Leçon 3.4 : Consentement implicite vs explicite selon la Loi 25
Une distinction fondamentale souvent mal comprise
La Loi 25 distingue deux types de consentement selon la sensibilité des données et la nature de la collecte. Comprendre cette distinction évite les erreurs de conformité les plus coûteuses.
Le consentement explicite (opt-in)
Un consentement explicite nécessite une action positive et non ambiguë de la personne concernée :
- Cocher une case non pré-cochée.
- Cliquer un bouton clairement libellé (« J’accepte »).
- Signer un formulaire de consentement spécifique.
Requis pour :
- Cookies et scripts de suivi non essentiels (analytics, marketing).
- Données sensibles : santé, opinions politiques, conviction religieuse, origine ethnique, vie sexuelle.
- Profilage comportemental et géolocalisation.
- Inscription aux infolettres et communications marketing.
- Traitement de données par IA pour des décisions automatisées.
Le consentement implicite (opt-out)
Un consentement implicite peut être déduit du comportement ou du contexte, mais seulement dans des circonstances limitées :
- Une personne d’affaires qui donne sa carte de visite consent implicitement à être contactée dans ce contexte professionnel.
- Un client qui passe une commande consent implicitement à ce que ses coordonnées soient utilisées pour traiter et livrer cette commande.
- Un utilisateur qui s’inscrit à une formation consent implicitement à recevoir les communications relatives à cette formation.
Le consentement implicite ne s’applique qu’aux finalités directement liées à la relation d’affaires en cours. Il ne permet pas d’envoyer des infolettres promotionnelles à quelqu’un qui n’a demandé qu’un devis.
Ce que la Loi 25 interdit absolument
- Traiter le silence comme un consentement.
- Considérer la poursuite de navigation comme un consentement aux cookies.
- Déduire le consentement d’un formulaire de contact pour des communications marketing non sollicitées.
- Utiliser un consentement global pour des finalités multiples et distinctes.
Le retrait du consentement
Quel que soit le type de consentement initial, l’utilisateur peut le retirer à tout moment. Le retrait doit être aussi facile que l’accord initial, ce qui interdit les procédures de désinscription à 5 étapes ou les délais de traitement de 30 jours.
SiteQC et la gestion des consentements
SiteQC journalise automatiquement tous les consentements (date, version de la politique, catégories acceptées) et gère la révocation en temps réel. En cas d’audit CAI, vous pouvez prouver le consentement de chaque utilisateur.
Points clés
- Explicite requis pour : cookies non essentiels, données sensibles, profilage, marketing.
- Implicite possible seulement pour les finalités directement liées à la relation d’affaires.
- Silence ≠ consentement. Navigation ≠ consentement.
- Retrait aussi facile que l’accord initial.