Le règlement général sur la protection des données (RGPD) a fortement influencé la manière dont les sites web demandent le consentement des utilisateurs pour le traitement des données personnelles.
Ci-dessous, je vous explique comment créer des formulaires de consentement conformes au RGPD , pourquoi il est important d'en avoir un, et comment obtenir, enregistrer et gérer le consentement de l'utilisateur.
Ce qu'il faut faire et ne pas faire pour obtenir des formulaires conformes au RGPD
Pour vous aider à respecter rapidement et efficacement les obligations du RGPD en matière de consentement, j'ai dressé une liste utile des choses à faire et à ne pas faire :
- Utilisez un langage clair et simple dans votre formulaire de consentement pour que les utilisateurs le comprennent.
- DONNEZ à vos utilisateurs la possibilité de participer, de se retirer et de changer d'avis à tout moment.
- Joignez à votre demande de consentement un lien vers une politique de confidentialitéRGPD afin que les utilisateurs puissent accéder à toutes les informations nécessaires.
- NE PAS faire du consentement une condition préalable à l'obtention d'un service si la collecte des données n'est pas réellement nécessaire.
- Ne faites pas en sorte qu'il soit plus difficile pour les utilisateurs de dire non que de dire oui, sinon vous serez en conflit avec le règlement.
- N'UTILISEZ PAS de solutions de contournement sournoises, comme le fait de mettre le bouton d'acceptation plus en évidence que le bouton de refus, car cela n'est pas conforme au RGPD .
Comment rédiger des formulaires de consentement conformes au RGPD (avec des exemples)
Si votre entreprise est soumise aux exigences du RGPD, vous pouvez utiliser le consentement comme base juridique pour le traitement de certaines informations personnelles.
Si vous décidez que le consentement est la base juridique appropriée pour votre activité de traitement, vous devez suivre des lignes directrices spécifiques pour demander le consentement des utilisateurs.
Selon le RGPD, les personnes doivent donner leur consentement par le biais d'une déclaration ou d'une action affirmative explicite et être :
- Librement donné sur une base volontaire
- Spécifique
- Informé
- Sans ambiguïté
En outre, les personnes doivent avoir le droit de retirer leur consentement à tout moment, aussi facilement qu'il a été donné.
Avec cette définition légale en tête, discutons de la réalisation d'un formulaire de consentement RGPD pour votre site web ou votre application.
Rappelons que le consentement est l'une des six bases juridiques en vertu desquelles les entreprises peuvent traiter des données à caractère personnel dans le cadre du RGPD.
Transparence de la demande de consentement
Mettez en œuvre ces trois exigences de transparence dans vos formulaires de consentement :
N'utilisez pas de cases à cocher pré-cochées dans votre formulaire de consentement
N'utilisez pas de cases à cocher pré-cochées, de consentement implicite ou de consentement par défaut lorsque vous demandez aux utilisateurs d'accepter votre demande de consentement. Toutes ces techniques sont contraires au RGPD.
Au lieu de cela, prévoyez une case non cochée que les utilisateurs doivent sélectionner activement pour exprimer leur accord.
Vous trouverez ci-dessous une comparaison côte à côte de ce qu'il faut faire et de ce qu'il ne faut pas faire avec les cases à cocher.
Comme le montre l'exemple du formulaire RGPD ci-dessus, les utilisateurs doivent librement consentir à ce que vous leur envoyiez des courriels et à ce qu'ils puissent accéder à votre offre sans s'abonner à votre lettre d'information.
Proposer plusieurs options d'acceptation
Pensez à mettre en place une demande de double consentement lorsque vous demandez aux utilisateurs de s'inscrire à une liste de diffusion.
Tout d'abord, fournissez aux utilisateurs un formulaire de consentement en ligne qu'ils doivent remplir manuellement pour s'abonner à vos courriels, puis envoyez un courriel de confirmation et demandez-leur de cliquer sur un lien pour vérifier leur adresse électronique et l'ajouter à votre liste de diffusion.
Bien que l'obtention d'un double consentement de cette manière ne soit pas explicitement requise par le RGPD, il s'agit d'une meilleure pratique commerciale couramment utilisée dans le cadre du RGPD
Quand n'avez-vous pas besoin d'une case à cocher dans votre formulaire de consentement ?
En vertu du RGPD, vous pouvez utiliser des cases à cocher lorsque vous demandez aux utilisateurs de consentir à plusieurs éléments sur un même formulaire. Toutefois, vous n'avez pas nécessairement besoin d'utiliser une case à cocher si la raison du consentement n'est pas ambiguë.
Par exemple, si vous utilisez une fenêtre contextuelle pour demander l'autorisation de recevoir une lettre d'information, vous pouvez demander à l'utilisateur d'entrer son adresse électronique en utilisant une phrase claire et un bouton explicitement identifié pour obtenir un consentement valide.
Vous trouverez ci-dessous un exemple de la bonne et de la mauvaise façon de rédiger ce type de demande de consentement.
Méthode Opt-In supplémentaire pour les courriers électroniques
En fonction des lois applicables, vous pouvez être autorisé à utiliser des informations précédemment collectées sur une personne pour lui envoyer un courrier électronique sans obtenir son consentement.
Par exemple, cette pratique peut être autorisée aux États-Unis, dans l'Union européenne, au Canada, en Australie et au Royaume-Uni, à condition que vous remplissiez les conditions suivantes :
- La personne vous a fourni son adresse électronique dans le cadre d'une vente précédente sur votre site.
- Ils sont correctement informés par le biais d'un avis, d'une page de vente ou d'une politique de confidentialité.
- Les courriels sont de nature promotionnelle et concernent des produits ou des services similaires à ceux qu'ils ont achetés auprès de vous.
- Vous ne faites la promotion que de services et de produits qui vous appartiennent et qui n'appartiennent pas à des tiers.
Toutefois, si la personne a précédemment refusé de recevoir vos courriels, vous ne pouvez pas lui envoyer de contenu promotionnel de cette manière.
Vous devez également vérifier en détail chaque loi applicable, car la liste ci-dessus n'est ni exhaustive ni d'application générale.
Utiliser un consentement distinct des demandes relatives à d'autres politiques juridiques
Le RGPD exige que vous sépariez les demandes de consentement pour des objectifs différents.
En d'autres termes, vous ne pouvez pas lier votre consentement à vos politiques juridiques, comme vos conditions générales, à l'inscription à une lettre d'information.
Pour une conformité totale avecRGPD , veillez à ce que vos demandes de consentement soient distinctes et évidentes pour l'utilisateur.
Vous trouverez ci-dessous un exemple de ce qu'il faut faire et de ce qu'il ne faut pas faire.
Fournir des options de consentement granulaires
Si votre formulaire de consentement demande aux utilisateurs d'accepter plusieurs opérations de traitement, veillez à leur donner la possibilité d'accepter chaque élément individuellement.
Dans le cas contraire, votre formulaire de consentement n'est pas conforme à la norme RGPD .
Vous trouverez ci-dessous un exemple de la manière de procéder.
Faire en sorte qu'il soit aussi facile de retirer son consentement que de le donner
Le RGPD exige que vous permettiez aux utilisateurs de retirer leur consentement ou de changer d'avis à tout moment et sans conséquence. Il doit être aussi facile pour l'utilisateur de le faire que de donner son consentement.
Vous devez les informer de la manière dont ils peuvent retirer leur consentement, par exemple en ajoutant une option de refus au bas de vos courriels marketing ou promotionnels.
Vous trouverez ci-dessous un exemple de réussite dans le cadre du RGPD.
Conserver une trace du consentement
Outre l'obtention du consentement, le RGPD exige également que vous teniez un registre des choix de consentement de vos utilisateurs.
Pour fournir une preuve adéquate du consentement, vous devez conserver les informations suivantes pour chacun de vos utilisateurs :
- Lorsque vous avez obtenu leur consentement
- Comment vous l'avez obtenu
- Ce que vous avez présenté aux utilisateurs au moment de l'obtention du consentement
Enregistrement et gestion du consentement
L'action d'opt-in, la formulation et l'emplacement de votre demande de consentement RGPD ne représentent que la moitié de la bataille - vous devez également vous assurer que vous conservez une trace des choix de consentement de vos utilisateurs.
Selon l'article 7, section 1 du règlement :
"Lorsque le traitement est fondé sur le consentement, le responsable du traitement doit être en mesure de démontrer que la personne concernée a consenti au traitement de ses données à caractère personnel.
Pour vous aider à respecter cette obligation légale, je vais vous expliquer quelles sont les informations que vous devez consigner et comment vous pouvez permettre à vos utilisateurs de gérer leur consentement dans les sections suivantes.
Quelles sont les informations à enregistrer ?
Les dossiers que vous conservez concernant les choix de consentement de vos utilisateurs doivent être aussi spécifiques et détaillés que le consentement lui-même.
Pour une mise en conformité totale avec RGPD , il convient de consigner les informations suivantes :
- Les personnes qui ont donné leur accord ou qui ont choisi de ne pas participer: Nom, identifiant de l'utilisateur, adresse électronique ou autres identifiants, y compris l'adresse IP
- Quand il a donné son accord ou s'est retiré : Date à laquelle l'utilisateur a donné son consentement
- La manière dont ils ont accepté ou refusé leur consentement : Le formulaire spécifique ou l'endroit du site où l'utilisateur a donné son consentement, comme un pop-up ou un formulaire d'inscription.
- Ce qu'ils ont accepté ou refusé: Ce à quoi ils ont consenti exactement, y compris la lettre d'information hebdomadaire ou les offres de tiers.
- Si et quand ils ont retiré leur consentement : Tenir un registre de toutes les fois qu'un utilisateur modifie ses préférences en matière de consentement.
Ma méthode préférée pour conserver un journal des choix de consentement des utilisateurs est une solution automatisée, comme Termly's plateforme de gestion du consentement (CMP).
Il enregistre les choix de vos utilisateurs, que vous pouvez consulter dans votre tableau de bord Termly .
Comment permettre aux utilisateurs de gérer leur consentement
Vous devez également permettre à vos utilisateurs de gérer leurs choix de consentement, car l'article 7, section 3 du RGPD leur accorde le droit de changer d'avis à tout moment.
Elle stipule également que le retrait du consentement doit être aussi facile que son octroi.
De même, le chapitre 3, articles 15 à 21 du RGPD donne aux consommateurs les droits suivants sur leurs données :
- Accès
- Corriger ou modifier
- Transfert
- Supprimer
- S'opposer au traitement de leurs données à des fins spécifiques
Pour répondre à ces exigences, affichez sur votre site un centre de préférences en matière de consentement avec des contrôles de confidentialité qui permettent à vos utilisateurs de mettre à jour leurs choix quand ils le souhaitent.
Par exemple, le site bannière de cookies du site de l'autorité grecque de protection des données peut être réactivé à tout moment à partir du pied de page.
En outre, je recommande de publier un formulaire de demande d'accès à la base de données(DSAR). Termly propose un formulaire DSAR dans le cadre de sa solutionRGPD .
Pour que vos utilisateurs aient toujours accès au centre de préférences en matière de consentement et au formulaire DSAR, créez un lien vers ces deux éléments à des endroits statiques de votre site, comme le pied de page ou le centre de confidentialité, si vous en utilisez un.
Résumé
Lorsque vous déposez une plainte Formulaire de consentement RGPD pour votre site web, les utilisateurs doivent avoir un véritable choix sur la manière dont vous collectez et traitez leurs données personnelles.
N'oubliez pas d'obtenir le consentement de l'utilisateur à chaque fois que des données sont collectées et conservez une trace du choix de chaque utilisateur.
Veillez à ce que vos politiques en matière de cookies et de protection de la vie privée soient à jour et incluez un lien direct vers chacune d'entre elles dans toutes les demandes de consentement que vous mettez en œuvre.
En savoir plus sur l'auteur
Écrit par Teodor Stanciu, CIPP/E, CIPM
Teo est un spécialiste de la protection des données et un délégué à la protection des données (DPD) expérimenté qui se passionne pour aider les entreprises à respecter leurs obligations en matière de protection des données. Il a plus de sept ans d'expérience en tant que DPD pour une organisation internationale active dans 50 pays et basée à Bruxelles, en Belgique. Teo est un Certified Information Privacy Professional/Europe (CIPP/E) et un Certified Information Privacy Manager (CIPM) de l'International Association of Privacy Professionals (IAPP).
En savoir plus sur l'auteur
