Le consentement n'est pas la règle générale
Première correction utile, parce que l'erreur est répandue : le consentement n'est que l'une des bases légales possibles, et rarement la meilleure.
Pour payer un salarié, gérer un contrat client ou tenir une comptabilité, vous n'avez pas besoin de consentement : vous avez une obligation légale ou l'exécution d'un contrat. Demander un consentement dans ces cas est même contre-productif, car un consentement peut être retiré, et vous ne pourrez pas cesser de payer vos salariés pour autant.
Le consentement sert là où la personne a un vrai choix : lettre d'information, prospection, dépôt de traceurs non nécessaires.
Les quatre qualités exigées
Un consentement valable est libre, spécifique, éclairé et univoque. En pratique, cela se vérifie par quatre questions.
Libre : la personne peut-elle refuser sans conséquence ? Un service qui devient inutilisable en cas de refus rend le consentement invalide.
Spécifique : un consentement par finalité. Une case unique couvrant à la fois la lettre d'information et la transmission à des partenaires n'est pas valable.
Éclairé : la personne sait qui traite, pourquoi et pendant combien de temps, avant de cocher.
Univoque : un acte positif. Une case pré-cochée ne vaut pas consentement, et l'inaction non plus.
Ce qui invalide en pratique
- la case pré-cochée, cas le plus fréquent sur les formulaires anciens
- le consentement groupé avec l'acceptation des conditions générales
- l'absence de moyen de retrait aussi simple que le recueil
- l'impossibilité de prouver que la personne a consenti
Prouver, c'est-à-dire conserver quoi
C'est le point que les outils oublient. Vous devez pouvoir démontrer le consentement, donc conserver, pour chaque personne : la date, la finalité exacte acceptée, le moyen utilisé, et la version du texte affiché au moment du recueil.
Ce dernier élément est le plus souvent absent. Si vous modifiez votre formulaire, sans archive du texte précédent vous ne pouvez plus prouver à quoi les personnes inscrites avant la modification ont réellement consenti.
Le retrait doit être aussi simple que l'inscription
Si l'inscription se fait en un clic, le retrait doit se faire en un clic. Un désabonnement qui exige d'écrire un courriel, de se connecter à un compte ou d'appeler un service est non conforme.
Et le retrait doit être effectif rapidement, pas au prochain envoi.
Un cas concret
Une PME collecte des adresses sur un salon, avec un formulaire papier mentionnant « pour vous tenir informés ». Six mois plus tard, elle envoie une campagne commerciale.
Le consentement n'était ni spécifique, ni éclairé sur cette finalité. Le formulaire papier n'a pas été conservé, donc rien n'est prouvable. Deux manquements, dont un qui se corrigeait en photographiant le formulaire.
À retenir
Le consentement n'est pas la base par défaut. Une case par finalité, jamais pré-cochée, un retrait aussi simple que l'inscription, et une preuve conservée qui inclut le texte affiché ce jour-là.