Qu'est-ce qu'un reçu de consentement ?
Un reçu de consentement aide une organisation à démontrer et à auditer le consentement plutôt qu'à s'appuyer sur une simple valeur « consent = true » en base de données ou sur une capture d'écran d'un bandeau de consentement.
Au titre du GDPR, lorsque le traitement repose sur le consentement, l'organisation doit être en mesure de démontrer que la personne a consenti. Des enregistrements de consentement efficaces doivent donc conserver des informations telles que qui a consenti, quand le consentement a été donné, ce qui a été indiqué à la personne et comment le consentement a été obtenu.
En Inde, la DPDP Act prévoit également que, lorsque le consentement constitue la base du traitement et que sa validité est contestée, le Data Fiduciary doit être en mesure de prouver que la mention d'information requise a été fournie et que le consentement a été obtenu conformément à la loi et aux règles applicables.
Le reçu de consentement en termes simples
Considérez un reçu de consentement comme une preuve numérique d'une décision de consentement.
Par exemple, un visiteur ouvre un site web et choisit :
- Cookies de mesure d'audienceAutorisé
- Cookies publicitairesRefusé
- Publicité personnaliséeRefusé
- Cookies fonctionnelsAutorisé
Un reçu de consentement utile peut conserver la décision ainsi que le contexte nécessaire pour la reconstituer, par exemple :
- L'identifiant du reçu ou de la transaction de consentement
- La date et l'heure
- L'identifiant de l'utilisateur ou l'identifiant pseudonyme
- Les catégories ou finalités de consentement
- Les services, fournisseurs ou activités de traitement couverts
- Le statut du consentement pour chaque finalité
- La version de la mention d'information ou du bandeau de consentement
- La méthode ou le canal par lequel le consentement a été recueilli
- La juridiction ou le contexte réglementaire pertinent
- L'horodatage d'un retrait ou d'une modification ultérieurs
- Les preuves reliant la décision à la mention d'information applicable
Les champs exacts dépendent de la mise en œuvre, de la juridiction et du cas d'usage.
Pourquoi les reçus de consentement sont-ils importants ?
Un bandeau de consentement ne montre que l'interface présentée aux utilisateurs. Il ne prouve pas nécessairement ce qu'un utilisateur donné a sélectionné à un moment donné.
Un reçu de consentement fournit une représentation auditable d'une transaction de consentement individuelle.
C'est particulièrement important lorsqu'une organisation doit répondre à des questions telles que :
- À quoi cet utilisateur a-t-il consenti ?
- Quand a-t-il consenti ?
- Quelle mention d'information a-t-il vue ?
- Quelles finalités étaient couvertes ?
- A-t-il ensuite retiré son consentement ?
- Quel état de consentement était actif au moment du traitement ?
Un système solide de gestion du consentement doit donc conserver suffisamment de preuves pour reconstituer l'événement de consentement concerné.
Les lignes directrices de l'ICO recommandent de tenir une piste d'audit efficace et de consigner qui a consenti, quand, ce qui a été indiqué à la personne et comment le consentement a été obtenu.
Reçu de consentement et enregistrement de consentement
Les termes reçu de consentement et enregistrement de consentement sont étroitement liés, mais ils ne doivent pas être automatiquement considérés comme identiques.
Enregistrement de consentement
Un enregistrement de consentement est la preuve sous-jacente conservée par une organisation ou par un système de gestion du consentement.
Il peut contenir des informations techniques détaillées sur :
- L'événement de consentement
- L'identifiant de l'utilisateur
- L'horodatage
- La version de la mention d'information
- Les finalités
- Les fournisseurs ou services
- Le statut du consentement
- La méthode de collecte
- Les retraits
- Les modifications des préférences
- La juridiction
- Les métadonnées techniques
Reçu de consentement
Un reçu de consentement est une représentation de cette transaction de consentement, qui peut être présentée ou mise à disposition de la personne et utilisée comme preuve de la décision.
La Kantara Consent Receipt Specification décrit un reçu de consentement comme l'enregistrement d'une autorisation accordée par une personne à un responsable du traitement pour traiter des informations personnelles, et définit une représentation lisible par l'humain qui peut également être représentée en JSON.
Pourquoi cette distinction compte
Une base de données peut contenir des milliers d'événements de consentement internes, tandis qu'un reçu de consentement destiné à l'utilisateur peut fournir une représentation claire de la décision de consentement d'une personne donnée.
Que doit contenir un reçu de consentement ?
Il n'existe pas de liste de champs universelle que chaque organisation devrait utiliser pour chaque transaction de consentement.
Toutefois, un reçu de consentement robuste doit contenir suffisamment d'informations pour établir le contexte et la substance de la décision.
Identifiant de consentement
Un identifiant unique permet à l'organisation de localiser et de référencer une transaction de consentement donnée.
Horodatage
Le reçu doit consigner le moment où la décision de consentement a eu lieu, idéalement avec l'information de fuseau horaire ou UTC appropriée.
Identifiant de l'utilisateur ou de la personne concernée
L'enregistrement doit identifier la personne ou l'appareil concerné de manière proportionnée.
Selon la mise en œuvre, il peut s'agir d'un identifiant de compte, d'un identifiant pseudonyme, d'un identifiant de session ou d'une autre référence appropriée.
Statut du consentement
Le reçu doit indiquer si une finalité, une catégorie ou une activité de traitement donnée a été :
- Accordée
- Refusée
- Retirée
- Modifiée
Un enregistrement granulaire est généralement plus utile qu'une simple valeur globale « accepté ».
Finalités
Le reçu doit identifier ce que le consentement couvrait.
Par exemple :
- Mesure d'audience
- Publicité personnalisée
- Communications marketing
- Personnalisation
- Partage de données
- Fonctionnalité produit spécifique
Le consentement ne doit pas être représenté comme plus large que les finalités pour lesquelles il a effectivement été obtenu.
Version de la mention d'information ou de la politique
L'organisation doit être en mesure d'identifier la mention d'information, le bandeau de consentement ou les autres informations présentées lorsque le consentement a été obtenu.
C'est particulièrement important lorsque les mentions d'information évoluent dans le temps.
Un enregistrement indiquant « l'utilisateur a consenti » est bien plus faible qu'un enregistrement capable d'établir :
Utilisateur → événement de consentement → finalité → version de la mention d'information → horodatage.
Méthode de collecte
Le reçu peut consigner la manière dont le consentement a été obtenu, par exemple :
- Bandeau de consentement du site web
- Centre de préférences
- Application mobile
- Paramètres du compte
- Consent Manager
- Formulaire écrit
- Autre canal pris en charge
Services ou fournisseurs
Le cas échéant, le reçu peut identifier les services, fournisseurs, cookies, balises ou activités de traitement associés à la décision.
C'est particulièrement utile pour le consentement aux cookies et les environnements de technologies publicitaires.
Retrait ou modifications ultérieures
Le consentement n'est pas nécessairement une décision permanente.
Un système de gestion du consentement doit donc être en mesure d'associer les modifications de préférences ou les retraits ultérieurs à l'historique de consentement d'origine.
Un reçu de consentement est-il exigé par le GDPR ?
Le GDPR exige un consentement démontrable lorsque le consentement sert de base légale au traitement, mais il n'impose pas simplement, dans tous les cas, un document appelé « reçu de consentement ».
L'Article 7(1) exige que le responsable du traitement soit en mesure de démontrer que la personne concernée a consenti au traitement. En pratique, cela signifie que les organisations ont besoin de preuves fiables du consentement.
Un reçu de consentement peut être un moyen efficace de représenter ces preuves, mais les organisations doivent distinguer :
- L'obligation légale de démontrer le consentement ; et
- Une mise en œuvre technique particulière permettant d'enregistrer ou de présenter ces preuves.
Cette distinction est importante pour produire un contenu exact sur la conformité au GDPR.
Les reçus de consentement et le consentement au sens du GDPR
Pour que le consentement soit utile en tant que base légale au titre du GDPR, le consentement sous-jacent doit satisfaire aux exigences applicables.
Un reçu de consentement ne rend pas valable un consentement invalide.
Par exemple, un reçu ne peut pas corriger un mécanisme de consentement qui :
- Utilise des cases pré-cochées là où un acte positif est requis
- Regroupe des finalités sans lien entre elles
- Ne fournit pas d'informations suffisantes
- Rend le retrait inutilement difficile
- Enregistre le consentement sans conserver le contexte pertinent
- Présente à tort un refus comme un consentement
Le reçu prouve la décision qui a eu lieu. Il ne remplace pas l'obligation de recueillir un consentement valable au départ.
Que le GDPR vous impose-t-il d'enregistrer au sujet du consentement ?
L'ICO recommande de conserver des enregistrements démontrant :
- Qui a consenti
- Quand la personne a consenti
- Ce qui lui a été indiqué
- Comment le consentement a été obtenu
L'organisation doit également conserver suffisamment d'informations pour démontrer la décision de consentement aussi longtemps qu'elle s'appuie sur le consentement comme base du traitement.
Cela rend le versionnage des mentions d'information particulièrement important.
Par exemple :
- Date du consentement
- 10 septembre 2026
- Version de la mention d'information
- Mention d'information v4.2
- Finalité
- Mesure d'audience
- Décision
- Accordé
- Méthode de collecte
- CMP du site web
- Identifiant du reçu
- CR-XXXXXXXX
- Statut
- Actif
La mise en œuvre précise peut varier, mais les preuves doivent être significatives et permettre une reconstitution.
Les reçus de consentement au titre de la DPDP Act en Inde
La Digital Personal Data Protection Act, 2023 (DPDP Act) emploie les termes Data Principal et Data Fiduciary plutôt que la terminologie de « personne concernée » et de « responsable du traitement » du GDPR.
La Section 6 prévoit que le consentement doit être libre, spécifique, éclairé, inconditionnel et univoque, donné par un acte positif clair et limité aux données à caractère personnel nécessaires à la finalité déterminée.
Point important : lorsque le consentement constitue la base du traitement et que sa validité est contestée, le Data Fiduciary doit prouver que la mention d'information requise a été fournie et que le consentement a été obtenu conformément à la loi et aux règles applicables.
Les DPDP Rules définitives contiennent également des exigences spécifiques pour les Consent Managers enregistrés. Un Consent Manager doit conserver les enregistrements des consentements donnés, refusés ou retirés, des mentions d'information précédant ou accompagnant les demandes de consentement, ainsi que de certains partages de données à caractère personnel. Les règles prévoient également l'accès des Data Principals à ces enregistrements et leur mise à disposition dans un format lisible par machine sur demande, avec des exigences de conservation déterminées.
Cela rend les preuves de consentement particulièrement pertinentes pour le contenu de conformité de ConsentX axé sur l'Inde.
Reçu de consentement et bandeau de consentement
Ce n'est pas la même chose.
| Bandeau de consentement | Reçu de consentement |
|---|---|
| Interface utilisateur permettant de recueillir une décision | Enregistrement ou représentation de la décision |
| Apparaît avant ou pendant le consentement | Créé à partir de l'événement de consentement |
| Affiche les choix disponibles | Enregistre ce qui a réellement été sélectionné |
| Se concentre sur l'interaction avec l'utilisateur | Se concentre sur la preuve et l'auditabilité |
| Peut changer lorsque le design du site web change | Doit conserver le contexte historique du consentement |
| Ne prouve pas à lui seul le choix d'une personne | Peut fournir la preuve de la décision de la personne |
Une capture d'écran d'un bandeau de consentement peut montrer à quoi ressemblait un site web.
Un reçu de consentement doit aider à démontrer ce qu'une personne donnée a décidé.
Reçu de consentement et consentement aux cookies
Le consentement aux cookies est un cas d'usage spécifique de la gestion du consentement.
Un site web peut recueillir un consentement pour :
- Les cookies de mesure d'audience
- Les cookies publicitaires
- La personnalisation
- Les technologies de réseaux sociaux
- Les autres traceurs non essentiels
Le reçu de consentement peut conserver les choix qui en résultent.
Par exemple :
- Mesure d'audienceAccordé
- PublicitéRefusé
- FonctionnelAccordé
Le système de consentement sous-jacent doit également conserver l'horodatage, la version de la mention d'information et les autres preuves nécessaires pour interpréter la décision.
Reçu de consentement et plateforme de gestion du consentement
Une plateforme de gestion du consentement (CMP) est la technologie utilisée pour recueillir, gérer, appliquer et souvent enregistrer les préférences de consentement.
Un reçu de consentement est une preuve ou une représentation d'une transaction de consentement donnée.
En termes simples :
système qui gère le consentement.
preuve conservée par le système.
représentation d'une décision de consentement.
Une CMP peut donc générer ou conserver des reçus de consentement dans le cadre de ses fonctionnalités plus larges de gestion du consentement.
Qu'est-ce qu'un reçu de consentement inviolable ?
Un reçu de consentement inviolable est conçu de manière à ce que toute modification non autorisée des preuves puisse être détectée.
Cela peut faire appel à des techniques telles que :
- Les empreintes cryptographiques
- Les chaînes d'empreintes
- Les signatures numériques
- Le stockage immuable ou en ajout seul
- Les enregistrements versionnés
- Les horodatages sécurisés
- Les journaux d'audit
L'objectif n'est pas de transformer par magie un enregistrement de consentement en « preuve juridique », mais d'améliorer l'intégrité et l'auditabilité des preuves.
Par exemple, une chaîne d'empreintes peut relier des enregistrements de consentement successifs de sorte qu'une modification non autorisée d'un enregistrement antérieur puisse être détectée.
ConsentX utilise des enregistrements de consentement inviolables et décrit sa mise en œuvre comme reposant sur une chaîne d'empreintes SHA-256. La page de glossaire actuelle de ConsentX présente spécifiquement ce mécanisme comme un moyen de rendre les preuves de consentement vérifiables de manière indépendante et difficiles à antidater.
Une capture d'écran suffit-elle à prouver le consentement ?
En général, une capture d'écran seule constitue une preuve faible.
Une capture d'écran peut montrer à quoi ressemblait une interface de consentement à un moment donné, mais elle n'établit généralement pas qu'une personne donnée a fait une sélection donnée.
Une preuve plus solide peut relier :
personne ou identifiant + horodatage + décision de consentement + finalités + version de la mention d'information + méthode de collecte.
C'est pourquoi les enregistrements et les reçus de consentement sont importants pour être prêt en cas d'audit.
Que se passe-t-il lorsqu'un utilisateur retire son consentement ?
Le retrait doit être traité comme une étape du cycle de vie du consentement.
Un système de consentement utile doit conserver :
- La décision de consentement d'origine
- La date et l'heure du consentement
- Les finalités couvertes
- Le retrait ou la modification de préférences ultérieurs
- La date et l'heure du retrait
- L'état de consentement qui en résulte
- La preuve que les traitements ou technologies en aval ont été mis à jour lorsque cela était requis
Par exemple :
- 10 septembreConsentement à la mesure d'audience accordé
- 18 septembreConsentement à la mesure d'audience retiré
- 18 septembreStatut du consentement passé à refusé
Cela crée une piste d'audit bien plus claire que le simple écrasement de la valeur d'origine.
Qu'est-ce qu'une preuve de consentement ?
Les preuves de consentement constituent l'ensemble plus large d'informations qu'une organisation conserve pour démontrer que le consentement a été valablement obtenu et géré.
Elles peuvent comprendre :
- Les reçus de consentement
- Les enregistrements de consentement
- Les versions des mentions d'information
- Les journaux de consentement
- Les modifications de préférences
- Les enregistrements de retrait
- La configuration de la CMP
- Les journaux d'audit
- Les informations d'horodatage
- Les informations sur les fournisseurs ou les traitements
- Les enregistrements techniques montrant l'application des choix
Un reçu de consentement peut donc être l'un des composants d'un système plus large de preuves de consentement et d'audit.
Reçu de consentement et préparation aux audits
Un processus mature de gestion du consentement doit permettre de répondre aux questions d'un auditeur ou d'un régulateur sans reconstituer manuellement les événements historiques.
Pour chaque événement de consentement pertinent, une organisation devrait idéalement être en mesure de déterminer :
- Qui a pris la décision ?
- Quand a-t-elle été prise ?
- À quoi la personne a-t-elle consenti ?
- Qu'a-t-elle refusé ?
- Quelles informations lui ont été présentées ?
- Quelle version de la mention d'information s'appliquait ?
- Comment le consentement a-t-il été obtenu ?
- Le consentement a-t-il été retiré par la suite ?
- Quel état de consentement était actif au moment du traitement ?
- L'enregistrement peut-il être présenté sous une forme lisible par l'humain ?
- Son intégrité peut-elle être vérifiée ?
C'est là toute la valeur pratique des reçus de consentement.
Comment fonctionnent les reçus de consentement
Un flux de travail typique de reçu de consentement se présente ainsi :
Présenter la mention d'information
L'organisation présente les informations pertinentes relatives à la confidentialité ou au consentement.
Recueillir le choix de l'utilisateur
L'utilisateur effectue un choix clair pour une ou plusieurs finalités.
Créer un enregistrement de consentement
Le système enregistre la décision et les informations contextuelles pertinentes.
Générer le reçu
Une représentation lisible par l'humain de l'événement de consentement est générée.
Conserver les preuves
L'organisation stocke de manière sécurisée l'enregistrement de consentement et les métadonnées associées.
Appliquer la décision
Le choix de l'utilisateur est appliqué aux cookies, traceurs, activités de traitement ou autres technologies concernés, le cas échéant.
Enregistrer les modifications ultérieures
Si l'utilisateur modifie ou retire son consentement, le système enregistre l'événement ultérieur.
Fournir les preuves lorsque c'est nécessaire
L'organisation peut retrouver l'enregistrement pertinent pour des audits, des revues de conformité, des demandes d'exercice de droits, des litiges ou des demandes réglementaires.
Qu'est-ce qui fait un bon reçu de consentement ?
Une mise en œuvre solide doit être :
Spécifique
Il doit identifier les finalités et les traitements couverts par la décision.
Horodaté
L'organisation doit savoir quand la décision a eu lieu.
Traçable
Le reçu doit être associé à l'utilisateur, à la session ou à un autre identifiant approprié.
Versionné
L'organisation doit être en mesure d'identifier la version de la mention d'information ou de la politique présentée à ce moment-là.
Granulaire
Lorsque le consentement est recueilli séparément par finalité, les preuves doivent conserver ces choix individuels.
Sécurisé
Les preuves de consentement doivent être protégées contre les accès et les modifications non autorisés.
Auditable
L'organisation doit être en mesure de retrouver et d'interpréter les enregistrements historiques.
Respectueux de la vie privée
Les preuves de consentement peuvent elles-mêmes contenir des informations personnelles et doivent donc être traitées de manière appropriée.
Les reçus de consentement et la protection de la vie privée dès la conception
Les preuves de consentement ne doivent pas créer de risques inutiles pour la vie privée.
Un reçu de consentement peut contenir des identifiants, des horodatages, des préférences et des informations sur l'interaction d'une personne avec un service.
Les organisations doivent donc envisager :
- La minimisation des données
- Les contrôles d'accès
- Le chiffrement
- Les durées de conservation
- La pseudonymisation
- La suppression sécurisée
- La journalisation d'audit
- Un accès utilisateur approprié
L'objectif est de créer des preuves fiables sans collecter plus d'informations personnelles que nécessaire.
Erreurs courantes en matière de reçus de consentement
N'enregistrer que « consent = true »
Une valeur booléenne n'explique pas ce à quoi la personne a consenti, quand elle a consenti, ni ce qui lui a été indiqué.
Ne pas versionner les mentions d'information
Si la mention d'information change, l'organisation peut avoir du mal à établir quelle version était présentée lorsque le consentement a été obtenu.
N'enregistrer que les acceptations
Les refus et les retraits peuvent être tout aussi importants que les décisions de consentement positives.
Écraser le consentement historique
Remplacer un ancien état de consentement par une nouvelle valeur peut détruire un historique d'audit utile.
Considérer le reçu comme une preuve à lui seul de la validité du consentement
Un reçu documente un événement de consentement. Il ne rend pas conforme un mécanisme de consentement par ailleurs invalide.
Ignorer l'application en aval
Enregistrer « consentement marketing retiré » ne suffit pas si l'organisation continue d'envoyer des communications marketing sur la base de ce consentement.
Considérer une capture d'écran de bandeau comme un enregistrement de consentement
L'interface n'est pas la même chose que la décision individuelle de l'utilisateur.
Négliger la sécurité des preuves de consentement
Les enregistrements de consentement peuvent contenir des informations personnelles et doivent être protégés en conséquence.
Reçu de consentement et ConsentX
ConsentX est conçu pour aider les organisations à recueillir, gérer, appliquer et prouver le consentement dans l'ensemble de leurs flux de travail relatifs à la confidentialité et au consentement.
Pour les preuves de consentement, ConsentX propose les Enregistrements de consentement et preuves d'audit, qui permettent aux organisations de conserver un enregistrement structuré des décisions de consentement et de leur contexte.
La mise en œuvre actuelle de ConsentX décrit également des enregistrements de consentement inviolables reposant sur une chaîne d'empreintes SHA-256, conçue pour rendre les modifications non autorisées plus faciles à détecter et offrir une meilleure auditabilité.
Cela peut aider les organisations à passer de :
à :
« Voici l'enregistrement montrant ce à quoi l'utilisateur a consenti, à quel moment et dans quel contexte de consentement. »
Reçu de consentement : points clés à retenir
- Un reçu de consentement est une représentation structurée de la décision de consentement d'un utilisateur.
- Un enregistrement de consentement est la preuve sous-jacente conservée par une organisation ou un système de consentement.
- Le GDPR exige des organisations qui s'appuient sur le consentement qu'elles soient en mesure de démontrer que le consentement a été obtenu.
- Un reçu ne rend pas juridiquement valable un mécanisme de consentement par ailleurs invalide.
- De bonnes preuves de consentement doivent conserver qui a consenti, quand, ce qui a été indiqué à la personne et comment le consentement a été obtenu.
- Les versions des mentions d'information et des politiques sont importantes pour reconstituer le consentement historique.
- Les retraits et les modifications de préférences doivent faire partie de l'historique du consentement.
- Les reçus de consentement sont utiles pour les audits, les revues de conformité, les litiges et les demandes de preuves.
- Le cadre DPDP indien impose des exigences spécifiques de preuve et de conservation d'enregistrements concernant le consentement et les Consent Managers.
- Les mesures techniques d'intégrité telles que le hachage peuvent renforcer l'auditabilité, mais ne doivent pas être présentées comme un substitut à un consentement licite.
Passez de « nous pensons qu'ils ont consenti » à la preuve
ConsentX est conçu pour aider les organisations à recueillir, gérer, appliquer et prouver le consentement dans l'ensemble de leurs flux de travail relatifs à la confidentialité et au consentement. Ses Enregistrements de consentement et preuves d'audit conservent un enregistrement structuré des décisions de consentement et de leur contexte, avec des enregistrements inviolables reposant sur une chaîne d'empreintes SHA-256.