RGPD Spécial consentement (4/5) : Que change le RGPD ?

Le RGPD n’a pas modifié substantiellement la notion de consentement. Il a en revanche clarifié sa définition et l’a renforcé, en l’assortissant de certains droits et garanties :

• Droit au retrait : la personne doit avoir la possibilité de retirer son consentement à tout moment, par le biais d’une modalité simple et équivalente à celle utilisée pour recueillir le consentement (par exemple, si le recueil s’est fait en ligne, il doit pouvoir être retiré en ligne également).

• Preuve du consentement : le responsable du traitement doit être en mesure de démontrer à tout moment que la personne a bien consenti, dans des conditions valides.

Pour ce faire, les responsables du traitement doivent documenter les conditions de recueil du consentement. La documentation doit permettre de démontrer :

• la mise en place de mécanismes permettant de ne pas lier le recueil du consentement, notamment à la réalisation d’un contrat (consentement « libre »)
• la séparation claire et intelligible des différentes finalités de traitement (consentement « spécifique » ou « granularité du consentement »)
• la bonne information des personnes (consentement « éclairé »)
• le caractère positif de l’expression du choix de la personne (consentement « univoque »)

Les responsables du traitement peuvent notamment tenir un registre des consentements, qui peut s’insérer dans la documentation plus générale de l’organisme.

Le RGPD prévoit des conditions particulières de consentement pour certaines situations :

• Consentement des mineurs : pour les services de la société de l’information (réseaux sociaux, plateformes, newsletters, etc.), le traitement des données personnelles d’un enfant fondé sur le consentement n’est licite, par principe, que si l’enfant est âgé d’au moins 16 ans.

Lorsque l’enfant est âgé de moins de 16 ans, le traitement n’est licite que si le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant. Le RGPD permet aux Etats membres de faire varier cet âge, en dessous duquel le consentement doit être donné par les parents, entre 13 et 16 ans.

En France, l’âge retenu est de 15 ans : les enfants de 15 ans ou plus peuvent consentir eux-mêmes au traitement de leurs données fondé sur le consentement dans le cadre des services de la société d’information. Entre 13 et 15 ans, la loi « Informatique et Libertés » impose le recueil du consentement conjoint de l’enfant et du titulaire de l’autorité parentale. En-dessous de 13 ans, seuls les titulaires de l’autorité parentale peuvent consentir au traitement de ces données.

• Consentement explicite : dans certains cas, le consentement doit être explicite. Cette caractéristique fait référence à la modalité d’expression du consentement : il est nécessaire de disposer d’une déclaration expresse de la part de la personne concernée, ce qui suppose une attention particulière et la mise en place de mécanismes ad hoc par le responsable du traitement.

Il s’agit des cas où il existe un risque sérieux sur la protection des données et qui nécessitent un plus haut degré de contrôle de l’individu : il est par exemple exigé pour le traitement des données sensibles ou pour permettre la prise de décision entièrement automatisée.

Pour s’assurer d’un consentement explicite, le responsable du traitement peut par exemple :

• prévoir une case de recueil du consentement spécifiquement dédiée au traitement des données sensibles
• demander une déclaration écrite et signée par la personne concernée ou l’envoi d’un courriel indiquant que la personne accepte expressément le traitement de certaines catégories de données
• recueillir le consentement en deux étapes : envoi d’un courriel à la personne concernée qui doit ensuite confirmer sa première action de consentement

[lire la suite]

RGPD Spécial consentement (1/5) : Qu’est-ce que le consentement ?

RGPD Spécial consentement (2/5) : Le consentement des personnes doit-il être systématiquement recueilli ?

RGPD Spécial consentement (3/5) : Quel sont les critères de validité du consentement ?

RGPD Spécial consentement (4/5) : Que change le RGPD ?

RGPD Spécial consentement (5/5) : Le consentement doit-il être à nouveau recueilli avec le RGPD ?