preuves de conformité de vos traitements, demandez une démonstration de Leto.
