La preuve du consentement RGPD est l’une des obligations les plus exigeantes du marketing digital : recueillir le consentement ne suffit plus, encore faut-il être capable de le démontrer à tout moment. En janvier 2026, la CNIL a ouvert une concertation officielle pour élaborer une recommandation sur ce sujet, signal fort d’une attente réglementaire qui se durcit. Cet article vous explique ce que recouvre cette obligation, pourquoi elle est difficile à tenir en pratique, et quelles actions mettre en place dès maintenant pour sécuriser vos traitements marketing.
Pourquoi la preuve du consentement devient un enjeu central en 2026
Ce que dit le RGPD sur le consentement
Le RGPD impose que le consentement soit libre, spécifique, éclairé et univoque. Mais l’article 7 du règlement va plus loin : il précise que le responsable du traitement doit être en mesure de démontrer que la personne concernée a consenti au traitement de ses données. Cette obligation de preuve est inversée, c’est à l’organisation de prouver la conformité, pas à la personne de prouver qu’elle n’a pas consenti.
En pratique, cela implique de conserver une trace exploitable du consentement : quand il a été recueilli, par quel canal, dans quel contexte, avec quelle formulation exacte, pour quelles finalités, et avec quelle version de la politique de confidentialité en vigueur à ce moment-là.
👉 Pour approfondir : Marketing digital et RGPD en 2026 : bonnes pratiques, obligations et intégration de l’IA
La concertation CNIL de janvier 2026 : un signal à prendre au sérieux
En janvier 2026, la CNIL a annoncé l’ouverture d’une concertation visant à clarifier les exigences applicables en matière de preuve du consentement dans le secteur du marketing. Elle y reconnaît explicitement que les acteurs sont régulièrement confrontés à des difficultés pratiques : diversité des canaux de collecte (en ligne, à l’oral, par écrit), complexité des chaînes de traitement impliquant des courtiers en données, absence de standard partagé sur ce qui constitue une preuve suffisante.
Cette démarche confirme que le sujet est insuffisamment cadré aujourd’hui et que des contrôles sont à anticiper. La recommandation finale, une fois publiée, sera la référence opposable lors des contrôles CNIL. Se préparer maintenant, c’est réduire le risque de devoir tout reconstruire dans l’urgence.
Cette évolution s’inscrit dans un mouvement plus large de durcissement réglementaire européen, analysé dans notre tribune : Conformité continue : dépasser l’approche documentaire, la preuve du consentement en est un exemple emblématique.
Pourquoi c’est particulièrement difficile dans le marketing
Le marketing digital repose rarement sur un canal unique. Un même contact peut avoir consenti via un formulaire web, confirmé par email, puis avoir été transféré à un outil CRM, enrichi par un courtier en données, et utilisé dans plusieurs campagnes sur plusieurs années. À chaque étape, la preuve de conformité doit pouvoir être reconstituée.
Les trois difficultés les plus fréquentes observées sur le terrain :
- Le consentement est recueilli dans un outil (CMP, formulaire) mais pas synchronisé dans le CRM ou le registre des traitements.
- La version de la politique de confidentialité présentée au moment du consentement n’est pas archivée.
- Les preuves existent techniquement, mais personne ne sait comment les extraire en cas de contrôle ou de demande d’exercice de droits.
Ce que couvre concrètement l’obligation de preuve
Les éléments constitutifs d’une preuve valide
Une preuve du consentement exploitable doit permettre de répondre à cinq questions :
| Question | Ce qu’il faut pouvoir documenter |
|---|---|
| Qui a consenti ? | Identifiant de la personne (email, ID, cookie ID) |
| Quand ? | Horodatage précis (date + heure) |
| Comment ? | Canal de collecte (formulaire web, oral, papier, CMP…) |
| Pour quoi ? | Finalités explicitement acceptées |
| Dans quel contexte ? | Version de la politique de confidentialité en vigueur, formulation exacte du recueil |
Ces cinq éléments doivent être conservés de façon sécurisée, intègre (non modifiable a posteriori) et accessible en cas de contrôle ou de demande d’exercice de droit d’accès ou de retrait.
Les cas particuliers qui compliquent la preuve
Le consentement oral (salon, événement, appel entrant) est le plus difficile à prouver. Sans procédure structurée — email de confirmation, enregistrement avec accord, formulaire signé — la preuve est quasi inexistante.
Le consentement recueilli via un tiers (courtier en données, partenaire d’affiliation, co-registration) impose une chaîne de responsabilité claire. L’organisation qui utilise les données doit pouvoir obtenir du tiers la preuve que le consentement a bien été recueilli conformément au RGPD, pour les finalités précises qu’elle poursuit.
Le retrait du consentement doit être aussi simple que son recueil, et son traitement doit être tracé : date du retrait, canal, et confirmation que les données ont été cessées d’être traitées pour les finalités concernées.
Conseil pratique : prévoyez dès la conception de vos formulaires un champ technique pour l’horodatage et la version de la politique de confidentialité. Cela coûte peu à l’implémentation et évite des reconstructions laborieuses en cas de contrôle.
Consentement et intérêt légitime : ne pas confondre
Le consentement n’est pas la seule base légale utilisable en marketing. L’intérêt légitime peut être mobilisé, notamment pour la prospection B2B ou certaines analyses de comportement non intrusives. Mais dès lors que vous choisissez le consentement comme base légale, la charge de la preuve vous incombe intégralement. Il est donc crucial de ne pas alterner les bases légales sur un même traitement selon la commodité du moment, cela affaiblit la position juridique de l’organisation.
Choisir le consentement comme base légale implique aussi de définir des paramètres de confidentialité protecteurs par défaut : c’est l’objet du Privacy by Default, qui conditionne directement la validité du consentement recueilli.
Comment structurer la preuve du consentement dans votre organisation
1. Cartographier tous vos points de collecte de consentement
Avant de documenter, il faut savoir où le consentement est recueilli. Cette cartographie doit couvrir :
- Les formulaires web (et leur CMP associée)
- Les formulaires papier ou PDF
- Les canaux oraux (appels entrants, événements)
- Les outils tiers (partenaires, courtiers, co-registration)
- Les canaux d’opt-in email (listes d’import, abonnements newsletter)
Pour chaque point de collecte, identifier : quel outil stocke la preuve, sous quel format, et pendant combien de temps.
La collecte du consentement doit être pensée dès la conception de vos outils et formulaires : c’est le principe du Privacy by Design, qui permet d’intégrer les exigences de preuve avant le déploiement plutôt qu’après.
2. Synchroniser les preuves dans un registre centralisé
La preuve isolée dans l’outil de collecte n’est pas suffisante si elle n’est pas reliée au registre des traitements et accessible dans le cadre d’une demande d’exercice de droits. La synchronisation entre la CMP (Consent Management Platform), le CRM et le registre RGPD est un point critique souvent négligé.
3. Archiver les versions de vos documents de consentement
La formulation du recueil de consentement et la politique de confidentialité présentée au moment du consentement font partie intégrante de la preuve. Si votre politique de confidentialité évolue, la version en vigueur au moment de chaque consentement doit rester archivée et associable aux preuves correspondantes. Sans cet historique, il est impossible de démontrer que le consentement était éclairé.
4. Encadrer les consentements recueillis via des tiers
Lorsqu’un prestataire (courtier en données, agence, partenaire) vous transmet des données avec consentement supposé :
- Exiger contractuellement la preuve du consentement dans le DPA (accord de sous-traitance ou de co-responsabilité)
- Vérifier que les finalités acceptées par la personne correspondent aux vôtres
- Documenter l’origine des données dans votre registre
En cas de contrôle CNIL, l’organisation qui exploite les données est présumée responsable, même si elle les a achetées à un tiers.
5. Prévoir la procédure de retrait et sa traçabilité
Le retrait du consentement doit être immédiatement effectif et tracé. Cela implique :
- Un mécanisme de désabonnement opérationnel sur tous les canaux (lien email, formulaire de contact, appel)
- Un enregistrement horodaté du retrait dans le CRM et dans le registre
- L’arrêt effectif du traitement pour les finalités concernées, avec confirmation documentée
Le rôle des outils dans la gestion de la preuve
Ce que doit faire une CMP (Consent Management Platform)
Une CMP conforme au RGPD doit générer et conserver un journal d’audit du consentement pour chaque utilisateur : identifiant, horodatage, choix effectués, version du bandeau. Ce log doit être exportable et exploitable en cas de contrôle. Le simple affichage d’un bandeau cookies sans conservation de la preuve ne constitue pas une conformité.
Ce que doit faire votre CRM
Le CRM doit permettre de rattacher chaque contact à sa source de consentement : canal, date, finalités. Cette information doit être mise à jour à chaque évolution (retrait, modification de périmètre) et ne doit pas être écrasée par des imports successifs non contrôlés.
Ce qu’apporte un logiciel de conformité RGPD
Un outil comme Simply centralise la documentation des traitements, y compris les bases légales et les mécanismes de recueil du consentement. Il permet de produire rapidement les éléments nécessaires en cas de contrôle CNIL ou de demande d’exercice de droits, et de maintenir une vision à jour de l’ensemble des traitements reposant sur le consentement.
Conseil pratique : lors de votre prochain audit RGPD interne, testez concrètement la procédure de reconstitution de la preuve sur 5 contacts tirés au sort. Si vous n’y parvenez pas en moins de 15 minutes, votre dispositif présente une lacune à corriger.
FAQ – Preuve du consentement RGPD
Combien de temps faut-il conserver la preuve du consentement ?
La durée de conservation de la preuve du consentement doit être cohérente avec celle du traitement lui-même, augmentée du délai de prescription applicable en cas de contentieux (5 ans en droit commun). En pratique, il est recommandé de conserver la preuve aussi longtemps que les données du contact sont actives dans votre CRM, et de l’archiver pendant 5 ans après la fin du traitement ou le retrait du consentement.
Un simple log de CMP suffit-il comme preuve ?
Le log de la CMP est un élément de preuve essentiel pour les cookies et traceurs. Mais il ne couvre pas la totalité des traitements marketing. Pour les newsletters, les programmes fidélité ou la prospection commerciale, d’autres preuves sont nécessaires (log du formulaire d’inscription, email de confirmation, enregistrement pour les canaux oraux). Une stratégie de preuve complète combine plusieurs sources.Peut-on utiliser un email de confirmation comme preuve du consentement ?
Oui, à condition de l’archiver de façon fiable et de l’associer à l’identité de la personne. Le double opt-in (clic de confirmation dans un email envoyé après inscription) constitue une preuve solide et est fortement recommandé par la CNIL pour les newsletters et la prospection B2C. Il génère un log horodaté et une action active de l’utilisateur.
Que faire si un sous-traitant ne peut pas fournir la preuve du consentement ?
Si un courtier en données ou un partenaire ne peut pas fournir la preuve que les personnes ont consenti à vos finalités spécifiques, vous ne devez pas utiliser ces données pour des traitements fondés sur le consentement. L’utilisation de données sans preuve exploitable expose l’organisation à un risque de sanction. Exigez contractuellement la preuve de consentement avant tout import ou achat de fichier.
La recommandation CNIL en cours changera-t-elle les règles existantes ?
La concertation ouverte en janvier 2026 vise à préciser les exigences existantes, pas à créer de nouvelles obligations. L’article 7 du RGPD impose déjà la preuve du consentement. La recommandation à venir clarifiera les modalités pratiques acceptables (formats, durées, canaux) et servira de référence opposable lors des contrôles. Les organisations qui structurent leur dispositif maintenant seront en position favorable lors de sa publication.
Le consentement recueilli avant 2018 (avant le RGPD) est-il valable ?
Non, sauf si les conditions du RGPD étaient déjà remplies au moment de la collecte. Les consentements anciens qui ne satisfont pas aux exigences actuelles (libre, spécifique, éclairé, univoque, avec preuve) doivent être requalifiés ou les données correspondantes traitées sur une autre base légale, ou supprimées. La CNIL a rappelé à plusieurs reprises que les « héritages » de fichiers non conformes constituent un risque réel.
En résumé
La preuve du consentement RGPD désigne l’obligation pour toute organisation utilisant le consentement comme base légale de démontrer, à tout moment, que ce consentement a bien été recueilli conformément aux exigences du règlement. La concertation ouverte par la CNIL en janvier 2026 confirme que ce sujet fera l’objet d’une recommandation officielle opposable lors des contrôles. Les risques sont réels : absence de log exploitable, consentements tiers non vérifiés, versions de politique de confidentialité non archivées. La bonne pratique consiste à cartographier tous les points de collecte, synchroniser les preuves dans un registre centralisé, et tester régulièrement la capacité à restituer une preuve complète. Un logiciel de conformité comme Simply de MDP Data Protection facilite ce pilotage en centralisant la documentation des traitements et des bases légales.
Sources :
- CNIL – Marketing : la CNIL ouvre une concertation sur la preuve du consentement
- CNIL – Les bases légales : le consentement
- MDP Data Protection – Marketing digital et RGPD en 2026 : bonnes pratiques, obligations et intégration de l’IA
Pour aller plus loin
- CNIL - Nouvelle édition : Guide 2024 de la sécurité des données personnelles
- MDP Data Protection - Logiciel RGPD : comment choisir la solution idéale pour votre entreprise
Les solutions MDP Data Protection
MDP Data Protection et sa technologie IA accompagne les organisations dans la mise en conformité multi-réglementaire (RGPD, NIS2 et IA Act...), avec une approche opérationnelle et évolutive.
- SimplyRGPD : Pilotage de votre conformité au quotidien.
- MDP CAMPUS : Notre parcours de sensibilisation en vidéos pédagogiques de 3 à 7 minutes.
- MDP Diagnostic : Diagnostic instantané de votre niveau de conformité.
Notre Méthode : le Continuous Compliance Operating System - CCOS
Et si votre conformité vivait en continu, au lieu d'être un livrable de plus ?
À propos de l’auteur
Christophe SAINT-PIERRE – Fort de plus de 20 ans d’expérience, Christophe accompagne les organisations dans leur mise en conformité réglementaire (RGPD, NIS2, AI Act) en combinant expertise juridique, vision stratégique et approche opérationnelle. Au sein de MDP Data Protection, il pilote une démarche axée sur l’excellence, l’innovation et la valorisation réglementaire. Son objectif : transformer les contraintes légales en opportunités business pour ses clients.
