Des cases de consentement qui font office de preuve

L'article 6, paragraphe 1, du RGPD énumère six bases légales, dont le consentement n'est qu'une possibilité. La base qui convient dépend de l'usage que vous faites des données, et non du formulaire lui-même.

• Répondre à une demande de renseignements. La personne vous a posé une question et attend une réponse. Cela relève généralement de l'article 6, paragraphe 1, point b, des mesures prises à la demande de la personne avant la conclusion d'un contrat, ou du point f, des intérêts légitimes. Une case de consentement apporte peu ici, et elle a un coût : le consentement peut être retiré à tout moment (article 7, paragraphe 3), après quoi vous devriez cesser le traitement sur ce fondement.
• E-mail marketing ou newsletter. Ajouter quelqu'un à une liste de diffusion dépasse ce qu'il a demandé. C'est le cas classique d'une case de consentement distincte et facultative. L'e-mail marketing est aussi régi par les règles nationales transposant la directive ePrivacy, qui exigent dans la plupart des cas un consentement préalable.
• Conservation des données pour plus tard. Garder le CV d'un candidat pour de futurs postes, ou transmettre des coordonnées à un partenaire pour son propre usage, sont des finalités distinctes. Chacune a besoin de sa propre base, et le consentement est souvent celle qui convient.
• Données de catégorie particulière. Les données de santé et les autres catégories visées à l'article 9 nécessitent une condition de l'article 9, paragraphe 2, en plus d'une base légale ; le consentement explicite en fait partie.

L'article 4, point 11, définit le consentement comme libre, spécifique, éclairé et univoque. L'article 7 précise les conditions. Concrètement, pour un formulaire :

• La case est décochée au départ. Le silence, les cases pré-cochées et l'inactivité ne constituent pas un consentement (considérant 32).
• Une case par finalité, distincte de l'acceptation de vos conditions (article 7, paragraphe 2).
• Le service ne dépend pas du fait de cocher la case lorsque les données ne sont pas nécessaires à ce service (article 7, paragraphe 4).
• La personne peut retirer son consentement aussi facilement qu'elle l'a donné, et elle en est informée avant de donner son accord (article 7, paragraphe 3).
• Vous pouvez démontrer que la personne a consenti, et selon quel texte (article 7, paragraphe 1).

Le Comité européen de la protection des données détaille chaque condition, avec des exemples, dans ses lignes directrices 05/2020 sur le consentement.

Un bon texte de consentement indique qui vous êtes, la finalité précise et comment retirer son consentement. Il se lit comme une phrase qu'une personne accepterait, et non comme une clause juridique. Par exemple :

Envoyez-moi la lettre d'information mensuelle d'Acme Studio sur les nouveaux cours. Je peux me désabonner à tout moment grâce au lien présent dans chaque e-mail. Lisez la politique de confidentialité.

Formulations à éviter : « J'accepte les conditions générales et la politique de confidentialité » (groupé, sans finalité précise), « Je consens au traitement de mes données » (quel traitement, pour quoi ?), ou tout ce qui subordonne l'envoi de la demande à l'inscription à une liste de diffusion.

Chaque formulaire dispose d'un réglage de consentement RGPD dans ses paramètres de confidentialité, disponible dans toutes les offres, y compris Free. Vous activez la collecte du consentement, rédigez le texte de consentement (2 000 caractères maximum) et choisissez si le consentement est obligatoire.

• Formulaires hébergés affichent automatiquement la case, non cochée, avec votre texte à côté.
• Consentement obligatoire. Lorsqu'il est obligatoire, une soumission sans case cochée est rejetée avec 422 consent_required avant d'être enregistrée ou décomptée de votre quota.
• Preuve. Lorsque la personne coche la case, Formward enregistre le texte de consentement configuré sur le formulaire ainsi que l'heure de l'envoi. Les deux apparaissent dans l'affichage de la soumission. Le texte est un instantané : si vous modifiez la formulation plus tard, les envois précédents conservent la formulation vue par leurs auteurs.
• Consentement facultatif. Si le consentement n'est pas obligatoire et que la case reste non cochée, la soumission est acceptée et aucun consentement n'est enregistré pour elle.

Formward enregistre le consentement, mais il ne gère pas le retrait à votre place. Si une personne retire son consentement, cessez le traitement qui en dépendait (pour une lettre d'information, désabonnez-la dans votre outil d'envoi) et, si elle le demande, effacez ses soumissions.

Sur un formulaire que vous hébergez vous-même, ajoutez une case à cocher nommée _consent. Formward considère on, true, 1 et yes comme un consentement donné ; un navigateur envoie on pour une case cochée et rien pour une case non cochée.

Copy<form action="https://forms.formward.eu/f/<FORM_ID>" method="POST">
  <label>Email <input type="email" name="email" required /></label>
  <label>Message <textarea name="message" required></textarea></label>

  <!-- Optional and unticked. Same wording as the form's consent text. -->
  <label>
    <input type="checkbox" name="_consent" />
    Email me Acme Studio's monthly newsletter about new courses.
    I can unsubscribe at any time with the link in every email.
  </label>

  <input type="text" name="_gotcha" style="display:none" tabindex="-1" autocomplete="off" />
  <button type="submit">Send</button>
</form>

Gardez le libellé identique au texte de consentement défini dans les paramètres du formulaire. Formward enregistre le texte configuré, jamais le texte envoyé par le navigateur : les deux doivent correspondre pour que l'enregistrement décrive ce que la personne a réellement vu. La valeur de _consent elle-même n'est pas enregistrée avec les réponses.