L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Qu'est-ce qu'un consentement valable au sens du RGPD ?
Libre, spécifique, éclairé, univoque et révocable. Les cinq caractères exigés et les pratiques qui les font échouer.
Libre, spécifique, éclairé, univoque et révocable. Les cinq caractères exigés et les pratiques qui les font échouer.
Introduction
Le consentement est la base légale la plus utilisée et la plus fragile. Un consentement irrégulier ne fonde rien : le traitement devient dépourvu de base légale, avec effet rétroactif.
Les cinq caractères
Le consentement est une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne accepte, par une déclaration ou un acte positif clair, que ses données fassent l’objet d’un traitement.
À ces quatre caractères s’ajoute la révocabilité, qui conditionne également la validité.
Libre
La personne doit disposer d’un choix réel, sans contrainte ni conséquence négative en cas de refus.
Le consentement n’est pas libre lorsqu’il est conditionné à l’exécution d’un contrat alors que le traitement n’est pas nécessaire à cette exécution : exiger l’acceptation de la prospection pour livrer une commande ne produit pas un consentement valable.
Il n’est pas libre non plus en présence d’un déséquilibre manifeste entre la personne et le responsable, ce qui explique la fragilité du consentement dans la relation de travail.
L’absence de choix granulaire, un consentement unique couvrant plusieurs finalités distinctes, affecte également la liberté.
Spécifique
Un consentement vaut pour une finalité déterminée.
Une formule générale autorisant le traitement des données à toutes fins utiles ne satisfait pas cette exigence.
Lorsque plusieurs finalités coexistent, le consentement doit pouvoir être donné séparément pour chacune.
La transmission des données à des partenaires suppose un consentement distinct, et les partenaires doivent être identifiables.
Éclairé
La personne doit savoir à quoi elle consent.
L’identité du responsable, les finalités, les catégories de données, l’existence du droit de retrait et, le cas échéant, les transferts hors Union doivent être portés à sa connaissance de manière compréhensible.
Une information dissimulée dans des conditions générales longues ne satisfait pas l’exigence : lorsque le consentement s’inscrit dans une déclaration écrite portant aussi sur d’autres questions, la demande doit être présentée sous une forme qui la distingue clairement, en des termes clairs et simples.
Univoque
Le consentement suppose un acte positif clair.
Le silence, les cases précochées, l’inaction, la poursuite de la navigation ne constituent pas un consentement.
Un bouton d’acceptation, une case à cocher active, une déclaration écrite ou orale enregistrée le constituent.
Révocable
La personne a le droit de retirer son consentement à tout moment.
Le retrait doit être aussi simple que le fait de le donner. Un consentement recueilli en un clic ne peut être retiré par courrier recommandé.
Le retrait ne compromet pas la licéité du traitement antérieur, mais impose de cesser le traitement pour l’avenir.
La personne doit être informée du droit de retrait avant de consentir.
La preuve
Lorsque le traitement repose sur le consentement, le responsable doit être en mesure de démontrer que la personne a consenti.
Cette preuve suppose de conserver la date, le canal, la formulation exacte présentée et la portée du consentement donné.
Une preuve tenant à la seule présence de l’adresse dans la base est insuffisante.
Quand ne pas recourir au consentement
Le consentement n’est pas toujours la meilleure base.
Un traitement nécessaire à l’exécution du contrat, au respect d’une obligation légale ou fondé sur l’intérêt légitime repose sur une base plus stable, non révocable au gré de la personne.
Choisir le consentement par précaution, pour un traitement qui n’en relève pas, fragilise inutilement l’organisation : le retrait du consentement obligerait alors à cesser un traitement pourtant nécessaire.
Sécuriser le recueil et la preuve
L’essentiel se joue dans la formulation et la traçabilité. Notre expertise RGPD et protection des données personnelles fiabilise ces dispositifs.
En résumé
- Libre, spécifique, éclairé, univoque et révocable : cinq caractères cumulatifs.
- Ni case précochée, ni silence, ni consentement groupé pour des finalités distinctes.
- Le retrait doit être aussi simple que le consentement, et sans préjudice.
- La preuve du consentement pèse sur le responsable, avec date, canal et formulation.
- Ne pas choisir le consentement pour un traitement qui relève d’une autre base.
Questions fréquentes
Une case précochée vaut-elle consentement ?
Non. Le consentement suppose un acte positif clair. Une case précochée, le silence ou l'inaction ne constituent pas un consentement valable.
Peut-on conditionner un service au consentement marketing ?
En principe non. Le consentement n'est pas libre s'il est conditionné à l'exécution d'un contrat alors que le traitement n'est pas nécessaire à cette exécution.
Le retrait doit-il être aussi simple que le consentement ?
Oui. Le règlement exige qu'il soit aussi simple de retirer son consentement que de le donner, et le retrait ne doit entraîner aucun préjudice.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
