Conservation des preuves de consentement et charge de la preuve

Ceci n’est pas un avis juridique. Une synthèse des lignes directrices et des normes sur la conservation des preuves de consentement, à l’intention des praticiens de la délivrabilité. Consultez un conseil qualifié pour toute décision de conformité.

Si vous invoquez le consentement comme base légale d’un envoi, ou comme défense lorsque votre délivrabilité est mise en cause, la charge de la preuve pèse sur vous. L’article 7, paragraphe 1, du RGPD dispose : « le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement ». La question n’est pas seulement de savoir si la personne a consenti. Il s’agit de savoir si vous pouvez le prouver, pour chaque adresse, des années plus tard, devant une autorité ou devant un analyste de liste de blocage qui présume le pire.

Les sections ci-dessous présentent les données précises à recueillir, les normes de structure des preuves qui convergent vers un schéma commun, et une preuve de consentement qu’un ESP peut mettre en œuvre.

Directive ePrivacy et RGPD explique quand le consentement est requis et la norme de qualité du Comité européen de la protection des données (CEPD), dont la ligne « Démontrable ». Méthodes de consentement classe les manières d’acquérir des adresses. Le RGPD et les listes de suppression des ESP traite de la trace du retrait et de l’effacement. La preuve décrite ici sous-tend les trois.

Pourquoi la preuve compte deux fois

Une preuve de consentement est mise à l’épreuve dans deux contextes très différents :

• Une contestation réglementaire. Une autorité de protection des données, comme l’ICO ou la CNIL, ou un plaignant, demande au responsable du traitement de justifier sa base légale. Sans preuve, il n’y a en pratique pas de consentement. Le CEPD indique explicitement que renvoyer à la configuration actuelle du site web ne suffit pas (lignes directrices 05/2020, ¶108) : vous devez reproduire ce que la personne a réellement vu et fait à ce moment-là.
• Une contestation par une liste de blocage ou en délivrabilité. Une adresse piège touchée, un pic de plaintes via une feedback loop (FBL) ou une inscription chez Spamhaus soulève la question « d’où vient cette adresse ? ». Une trace de la manière dont chaque adresse a été acquise (source, horodatage, adresse IP, version du formulaire, événement d’opt-in) fait souvent la différence entre un retrait de liste rapide et un retrait qui s’enlise. C’est aussi la première chose que demande l’enquête sur un incident d’adresse piège.

La même preuve répond aux deux. Construisez-la une seule fois.

ICO : obtenir, enregistrer, gérer

Les lignes directrices de l’Information Commissioner’s Office (ICO) britannique, How should we obtain, record and manage consent?, sont l’énoncé le plus concret d’une autorité sur ce qu’il faut conserver. L’ICO signale que ces lignes directrices sont en cours de révision à la suite du Data (Use and Access) Act 2025.

Les cinq données à enregistrer

L’ICO indique : « vous devez disposer d’une piste d’audit efficace de la manière et du moment où le consentement a été donné » ("you must have an effective audit trail of how and when consent was given"). La preuve doit démontrer les cinq éléments suivants :

Deux autres points s’appliquent. Le consentement doit être spécifique et granulaire, donc « vos registres doivent aussi être spécifiques et granulaires pour démontrer exactement ce que couvre le consentement » ("your records also need to be specific and granular to demonstrate exactly what the consent covers") : conservez une preuve par finalité, et non un indicateur global unique. Pour le consentement en ligne, l’ICO suggère « une fonction de hachage cryptographique appropriée pour garantir l’intégrité des données » ("an appropriate cryptographic hash function to support data integrity"), ce qui rend détectable toute falsification de la preuve conservée.

L’élément qui compte le plus, et qui est le plus souvent oublié, est le n° 3. Vous devez pouvoir reproduire la formulation exacte, la mise en page du formulaire et la version de la notice de confidentialité que la personne a vues, avec leurs versions et leurs dates. Un formulaire en ligne aujourd’hui ne prouve pas une inscription d’il y a trois ans.

Gérer : réexaminer régulièrement le consentement

L’ICO présente le consentement comme « une composante dynamique de votre relation continue » ("a dynamic part of your ongoing relationship"), et non comme quelque chose que l’on recueille une fois puis que l’on classe :

• Les outils de gestion des préférences et les tableaux de bord de confidentialité sont une bonne pratique. Ils permettent aux personnes de consulter et de mettre à jour leurs propres paramètres de consentement.
• Réexaminez régulièrement les consentements, et renouvelez-les dès que quelque chose change. Une nouvelle finalité ou une évolution du traitement peut faire que le consentement initial ne soit plus spécifique ou éclairé.
• Intervalle de renouvellement : « En cas de doute, nous vous recommandons d’envisager de renouveler le consentement tous les deux ans » ("If in doubt, we recommend you consider refreshing consent every two years"). Un intervalle plus long peut se justifier. Le consentement parental peut devoir être renouvelé plus souvent, à mesure que les enfants atteignent l’âge de consentir eux-mêmes.
• Si vous n’êtes pas en contact régulier avec les personnes, envoyez-leur de temps à autre un rappel de leur droit de retirer leur consentement et de la manière de le faire.

Ce repère par défaut « tous les deux ans » sert de base pour décider à quelle fréquence redemander la permission, ou appliquer une politique de mise en sommeil, pour les listes fondées sur le consentement dans l’UE et au Royaume-Uni.

La durée pendant laquelle un consentement reste frais dépend de la juridiction et du canal. Il n’existe pas de chiffre universel unique. Les chiffres des autorités varient d’un facteur 8 environ, car ils répondent à des questions différentes :

Fixez votre cadence selon la juridiction et le canal concernés. Ne considérez aucun de ces chiffres comme le chiffre universel de fraîcheur.

Gérer le retrait (article 7, paragraphe 3)

Retirer son consentement doit être aussi simple que de le donner, « à tout moment » et à l’initiative de la personne elle-même, et pas seulement en répondant à un message. L’ICO demande un « processus en une seule étape facilement accessible » ("easily accessible one-step process"), idéalement par le même moyen que celui utilisé pour consentir. La bonne pratique consiste à proposer à la fois un mécanisme disponible à tout moment (comme un tableau de bord) et un moyen de refuser dans chaque message (le lien de désabonnement ou l’en-tête de désabonnement en un clic). L’ICO relève qu’un tiers peut retirer le consentement au nom de la personne s’il y est autorisé, ce qui ouvre la voie aux registres sectoriels d’opposition comme le Fundraising Preference Service. Chaque retrait alimente la donnée n° 5 et la liste de suppression.

Les normes de structure des preuves

Dix ans de travaux ont produit une structure commune et lisible par machine pour la preuve de consentement. Savoir comment ces normes se sont construites indique sur quels champs il existe un consensus.

L’ISO/IEC TS 27560:2023 est une spécification technique, pas encore une norme internationale à part entière. Elle organise une preuve de consentement en quatre types d’informations : (1) le traitement des données personnelles ; (2) la ou les notices de confidentialité par lesquelles ces informations ont été fournies ; (3) la manière dont les données ou le consentement ont été obtenus ; et (4) les événements liés au consentement (donné, renouvelé, retiré). Elle distingue deux documents :

• La preuve de consentement (consent record, interne) : « documentation d’informations sur le consentement d’une personne concernée… les détails du traitement ainsi que les interactions liées au consentement » ("documentation of information about a data subject’s consent… the details about the processing as well as the interactions related to consent"). L’organisation la conserve pour démontrer que le consentement est valide. C’est la preuve qui vous permet de satisfaire à la charge de la preuve.
• Le reçu de consentement (consent receipt, externe) : « un document faisant autorité servant à communiquer l’existence d’une preuve de consentement ou à fournir des informations qu’elle contient » ("an authoritative document used to communicate the existence of a consent record or to provide information contained within it"), remis à la personne. Il peut contenir tout, une partie ou rien du contenu de la preuve. La 27560 n’impose pour le reçu qu’un en-tête minimal (l’identifiant de la preuve et la version du schéma) et demande de réutiliser les champs de la preuve pour le reste.

La structure des champs de l’ISO/IEC 27560

Selon le guide de mise en œuvre du W3C DPV, les champs se répartissent en trois groupes : en-tête, traitement et événement de consentement. Le gras signale un champ obligatoire. La norme permet aux profils ou aux schémas de modifier les champs obligatoires, par exemple un profil pour le RGPD de l’UE.

L’ensemble obligatoire correspond presque terme à terme aux cinq données de l’ICO. « Qui » correspond à l’identité de la personne concernée et à l’identifiant de l’entité. « Quand » correspond à l’horodatage de l’événement. « Ce qui a été dit » correspond à la notice de confidentialité et à sa langue. « Comment » correspond à la méthode de collecte et au type d’événement. « Retrait » correspond au type, au statut et à l’horodatage de l’événement. La norme ajoute le détail du traitement (finalité, catégories de données, responsable du traitement, destinataires, conservation, juridiction) qui rend la preuve spécifique et granulaire.

Les champs du reçu Kantara (la référence antérieure)

Le schéma JSON Kantara v1.1.0 reste la liste de champs la plus concrète, et de nombreux outils l’implémentent. Il consigne l’autorisation qu’un PII Principal (la personne concernée) accorde à un PII Controller (le responsable du traitement) :

Ce que dit la recherche (arxiv 2405.04528)

Pandit, Lindquist et Krog, Implementing ISO/IEC TS 27560:2023 Consent Records and Receipts for GDPR and DGA (2024), est l’étude de référence sur la mise en œuvre. Ses constats utiles ici :

• La structure abstraite de la 27560 ne rend pas, à elle seule, les preuves interopérables entre machines. Deux organisations peuvent produire des preuves conformes à la 27560 et ne pas pouvoir les échanger. L’article comble cet écart en associant chaque champ au vocabulaire du W3C DPV, ce qui donne des preuves et des reçus réellement interopérables et vérifiables.
• Il aligne la 27560 (la structure de la preuve) sur l’ISO/IEC 29184 (le contenu des notices et du consentement) et sur les obligations du RGPD. Il montre ainsi que la référence à la version de la notice (donnée n° 3 de l’ICO) est un champ central, et non un ajout accessoire.
• Il applique la même approche au Data Governance Act (DGA) de l’UE, ce qui montre que la structure de la preuve fonctionne au-delà du consentement au marketing, pour le partage de données et l’altruisme en matière de données.

En pratique, pour un ESP : adoptez l’ensemble de champs de la 27560 comme schéma de vos preuves, et les termes du DPV comme format d’échange, si vos preuves doivent résister à une transmission entre responsable du traitement et sous-traitant ou être lues par les outils d’une autorité. Si vous n’avez besoin que d’une preuve à usage interne, l’ensemble de champs suffit.

Un schéma de preuve de consentement applicable par un ESP

En combinant les cinq données de l’ICO, les champs obligatoires de la 27560 et les besoins du travail de délivrabilité, un ESP (ou son client, le responsable du traitement) devrait conserver la preuve suivante pour chaque événement de consentement :

Notes de conception :

• Conservez une preuve par combinaison de personne, de finalité et d’événement. Un renouvellement ou un retrait ajoute une nouvelle ligne d’événement. N’écrasez jamais une ligne, car l’historique constitue la piste d’audit. L’état du consentement à un instant donné est le dernier événement pour cette personne et cette finalité.
• Figez la notice au lieu de renvoyer à la version en ligne. Conservez l’instantané versionné du formulaire et de la notice (ou une empreinte de son contenu) pour que la donnée n° 3 soit reproductible. Conservez les versions des politiques de confidentialité et des textes de consentement comme des documents qui ne changent jamais.
• Le double opt-in produit la preuve la plus solide. Le clic de confirmation fournit un second horodatage et une seconde adresse IP, qui prouvent que le titulaire de l’adresse a agi. La même étape déjoue le bombardement d’inscriptions, tient les adresses pièges à l’écart de la liste, et correspond à la méthode de consentement que les autorités acceptent comme preuve (l’Allemagne l’exige de fait).
• Plateformes multi-locataires : l’ESP conserve la preuve pour le compte du responsable du traitement, son client. Au regard du RGPD, le client est le responsable du traitement et doit pouvoir récupérer ou exporter la preuve. Alignez ce point sur les obligations du sous-traitant et sur la remise des données en fin de contrat décrite dans Le RGPD et les listes de suppression des ESP.

Conservation

• Conservez la preuve aussi longtemps que vous traitez des données sur la base de ce consentement (ICO), puis pendant une durée défendable ensuite pour répondre aux plaintes tardives et aux actions dans les délais de prescription, mais « pas plus longtemps que nécessaire » (CEPD). Fixez une règle de conservation explicite pour chaque catégorie de preuve plutôt que de tout garder indéfiniment.
• Un retrait ne signifie pas supprimer la preuve. Après un retrait, vous cessez de traiter les données pour cette finalité, mais vous avez besoin de la preuve du consentement et de son retrait elle-même, pour prouver que vous avez respecté le retrait et pour maintenir l’adresse en suppression. Le RGPD et les listes de suppression des ESP résout cette tension entre effacement et suppression : l’enregistrement de suppression ou de retrait est conservé sur une base légale distincte (conformité et responsabilité), indépendamment du consentement au marketing.
• Séparez les deux horloges. La première est la durée de conservation de la preuve d’un consentement actif (pendant le traitement). La seconde est la durée de conservation de la trace du retrait ou de la suppression (indéfiniment, jusqu’à ce que l’adresse n’existe plus, pour éviter tout nouvel envoi).

Conservation des preuves de consentement selon la juridiction

Il ne s’agit pas ici de la durée pendant laquelle un consentement reste frais (la cadence pour redemander la permission, comparée plus haut), mais de la durée de conservation de la preuve du consentement elle-même. Aucun régime ne fixe de durée pour la preuve. Chacun lie la conservation à la durée du traitement, augmentée d’une période de défense ou de prescription. Suivez la règle de la juridiction concernée :

Le point commun est que la conservation des preuves de consentement suit un principe (les conserver pendant le traitement, plus une période de prescription ou de défense), et non une durée fixe. Le délai de prescription de 3 ans de la LCAP est le seul chiffre concret.

Produire les preuves sur demande

Lorsqu’une autorité, un plaignant ou une liste de blocage vous demande de prouver le consentement pour x@example.com :

1. Recherchez le subject_id et extrayez l’historique complet des événements pour cette adresse (donné, renouvellements, retrait).
2. Pour l’événement concerné, restituez qui (subject_id), quand (l’horodatage, et l’horodatage de la confirmation du double opt-in), ce qui a été dit (la notice_version et le form_snapshot figés), comment (collection_method, submitted_data, adresse IP et user agent) et le statut du retrait.
3. Pour une inscription sur liste de blocage ou une adresse piège touchée, ajoutez le contexte d’acquisition : source_url, la campagne, les adresses IP d’opt-in et de confirmation, et la position de l’adresse dans le cycle de suppression et d’hygiène.
4. Vérifiez l’integrity_hash pour montrer que la preuve n’a pas été modifiée.

S’il manque l’un des éléments qui, quand, ce qui a été dit, comment ou retrait, vous ne pouvez pas satisfaire à la charge de la preuve. C’est la raison pratique de recueillir les cinq lors de l’inscription plutôt que de les reconstituer lorsqu’on vous les réclame. Une preuve qu’il faut reconstruire après coup n’est pas une preuve.

Voir aussi

• Directive ePrivacy et RGPD dans l’UE : le marketing par email, notamment les normes du CEPD « Démontrable » (article 7, paragraphe 1) et « Révocable » (article 7, paragraphe 3)
• Méthodes de consentement et échelle de qualité des listes, notamment pourquoi le double opt-in fournit la preuve la plus solide
• Le RGPD et les listes de suppression des ESP
• L’ESP sous-traitant au sens du RGPD, pour les preuves conservées pour le compte d’un client
• Droit d’opposition et droit à l’effacement
• Architecture des listes de suppression
• Réponse aux incidents d’adresses pièges