GDPR Consent — essence, exigences et obtention du consentement

Qu'est-ce que le GDPR Consent ?

GDPR Consent est une base juridique pour le traitement des données personnelles, définie à l'article 4(11) et à l'article 7 du Règlement Général sur la Protection des Données de l'Union européenne. Le règlement est entré en vigueur le 25 mai 2018 et a remplacé l'ancienne directive 95/46/CE, établissant des normes uniformes de protection des données pour tous les États membres de l'UE.

Selon le GDPR, le consentement doit être libre — l'utilisateur doit avoir un choix réel sans conséquences négatives en cas de refus. Si le refus du consentement entraîne un refus d'accès à un service qui ne nécessite pas de traitement de données, ce consentement est considéré comme forcé et invalide. L'article 7(4) indique directement que les conditions contractuelles liées ne peuvent pas subordonner l'exécution du contrat à l'obtention du consentement pour traiter des données qui ne sont pas nécessaires à ce contrat.

Informé — le deuxième élément clé : la personne concernée doit comprendre quelles données spécifiques sont collectées, dans quel but, qui les traitera et combien de temps elles seront conservées. Le Comité européen de la protection des données (EDPB) dans les lignes directrices 05/2020 souligne que les informations doivent être fournies dans un langage clair, sans formulations juridiques complexes. La pratique montre que le consentement est considéré comme invalide si la politique de confidentialité contient des formulations ambiguës ou générales.

Univoque signifie que le consentement doit être exprimé par une action active — cocher une case, cliquer sur un bouton ou signer un formulaire. L'inaction, le silence ou les cases pré-cochées ne satisfont pas à l'exigence d'univocité. Dans l'arrêt Planet49 GmbH (C-673/17), la Cour de justice de l'Union européenne a confirmé que le consentement ne peut pas être déduit de l'inaction de l'utilisateur.

Quelles données relèvent du GDPR

Les données personnelles au sens du GDPR sont toute information concernant une personne physique identifiée ou identifiable. Cela inclut non seulement les identifiants évidents — nom, adresse, email, téléphone — mais aussi les adresses IP, les identifiants de cookies, les identifiants publicitaires d'appareils (IDFA, GAID), les données biométriques, la géolocalisation et les informations génétiques.

L'article 9 du GDPR met en évidence des catégories particulières de données dont le traitement est interdit sans consentement explicite : l'origine raciale ou ethnique, les opinions politiques, les croyances religieuses, l'affiliation syndicale, les données génétiques et biométriques, les données de santé et l'orientation sexuelle. Pour ces catégories, la forme la plus stricte de consentement est requise — séparée, détaillée et non implicite du contexte général.

Quand le GDPR Consent est-il obligatoire

Le GDPR Consent est nécessaire lorsque le traitement des données ne peut pas être fondé sur d'autres bases juridiques : nécessité contractuelle (article 6(1)(b)), intérêt légitime (article 6(1)(f)) ou exécution d'une obligation légale (article 6(1)(c)). En pratique, le consentement est nécessaire pour les communications marketing, le tracking à des fins publicitaires, la collecte de données non obligatoires et l'utilisation de cookies qui ne sont pas strictement nécessaires au fonctionnement du service.

Selon le rapport annuel de gouvernance IAPP-EY (2024), 67 % des entreprises utilisent le consentement comme base juridique principale pour le traitement des données dans les applications mobiles, malgré une tendance croissante au recours à l'intérêt légitime lorsque c'est possible. Cela s'explique par le fait que le consentement offre la relation la plus transparente avec l'utilisateur, mais impose en même temps les obligations les plus lourdes en matière de tenue de registres et de gestion des consentements.

Exigences fondamentales du GDPR pour le consentement

L'article 7 du GDPR établit six conditions pour la validité du consentement, chacune devant être remplie simultanément. La violation d'au moins une condition rend le consentement invalide et le traitement des données illicite. Examinons chaque condition en détail, en tenant compte des lignes directrices de l'EDPB et de la jurisprudence.

La liberté du consentement est violée lorsqu'il existe un déséquilibre de pouvoir entre le responsable et la personne concernée. L'EDPB indique directement que les employeurs ne peuvent pas se fonder sur le consentement des employés en raison de la dépendance dans la relation de travail. De même, les autorités publiques ne peuvent pas exiger le consentement des citoyens lors de la prestation de services publics.

La spécificité exige un consentement séparé pour chaque finalité de traitement. Si une application collecte des données pour l'analytique, la personnalisation des publicités et l'amélioration du service — chaque finalité nécessite une case séparée. La combinaison de plusieurs finalités en un seul consentement viole l'exigence de spécificité et rend le consentement invalide.

La preuve est l'exigence la plus complexe sur le plan technologique. L'article 7(1) indique directement que le responsable supporte la charge de la preuve de l'obtention du consentement. En pratique, cela signifie la nécessité de tenir un journal de toutes les actions de l'utilisateur : qui, quand, pour quelles finalités a donné son consentement, quelle version de la politique de confidentialité a été affichée et comment l'utilisateur l'a retiré.

Comment mettre en œuvre la collecte du consentement dans une application mobile

La mise en œuvre du GDPR Consent dans une application mobile nécessite une approche globale, combinant les exigences légales avec la mise en œuvre technique. L'outil principal est une plateforme de gestion du consentement (CMP) qui gère le cycle de vie du consentement : affichage de la demande, enregistrement du choix, stockage des données et synchronisation avec les SDK publicitaires et analytiques.

Utilisation du SDK Google UMP

Google fournit le SDK User Messaging Platform (UMP) pour Android et iOS, qui s'intègre avec AdMob, Google Analytics et d'autres services Google. Le SDK UMP détermine automatiquement la nécessité d'afficher le consentement en fonction de la géolocalisation de l'utilisateur et des exigences du GDPR. Examinons l'intégration en Kotlin pour Android :

val requestParams = ConsentRequestParameters
    .Builder()
    .setTagForUnderAgeOfConsent(false)
    .build()

ConsentInformation
    .getInstance(this)
    .requestConsentInfoUpdate(requestParams, { @Override
        fun onConsentInfoUpdateSuccess() {
            if (ConsentInformation
                    .getInstance(this@MainActivity)
                    .isConsentFormAvailable()
            ) {
                loadConsentForm()
            }
        }
    }, { @Override
        fun onConsentInfoUpdateFailure(error: FormError) {
            Log.e("UMP", error.message)
        }
    })

Après le chargement du formulaire de consentement, il doit être affiché à l'utilisateur. Le SDK UMP prend en charge deux types de formulaires : pour obtenir le consentement à la publicité personnalisée et pour gérer les choix ultérieurement. Le traitement du résultat doit prendre en compte tous les résultats possibles — l'utilisateur peut donner son consentement, le refuser ou fermer le formulaire sans faire de choix.

Stockage et vérification du consentement

Pour satisfaire à l'exigence de preuve, il est nécessaire de stocker non seulement le fait du consentement, mais aussi le contexte de son obtention. L'ensemble minimal de données à stocker comprend : l'identifiant de l'utilisateur ou de l'appareil, l'horodatage avec fuseau horaire, la version de la politique de confidentialité, les finalités spécifiques du traitement et le mécanisme de consentement utilisé.

data class ConsentRecord(
    val userId: String,
    val timestamp: Long,
    val privacyPolicyVersion: String,
    val purposes: List<String>,
    val consentGiven: Boolean
)

class ConsentRepository(
    private val dao: ConsentDao
) {
    suspend fun saveConsent(record: ConsentRecord) {
        dao.insert(record.toEntity())
        AnalyticsManager.logConsentEvent(record)
    }
}

Le Comité européen de la protection des données (EDPB) dans les recommandations 01/2023 souligne que les enregistrements de consentement doivent être conservés pendant toute la durée du traitement des données et jusqu'à trois ans après sa cessation. Pour les applications mobiles, cela signifie la nécessité d'un stockage côté serveur des enregistrements, et pas seulement local, car l'utilisateur peut réinstaller l'application ou changer d'appareil.

En quoi le GDPR diffère-t-il des autres régulateurs de la vie privée

Le GDPR n'est pas le seul régulateur de la vie privée au monde, mais il est devenu un modèle pour de nombreuses lois nationales sur la protection des données. Comprendre les différences entre le GDPR et les autres régulateurs est d'une importance cruciale pour les développeurs d'applications internationales travaillant avec des utilisateurs de différentes juridictions.

La CCPA (California Consumer Privacy Act) diffère fondamentalement du GDPR : elle fonctionne selon le modèle opt-out, et non opt-in. En vertu de la CCPA, les entreprises sont tenues d'offrir à l'utilisateur le droit de refuser la vente de ses données, mais ne sont pas tenues d'obtenir un consentement préalable à la collecte. Cependant, avec l'adoption du CPRA (California Privacy Rights Act) en 2023, les exigences de consentement pour les données sensibles se sont rapprochées du GDPR.

La directive ePrivacy (directive vie privée et communications électroniques) complète le GDPR en matière de cookies et de marketing électronique. Contrairement au GDPR, qui régule toutes les données personnelles, l'ePrivacy se concentre sur les données de communication. L'exigence d'obtenir un consentement pour les cookies non essentiels découle précisément de l'ePrivacy, et non du GDPR, bien que le mécanisme de consentement soit le même.

La LGPD du Brésil copie presque entièrement la structure du GDPR avec des modifications mineures : l'âge du consentement est relevé à 18 ans et le traitement des données des personnes décédées nécessite le consentement des héritiers. La PIPL de la Chine, en revanche, introduit des exigences plus strictes : localisation obligatoire des données, évaluation d'impact sur la protection des données (DPIA) pour toutes les décisions automatisées et notification du transfert de données à l'étranger.

Erreurs typiques dans la mise en œuvre du GDPR Consent

L'analyse des amendes et des injonctions des autorités de surveillance européennes pour la période 2018-2024 révèle des violations récurrentes dans la mise en œuvre du consentement. Selon Enforcement Tracker (CMS Law, 2024), plus de 40 % de toutes les amendes du GDPR sont liées à une obtention et une gestion incorrectes du consentement. Examinons les erreurs les plus fréquentes.

Cases pré-cochées et consentement passif

L'erreur la plus courante est l'utilisation de cases pré-cochées pour obtenir le consentement. L'arrêt de la Cour de justice de l'UE dans l'affaire Planet49 GmbH (C-673/17) a établi sans équivoque que le consentement ne peut pas être déduit de l'inaction de l'utilisateur. Malgré cela, de nombreuses applications continuent d'utiliser des options pré-cochées, en particulier pour les bannières de cookies, ce qui entraîne des amendes et des injonctions directes.

En 2024, la Commission nationale de l'informatique et des libertés française (CNIL) a infligé une amende de 250 millions d'euros à une grande holding publicitaire RTB pour l'utilisation de cases pré-cochées et des informations insuffisamment transparentes aux utilisateurs. C'est l'amende la plus élevée liée au consentement, démontrant la priorité du contrôle du consentement pour les régulateurs européens.

Regroupement des finalités en un seul consentement

De nombreuses applications demandent un seul consentement général pour tous les types de traitement : analytique, personnalisation, publicité, transfert à des tiers. Cela viole directement l'exigence de spécificité (limitation des finalités). L'EDPB dans les lignes directrices 05/2020 souligne : si une finalité peut être atteinte sans une autre, l'utilisateur doit pouvoir consentir à chaque finalité séparément.

La Commission irlandaise de protection des données (DPC) dans sa décision concernant Meta Platforms Ireland (2023) a indiqué que le regroupement de la personnalisation des publicités et de l'amélioration du service en un seul consentement constitue une violation. Meta a été obligée de mettre en œuvre des mécanismes de consentement séparés pour différentes finalités de traitement dans Facebook et Instagram.

Retrait difficile ou impossible du consentement

Le GDPR exige que le retrait du consentement soit aussi simple que son octroi. Si l'utilisateur a donné son consentement en un seul clic sur un bouton, le retrait ne peut pas exiger le remplissage d'un formulaire, l'envoi d'un email ou un appel au support. En pratique, de nombreuses applications cachent le mécanisme de retrait dans les paramètres ou exigent de multiples étapes pour l'effectuer.

Pratique recommandée — ajouter un écran dédié à la gestion des consentements dans les paramètres de l'application avec la possibilité de retirer chaque consentement séparément par un simple interrupteur. Le SDK UMP de Google fournit un mécanisme intégré pour réafficher le formulaire de consentement, que l'utilisateur peut invoquer depuis les paramètres de l'application à tout moment.

Absence de preuve de l'obtention du consentement

De nombreux développeurs se fient à des consentements verbaux ou ne conservent pas d'enregistrements de l'obtention du consentement. Cela rend impossible le respect de l'exigence de preuve (responsabilité) au titre de l'article 5(2) du GDPR. Lors d'une inspection, l'autorité de contrôle demandera non seulement la politique de confidentialité, mais aussi les journaux des consentements obtenus pour toute la période de traitement des données.

La solution consiste à utiliser une plateforme de gestion du consentement (CMP) avec journalisation automatique de tous les événements : affichage du formulaire, choix de l'utilisateur, version du document, horodatage. Les CMP populaires pour les applications mobiles incluent Usercentrics, OneTrust et ConsentManager — toutes prennent en charge l'enregistrement automatique de l'audit des consentements.