RGPD : informer les personnes ou demander leur consentement ? Ce que les PME doivent distinguer

En bref : sous le RGPD (règlement (UE) 2016/679), informer les personnes dont vous collectez les données est une obligation qui s’applique dans tous les cas (articles 13 et 14), quelle que soit la base légale du traitement. Le consentement, lui, n’est qu’une des six bases légales prévues à l’article 6. Comme le rappelle la CNIL, il n’a pas à être recueilli systématiquement : pour gérer un devis, une commande ou une facture, le contrat ou l’obligation légale sont en général plus adaptés. Le consentement reste en revanche imposé par des textes spécifiques, par exemple pour la prospection commerciale par courriel auprès des particuliers.

Cet article s’adresse aux entreprises établies en France ou ailleurs dans l’Union européenne : le RGPD s’applique aux traitements effectués dans le cadre des activités d’un établissement situé sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union (art. 3, § 1). En France, l’autorité de contrôle est la CNIL (loi Informatique et Libertés, art. 8).

Informer : une obligation qui ne dépend pas de la base légale

La transparence est un principe de base du RGPD : les données doivent être traitées « de manière licite, loyale et transparente au regard de la personne concernée » (art. 5, § 1, a). Les articles 13 et 14 en tirent une obligation concrète : fournir à la personne une liste d’informations, que le traitement repose sur son consentement, sur un contrat ou sur votre intérêt légitime.

Le moment dépend de l’origine des données :

Collecte directe (formulaire, commande, échange avec la personne) : au moment où les données sont obtenues (art. 13, § 1).
Collecte indirecte (partenaire, liste achetée, source publique) : dans un délai raisonnable ne dépassant pas un mois ; au plus tard lors de la première communication si vous utilisez les données pour contacter la personne ; au plus tard lors de la première transmission si vous les communiquez à un autre destinataire (art. 14, § 3).

La forme compte autant que le fond. L’article 12 exige une information fournie « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ». La CNIL déconseille aussi bien une notice « composée d’un bloc de 20 pages » que des mentions illisibles sous un formulaire, et demande que la politique de protection des données soit distincte des conditions générales de vente ou d’utilisation.

L’information se fournit, elle ne s’accepte pas. Une case « J’ai lu et j’accepte la politique de confidentialité » n’ajoute rien à votre obligation d’informer, et elle ne peut pas servir de consentement : si un consentement est nécessaire, il se demande à part. Selon la CNIL, un consentement « groupé » pour plusieurs traitements distincts n’est pas univoque, et l’acceptation de conditions générales d’utilisation ne suffit pas pour consentir à la prospection électronique.

Le consentement : une base légale parmi six

L’article 6, § 1, du RGPD énumère six bases légales. Un traitement n’est licite que si au moins l’une d’elles s’applique :

(a) la personne a consenti au traitement pour une ou plusieurs finalités spécifiques ;
(b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne est partie, ou à l’exécution de mesures précontractuelles prises à sa demande ;
(c) il est nécessaire au respect d’une obligation légale à laquelle vous êtes soumis ;
(d) il est nécessaire à la sauvegarde des intérêts vitaux de la personne ou d’une autre personne physique ;
(e) il est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique ;
(f) il est nécessaire aux intérêts légitimes que vous poursuivez, ou qu’un tiers poursuit, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne.

La CNIL le souligne : le RGPD ne crée pas de hiérarchie entre ces bases, et le consentement ne prévaut pas sur les autres. Vous choisissez la base adaptée à chaque finalité avant de commencer le traitement, et vous ne pouvez pas en « cumuler » plusieurs pour une même finalité.

Lorsque vous retenez le consentement, il doit répondre à la définition de l’article 4, point 11 : « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ». L’article 7 ajoute quatre exigences :

vous devez être en mesure de démontrer que la personne a consenti (§ 1) ;
si la demande figure dans une déclaration écrite qui concerne aussi d’autres questions, elle doit s’en distinguer clairement (§ 2) ;
la personne peut retirer son consentement à tout moment, et il doit être aussi simple de le retirer que de le donner (§ 3) ;
pour apprécier si le consentement est libre, on examine notamment si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée à un consentement qui n’est pas nécessaire à ce contrat (§ 4).

Le considérant 32 précise qu’il ne saurait y avoir de consentement « en cas de silence, de cases cochées par défaut ou d’inactivité ».

Quand le consentement n’est pas la bonne base légale

À la question « Le consentement des personnes doit-il être systématiquement recueilli ? », la CNIL répond non : un traitement peut s’appuyer sur une autre base, comme l’exécution d’un contrat ou l’intérêt légitime. Elle donne l’exemple d’un fichier « clients et prospects » : le contrat pour la gestion des commandes, des livraisons et du service après-vente ; l’obligation légale pour la tenue de la comptabilité ; le consentement pour la prospection commerciale par voie électronique.

Le traitement est nécessaire à un contrat

Selon la CNIL, la base « contrat » suppose que le traitement soit objectivement nécessaire à l’exécution du contrat : il ne suffit pas qu’il soit mentionné dans des conditions générales. Elle couvre aussi les mesures précontractuelles, comme la réponse à une demande de devis, à condition qu’elles répondent à la seule initiative de la personne. Demander en plus un consentement pour ces opérations brouille le message : la personne croit pouvoir le retirer (art. 7, § 3) alors que vous avez besoin des données pour exécuter la commande. Et subordonner un service à un consentement qui ne lui est pas nécessaire fait présumer que ce consentement n’a pas été donné librement (considérant 43).

Le traitement est imposé par un texte

Pour les données que la réglementation vous oblige à traiter, comme les pièces comptables, la CNIL indique que la base « obligation légale » doit être privilégiée. Le consentement n’aurait ici aucun sens, puisque la personne ne peut pas vous dispenser d’une obligation légale.

Votre intérêt légitime suffit

L’intérêt légitime (art. 6, § 1, f) exige une mise en balance avec les intérêts et les droits de la personne. Le considérant 47 indique que « le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime ». Deux contreparties : la mention d’information précise les intérêts légitimes poursuivis (art. 13, § 1, d), et la personne peut s’opposer à tout moment à la prospection (art. 21, § 2). Ce droit doit être porté à son attention au plus tard lors de la première communication, clairement et séparément de toute autre information (art. 21, § 4). Attention : pour la prospection par courriel auprès des particuliers, un texte spécifique impose en principe le consentement (voir plus bas).

Que doit contenir votre mention d’information ?

Le tableau ci-dessous reprend les informations prévues par les articles 13 (données collectées auprès de la personne) et 14 (données obtenues d’une autre source).

Information	Collecte directe	Collecte indirecte
Identité et coordonnées du responsable du traitement (et de son représentant, le cas échéant)	art. 13, § 1, a	art. 14, § 1, a
Coordonnées du délégué à la protection des données, le cas échéant	art. 13, § 1, b	art. 14, § 1, b
Finalités et base juridique du traitement	art. 13, § 1, c	art. 14, § 1, c
Intérêts légitimes poursuivis, si le traitement repose sur l’intérêt légitime	art. 13, § 1, d	art. 14, § 2, b
Catégories de données concernées	non exigé	art. 14, § 1, d
Destinataires ou catégories de destinataires	art. 13, § 1, e	art. 14, § 1, e
Transfert envisagé vers un pays tiers et garanties applicables	art. 13, § 1, f	art. 14, § 1, f
Durée de conservation ou critères pour la déterminer	art. 13, § 2, a	art. 14, § 2, a
Droits d’accès, de rectification, d’effacement, de limitation, d’opposition et à la portabilité	art. 13, § 2, b	art. 14, § 2, c
Droit de retirer le consentement, si le traitement repose sur le consentement	art. 13, § 2, c	art. 14, § 2, d
Droit d’introduire une réclamation auprès d’une autorité de contrôle (en France, la CNIL)	art. 13, § 2, d	art. 14, § 2, e
Caractère obligatoire ou non de la fourniture des données et conséquences d’un refus	art. 13, § 2, e	non exigé
Source des données	non exigé	art. 14, § 2, f
Existence d’une décision automatisée, y compris un profilage	art. 13, § 2, f	art. 14, § 2, g

La liste est longue, mais la CNIL admet une information en plusieurs niveaux : au premier niveau, au moins l’identité du responsable, les finalités et les droits des personnes ; un lien mène ensuite à la mention complète. Pensez aussi à vos outils : si un prestataire héberge vos données hors de l’Union européenne, la mention doit signaler ce transfert.

Trois situations courantes dans une PME

Le formulaire de contact de votre site

Une personne vous écrit pour demander un devis. Traiter sa demande relève de mesures précontractuelles prises à sa demande (art. 6, § 1, b) : aucun consentement n’est nécessaire. Ce qu’il faut faire :

placer près du formulaire une information de premier niveau et un lien vers la mention complète ;
indiquer quels champs sont obligatoires et ce qui se passe s’ils ne sont pas remplis (art. 13, § 2, e) ;
ne pas ajouter de case « j’accepte » obligatoire pour l’information ;
si vous proposez aussi une lettre d’information, prévoir une case distincte et non cochée par défaut : la CNIL interdit les cases pré-cochées pour recueillir un consentement.

Vos prospects dans le CRM

La base « contrat » ne couvre pas la prospection de nouveaux clients sans démarche de leur part : selon la CNIL, elle doit reposer sur l’intérêt légitime ou sur le consentement. Envers les professionnels, la CNIL admet l’intérêt légitime lorsque la sollicitation est en rapport avec la profession de la personne (par exemple, présenter un logiciel au directeur informatique d’une entreprise), à condition de l’informer et de lui permettre de s’opposer simplement et gratuitement. Les adresses génériques de personnes morales, du type contact@ ou info@, ne sont pas soumises à ces règles selon la CNIL.

Si le contact vous vient d’un partenaire ou d’une liste, l’article 14 s’applique : informez la personne au plus tard lors du premier message, en indiquant la source des données (art. 14, § 2, f), et présentez son droit d’opposition séparément de toute autre information. Dès qu’elle s’oppose à la prospection, ses données ne sont plus traitées à cette fin (art. 21, § 3).

La lettre d’information envoyée aux particuliers

Ici, la base légale est imposée par un texte français. L’article L34-5 du code des postes et des communications électroniques interdit la prospection directe par courrier électronique utilisant les coordonnées d’une personne physique « qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen ». Une exception vise vos clients : elle suppose que leurs coordonnées aient été recueillies auprès d’eux à l’occasion d’une vente ou d’une prestation de services, que la prospection porte sur des produits ou services analogues fournis par vous, et qu’ils aient pu s’y opposer simplement et sans frais lors de la collecte puis à chaque envoi.

La CNIL précise que cette exception ne peut pas être invoquée si aucune vente n’a eu lieu, même lorsque la personne a créé un compte en ligne. Chaque message doit en outre indiquer qui l’envoie et offrir un moyen simple de refuser les envois suivants.

Liste de contrôle

Pour chaque finalité (devis, commandes, facturation, prospection, recrutement), avez-vous choisi une seule base légale, avant de commencer le traitement ?
Avez-vous supprimé les demandes de consentement inutiles pour les traitements fondés sur le contrat ou sur une obligation légale ?
Vos mentions d’information reprennent-elles les éléments des articles 13 et 14, y compris les durées de conservation et les transferts hors de l’Union ?
Vos demandes de consentement sont-elles distinctes, non pré-cochées, et pouvez-vous prouver chaque consentement (date, formulaire, texte affiché) ?
Le retrait est-il aussi simple que l’acceptation, et chaque courriel de prospection contient-il un moyen de se désinscrire ?
Les contacts obtenus d’une autre source sont-ils informés au plus tard lors du premier message ?

Pour mémoire, la violation des articles 5, 6, 7 et 12 à 22 relève de l’article 83, § 5, du RGPD : elle peut faire l’objet d’amendes administratives « pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ». Il s’agit de plafonds, non de montants automatiques.

Pour savoir quels documents tenir en interne (registre des traitements, délégué à la protection des données, analyse d’impact), lisez notre article sur le registre, le DPO et l’AIPD.

Cet article est fourni à titre d’information générale et ne constitue pas un conseil juridique.

Dans Collobr, chaque fiche client conserve l’historique des échanges, et les droits d’accès par rôle et par service limitent qui voit quelles données. Les données sont actuellement hébergées en Turquie et une option d’hébergement dans l’UE est en préparation ; d’ici là, mentionnez Collobr comme destinataire situé hors de l’UE. Découvrez les offres et essayez gratuitement pendant 14 jours.