CNIL: Durée de Conservation des Choix de Consentement (6 Mois)

Raison d'Être des 6 Mois : Objectifs et Composition de la Preuve de Consentement

Pourquoi conserver la preuve pendant 6 mois ?

La détermination d'une période de conservation de six mois pour la preuve de consentement n'est pas le fruit du hasard, mais une stratégie délibérée et techniquement justifiée. Cette durée est méticuleusement alignée sur les délais de prescription légaux et les fenêtres d'audit typiques des autorités de protection des données, telles que la CNIL en France. Elle confère aux entités traitant des données personnelles une capacité probatoire robuste, leur permettant de défendre efficacement la légalité de leurs traitements face à d'éventuelles réclamations d'utilisateurs ou des investigations réglementaires. C'est une exigence de conformité fondamentale, agissant comme un bouclier juridique indispensable pour valider la base légale du traitement et atténuer les risques de non-conformité.

Éléments constitutifs d'une preuve de consentement valide

L'intégrité d'une preuve de consentement repose sur sa capacité à reconstituer fidèlement le processus décisionnel de l'utilisateur. Les composantes essentielles d'une telle preuve incluent impérativement un horodatage précis de l'action de consentement, l'identification univoque de la source (e.g., URL, application), la méthode d'acquisition (e.g., case à cocher active, formulaire validé), et le contenu exact des informations légales et des finalités présentées à l'individu. Il est également primordial de consigner l'identité de l'utilisateur (si pertinente), la granularité du consentement accordé pour chaque finalité spécifique, et la confirmation de la possibilité de révocation. Cette documentation exhaustive est la pierre angulaire d'une conformité démontrable.

Voici un exemple de structure de données (format JSON) illustrant les informations typiques qu'une CMP pourrait enregistrer pour constituer une preuve de consentement valide :

{
  "consentId": "unique_consent_record_UUID_12345",
  "timestamp": "2023-10-27T10:30:00Z",
  "userId": "pseudonymized_user_id_abcde",
  "source": "https://www.example.com/privacy-policy",
  "method": "explicit_opt_in_checkbox",
  "cmpVersion": "CMP_v2.1_TCF_v2.2",
  "purposes": {
    "analytics": {
      "granted": true,
      "details": ["Google Analytics", "Matomo"]
    },
    "advertising": {
      "granted": false,
      "details": []
    },
    "personalization": {
      "granted": true,
      "details": ["A/B Testing", "Content Recommendation"]
    }
  },
  "legalTextVersion": "v1.5_20230901_fr",
  "revocationLink": "https://www.example.com/manage-consent",
  "ipAddress": "XXX.XXX.XXX.XXX" // Anonymisé ou pseudonymisé
}

Ce type d'enregistrement permet de reconstituer avec précision le contexte et la portée du consentement donné par l'utilisateur, répondant ainsi aux exigences de preuve du RGPD.

Démystifier le '6 Ans' : Clarification des Durées de Conservation RGPD

Quand parle-t-on de 5 ou 6 ans ?

Le RGPD n'impose pas de durée de conservation fixe universelle, mais le principe de "limitation de la conservation" : les données doivent être gardées uniquement le temps nécessaire à leurs finalités. Cette flexibilité est souvent contrainte par des obligations légales externes. En France, le délai de prescription de droit commun est de cinq ans (Code civil, art. 2224 ; Code de commerce, art. L. 110-4 pour les professionnels). C'est cette base légale qui conduit à la recommandation de conserver certaines données pendant cinq ans. Le "6 ans" émerge d'une prudence administrative ou fiscale, couvrant une année civile complète au-delà des cinq ans de prescription, ou d'autres obligations spécifiques (ex: comptabilité). Ces durées sont des minimums imposés par d'autres législations, et non une règle RGPD universelle pour toutes les données.

La spécificité de la preuve de consentement

L'article 7, paragraphe 1, du RGPD exige que le responsable du traitement "soit en mesure de démontrer" le consentement de la personne concernée. Cette exigence de preuve est capitale. Elle implique que le consentement doit être non seulement valide, mais aussi documenté et conservé. La durée de conservation de cette preuve est liée à la durée du traitement des données, mais aussi aux délais de prescription légaux durant lesquels une action ou un contrôle pourrait être initié. C'est ici que les durées de cinq ou six ans retrouvent leur pertinence, non pour les données elles-mêmes, mais pour la documentation attestant de leur licéité. La CNIL recommande de conserver la preuve du consentement pendant toute la durée du traitement, augmentée du délai de prescription légale applicable, afin de pouvoir justifier la légalité des traitements passés en cas de litige ou de contrôle.

Questions Fréquentes (FAQ)