Conservation des preuves de consentement et charge de la preuve

Ceci n’est pas un avis juridique. Synthèse de référence des lignes directrices et des normes relatives à la conservation des preuves de consentement, à l’intention des praticiens de la délivrabilité. Consultez un conseil qualifié pour toute décision de conformité.

Lorsque le consentement est la base légale (ou l’argument de défense en matière de délivrabilité) d’un envoi, la charge de la preuve pèse sur l’expéditeur. Article 7, paragraphe 1, du RGPD : « le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement ». La question n’est pas « a-t-elle consenti ? », mais « pouvez-vous le prouver, adresse par adresse, des années plus tard, devant une autorité ou un analyste de liste de blocage qui présume le pire ? ». Cet article y apporte la réponse opérationnelle : les données précises à recueillir, les normes de structure des preuves qui convergent vers un schéma commun, et une conception de preuve de consentement qu’un ESP peut mettre en œuvre.

Il complète trois articles voisins : Directive ePrivacy et RGPD indique quand le consentement est requis et la norme de qualité du CEPD (la ligne « Démontrable ») ; Méthodes de consentement classe la manière dont les adresses sont acquises ; Le RGPD et les listes de suppression des ESP traite de la preuve du retrait et de l’effacement. Celui-ci porte sur l’élément de preuve qui sous-tend les trois.

Pourquoi la preuve compte deux fois

La preuve du consentement sert dans deux arènes très différentes :

• Contestation réglementaire : une autorité de protection des données (ICO, CNIL, etc.) ou un plaignant demande au responsable du traitement de justifier une base légale. Pas de preuve ≈ pas de consentement ; le CEPD indique explicitement que renvoyer à la configuration actuelle du site web est insuffisant (lignes directrices 05/2020, ¶108) : vous devez reproduire ce que la personne a réellement vu et fait à ce moment-là.
• Contestation par une liste de blocage ou en délivrabilité : une adresse piège touchée, un pic de plaintes via une feedback loop ou une inscription chez Spamhaus soulève la question « d’où vient cette adresse ? ». Pouvoir produire un historique d’acquisition par adresse (source, horodatage, IP, version du formulaire, événement d’opt-in) fait souvent la différence entre un retrait de liste rapide et un retrait qui s’enlise, et c’est la première chose que demande l’enquête sur un incident d’adresse piège.

La même preuve répond aux deux. Construisez-la une seule fois.

ICO : obtenir, enregistrer, gérer

Les lignes directrices de l’ICO britannique How should we obtain, record and manage consent? sont l’énoncé réglementaire le plus concret sur ce qu’il faut conserver. (Remarque : l’ICO signale que ces lignes directrices sont en cours de révision à la suite du Data (Use and Access) Act 2025.)

Les cinq données à enregistrer

ICO : « vous devez disposer d’une piste d’audit efficace de la manière et du moment où le consentement a été donné » ("you must have an effective audit trail of how and when consent was given"). La preuve doit démontrer les cinq éléments suivants :

Deux précisions : le consentement doit être spécifique et granulaire, donc « vos registres doivent aussi être spécifiques et granulaires pour démontrer exactement ce que couvre le consentement » ("your records also need to be specific and granular to demonstrate exactly what the consent covers") : une preuve par finalité, et non un indicateur global. Et pour le consentement en ligne, l’ICO suggère « une fonction de hachage cryptographique appropriée pour garantir l’intégrité des données » ("an appropriate cryptographic hash function to support data integrity"), c’est-à-dire une protection contre la falsification de la preuve conservée.

L’élément décisif, et le plus souvent oublié, est le n° 3 : vous devez pouvoir reproduire la formulation exacte, la mise en page du formulaire et la version de la notice de confidentialité que la personne a vues, versionnées et datées. Un formulaire en ligne aujourd’hui ne prouve pas une inscription d’il y a trois ans.

Gérer : réexaminer régulièrement le consentement

L’ICO présente le consentement comme « une composante dynamique de votre relation continue » ("a dynamic part of your ongoing relationship"), et non comme une case cochée puis classée une fois pour toutes :

• Les outils de gestion des préférences et les tableaux de bord de confidentialité sont une bonne pratique : ils permettent aux personnes de consulter et de mettre à jour leurs propres paramètres de consentement.
• Réexaminez régulièrement les consentements ; renouvelez-les dès que quelque chose change (nouvelle finalité, évolution du traitement : le consentement initial peut ne plus être spécifique ou éclairé).
• Intervalle de renouvellement : « En cas de doute, nous vous recommandons d’envisager de renouveler le consentement tous les deux ans » ("If in doubt, we recommend you consider refreshing consent every two years") ; un intervalle plus long peut se justifier ; le consentement parental peut devoir être renouvelé plus souvent, à mesure que les enfants atteignent l’âge de consentir eux-mêmes.
• Si vous n’êtes pas en contact régulier avec les personnes, envoyez-leur de temps à autre un rappel de leur droit de retirer leur consentement et de la manière de le faire.

Ce repère par défaut « tous les deux ans » sert d’ancrage à une cadence de nouvelle demande de permission ou de mise en sommeil pour les listes fondées sur le consentement dans l’UE et au Royaume-Uni.

La fraîcheur du consentement dépend de la juridiction et du canal : il n’existe pas de chiffre universel unique. Les chiffres des autorités varient d’un facteur 8 environ, car ils répondent à des questions différentes :

Calez la cadence sur la juridiction et le canal concernés ; ne considérez aucun de ces chiffres comme « le » chiffre universel de fraîcheur.

Gérer le retrait (article 7, paragraphe 3)

Il doit être aussi simple de retirer que de donner son consentement, « à tout moment », à l’initiative de la personne elle-même, et pas seulement par une réponse de refus. Un « processus en une seule étape facilement accessible » ("easily accessible one-step process"), idéalement par le même moyen que celui utilisé pour consentir. Bonne pratique : proposer à la fois un mécanisme disponible à tout moment (tableau de bord) et un refus par réponse dans chaque contact (le lien de désabonnement ou l’en-tête de désabonnement en un clic). L’ICO relève qu’un tiers peut retirer le consentement au nom de la personne s’il y est autorisé, ce qui ouvre la porte aux registres sectoriels d’opposition (par exemple le Fundraising Preference Service). Chaque retrait alimente la donnée n° 5 et la liste de suppression.

Les normes de structure des preuves

Une décennie de travaux a convergé vers une structure commune et lisible par machine pour la preuve de consentement. Connaître cette filiation indique quels champs font consensus comme essentiels.

L’ISO/IEC TS 27560:2023 (une spécification technique, pas encore une norme internationale à part entière) structure une preuve de consentement en quatre types d’informations : (1) le traitement des données personnelles ; (2) la ou les notices de confidentialité par lesquelles ces informations ont été fournies ; (3) la manière dont les données ou le consentement ont été obtenus ; et (4) les événements liés au consentement (donné, renouvelé, retiré). Elle distingue deux éléments :

• La preuve de consentement (consent record, interne) : « documentation d’informations sur le consentement d’une personne concernée… les détails du traitement ainsi que les interactions liées au consentement » ("documentation of information about a data subject’s consent… the details about the processing as well as the interactions related to consent"). Conservée par l’organisation pour démontrer la validité : c’est votre élément de preuve au titre de la charge de la preuve.
• Le reçu de consentement (consent receipt, externe) : « un document faisant autorité servant à communiquer l’existence d’une preuve de consentement ou à fournir des informations qu’elle contient » ("an authoritative document used to communicate the existence of a consent record or to provide information contained within it"), remis à la personne. Il peut contenir tout, une partie ou rien du contenu de la preuve ; la 27560 n’impose pour le reçu qu’un en-tête minimal (identifiant de la preuve et version du schéma) et recommande de réutiliser les champs de la preuve pour le reste.

La structure des champs de l’ISO/IEC 27560

Selon le guide de mise en œuvre du W3C DPV, les champs se répartissent entre en-tête, traitement et événement de consentement. En gras = obligatoire (la norme permet aux profils ou schémas de modifier ce qui est obligatoire, par exemple un profil RGPD de l’UE) :

On remarque que l’ensemble obligatoire correspond presque terme à terme aux cinq éléments de l’ICO (qui = identité de la personne concernée + identifiant de l’entité ; quand = horodatage de l’événement ; ce qui a été dit = notice de confidentialité + langue ; comment = méthode de collecte + type d’événement ; retrait = type, statut et horodatage de l’événement), et qu’il y ajoute le détail du traitement (finalité, catégories de données, responsable du traitement, destinataires, conservation, juridiction) qui rend la preuve spécifique et granulaire.

Les champs du reçu Kantara (référence du prédécesseur)

Le JSON Kantara v1.1.0 (toujours la liste de champs la plus concrète, que de nombreux outils implémentent) : la trace d’une autorisation accordée par un PII Principal (la personne concernée) à un PII Controller (le responsable du traitement) :

Ce que dit la recherche (arxiv 2405.04528)

Pandit, Lindquist et Krog, Implementing ISO/IEC TS 27560:2023 Consent Records and Receipts for GDPR and DGA (2024), est l’étude de mise en œuvre de référence. Constats pertinents ici :

• La structure abstraite de la 27560 n’est pas, à elle seule, interopérable entre machines : deux organisations peuvent produire des preuves conformes à la 27560 qui ne s’échangent pas. L’article comble cet écart en associant chaque champ au vocabulaire du W3C DPV, ce qui donne des preuves et des reçus réellement interopérables et vérifiables.
• Il aligne la 27560 (structure de la preuve) sur l’ISO/IEC 29184 (contenu de la notice et du consentement) et sur les obligations du RGPD, en montrant que la référence à la version de la notice (donnée n° 3 de l’ICO) est un champ de premier rang, et non un ajout accessoire.
• Il étend la même mécanique au Data Governance Act de l’UE : la structure de la preuve s’applique au-delà du consentement au marketing, aux scénarios de partage de données et d’altruisme en matière de données.

Enseignement pratique pour un ESP : adoptez l’ensemble de champs de la 27560 comme schéma de vos preuves et les termes du DPV comme format d’échange si vous avez besoin de preuves qui résistent à une transmission du responsable du traitement au sous-traitant ou aux outils d’une autorité. Si vous n’avez besoin que d’une preuve interne, l’ensemble de champs suffit.

Un schéma de preuve de consentement applicable par un ESP

En combinant les cinq éléments de l’ICO, les champs obligatoires de la 27560 et les besoins propres à la délivrabilité, voici la preuve par événement de consentement qu’un ESP (ou son client, le responsable du traitement) devrait conserver :

Notes de conception :

• Une preuve par (personne, finalité, événement). Un renouvellement ou un retrait ajoute une nouvelle ligne d’événement ; n’écrasez jamais : l’historique est la piste d’audit. L’état du consentement à un instant donné est le dernier événement par (personne, finalité).
• Figez la notice, ne renvoyez pas à la version en ligne. Conservez l’instantané versionné du formulaire et de la notice (ou une empreinte de son contenu) pour que le n° 3 soit reproductible. Versionnez les politiques de confidentialité et les textes de consentement comme des éléments immuables.
• Le double opt-in produit la preuve la plus solide : le clic de confirmation fournit un second horodatage et une seconde IP qui prouvent que le titulaire de l’adresse a agi, ce qui déjoue en même temps le bombardement d’inscriptions, tient les adresses pièges à l’écart de la liste et correspond à la méthode de consentement que les autorités considèrent comme probante (l’Allemagne l’exige de fait).
• Multi-locataire : l’ESP conserve la preuve pour le compte du responsable du traitement (son client). Au regard du RGPD, le client est le responsable du traitement et doit pouvoir la récupérer et l’exporter : alignez ce point sur les obligations du sous-traitant et sur la remise des données en fin de contrat décrite dans Le RGPD et les listes de suppression des ESP.

Conservation

• Conservez la preuve aussi longtemps que vous traitez des données sur la base de ce consentement (ICO), puis pendant une durée défendable ensuite, pour répondre aux plaintes tardives et aux actions dans les délais de prescription, mais « pas plus longtemps que nécessaire » (CEPD). Fixez une règle de conservation explicite par catégorie de preuve plutôt que de tout garder indéfiniment.
• Retrait ≠ suppression de la preuve. Après un retrait, vous cessez de traiter les données pour cette finalité, mais la preuve du consentement et de son retrait reste elle-même nécessaire pour prouver que vous avez respecté le retrait et pour maintenir l’adresse en suppression. C’est la tension entre effacement et suppression résolue dans Le RGPD et les listes de suppression des ESP : l’enregistrement de suppression ou de retrait est conservé sur une base légale distincte (conformité et responsabilité), indépendante du consentement au marketing.
• Séparez les deux horloges : la conservation de la preuve d’un consentement actif (pendant le traitement) et la conservation de la trace du retrait ou de la suppression (indéfiniment, jusqu’à ce que l’adresse soit morte, pour éviter tout nouvel envoi).

Conservation des preuves de consentement selon la juridiction

Distincte de la fraîcheur du consentement (la cadence de nouvelle demande de permission rapprochée ci-dessus) : il s’agit ici de la durée de conservation de l’élément de preuve du consentement lui-même. Aucun régime ne fixe de durée pour la preuve : chacun lie la conservation à la durée du traitement augmentée d’une période de défense ou de prescription. Calez-vous sur la juridiction concernée :

Le fil conducteur : la conservation des preuves de consentement repose sur un principe (conserver pendant le traitement, plus une période de prescription ou de défense), et non sur une durée fixe ; le délai de prescription de 3 ans de la LCAP est le seul repère concret.

Produire les preuves sur demande

Lorsqu’une autorité, un plaignant ou une liste de blocage demande « prouvez le consentement pour x@example.com » :

1. Résoudre le subject_id, puis extraire l’historique complet des événements pour cette adresse (donné, renouvellements, retrait).
2. Restituer, pour l’événement concerné : qui (subject_id), quand (horodatage, et horodatage de la confirmation du double opt-in), ce qui a été dit (la notice_version et le form_snapshot figés), comment (collection_method, submitted_data, IP et user agent) et le statut du retrait.
3. Pour une liste de blocage ou une adresse piège touchée, ajouter le contexte d’acquisition : source_url, campagne, IP d’opt-in et de confirmation, et la position de l’adresse dans le cycle de suppression et d’hygiène.
4. Vérifier l’integrity_hash pour montrer que la preuve n’a pas été modifiée.

S’il manque l’un des éléments qui, quand, ce qui a été dit, comment ou retrait, vous ne pouvez pas satisfaire à la charge de la preuve : c’est la raison opérationnelle de recueillir les cinq lors de l’inscription, et non de les reconstituer sous la contrainte. Une preuve qu’il faut reconstruire après coup n’est pas une preuve.

Voir aussi

• Directive ePrivacy et RGPD dans l’UE : le marketing par email : quand le consentement est requis ; la norme du CEPD « Démontrable » (article 7, paragraphe 1) et « Révocable » (article 7, paragraphe 3)
• Méthodes de consentement et échelle de qualité des listes : comment les adresses sont acquises ; pourquoi le double opt-in fournit la preuve la plus solide
• Le RGPD et les listes de suppression des ESP : la trace du retrait et de l’effacement, et la solution consistant à conserver pour supprimer
• L’ESP sous-traitant au sens du RGPD : la répartition entre responsable du traitement et sous-traitant pour les preuves conservées pour le compte d’un client
• Droit d’opposition et droit à l’effacement · Architecture des listes de suppression · Réponse aux incidents d’adresses pièges