Preuve du consentement cookies : ce que demande l'article 7 du RGPD

Une bannière conforme ne suffit pas : encore faut-il pouvoir démontrer, des mois plus tard, que tel visiteur a bien consenti, à telle date, pour telles finalités. L'article 7.1 du RGPD est sans ambiguïté : « le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement ». La charge de la preuve repose sur vous, pas sur le visiteur ni sur la CNIL.

Ce qu'un registre de consentements doit contenir

Pour qu'un enregistrement ait une valeur probante, il doit permettre de reconstituer le contexte exact du consentement :

• Quand — un horodatage précis de chaque choix, y compris les refus et les retraits ;
• Quoi — le détail du choix, finalité par finalité : mesure d'audience acceptée, publicité refusée, etc. ;
• Comment — la version de la bannière affichée à ce moment-là : textes, finalités listées, présentation des boutons. Si votre bannière évolue, vous devez pouvoir prouver ce que le visiteur a vu, pas ce qu'affiche le site aujourd'hui ;
• Qui — un identifiant permettant de relier l'enregistrement au terminal ou au compte concerné, sans sur-identifier (voir ci-dessous).

Prouver sans sur-collecter

Le piège classique est de constituer, pour prouver le consentement, un fichier qui viole lui-même le principe de minimisation (article 5.1.c du RGPD). Le registre n'a pas besoin de l'identité du visiteur : un identifiant technique pseudonyme suffit à établir la preuve. En particulier, stocker les adresses IP en clair dans le journal des consentements est une mauvaise pratique — une empreinte ou une IP tronquée remplit le même office sans créer un fichier de données personnelles supplémentaire à protéger.

Combien de temps conserver la preuve

Aussi longtemps que le traitement fondé sur le consentement est actif, et au-delà tant qu'une contestation est possible. En pratique, les éditeurs conservent le journal de quelques mois à quelques années selon leur exposition. À distinguer de la durée de validité du choix lui-même : la CNIL recommande de conserver le choix du visiteur (consentement ou refus) environ six mois avant de le re-solliciter éventuellement.

Les erreurs qui vident la preuve de sa valeur

• Aucun journal. Le consentement est appliqué en temps réel mais rien n'est conservé : impossible de rien démontrer en cas de contrôle.
• Le journal sans la version de la bannière. Vous prouvez qu'un clic a eu lieu, pas ce qui a été accepté ni dans quelles conditions.
• Les refus non journalisés. Le refus est un choix au même titre que l'acceptation ; il doit être conservé pour ne pas re-solliciter le visiteur indûment.
• La preuve inexploitable. Un journal enfoui dans des logs serveur non structurés ne permet pas de répondre à une demande de la CNIL dans des délais raisonnables. Il faut pouvoir extraire et transmettre les enregistrements simplement.

En pratique avec une CMP

C'est typiquement un travail d'outillage : une plateforme de gestion du consentement journalise chaque choix automatiquement — horodatage, finalités, version de la bannière, identifiant pseudonyme — et permet d'exporter le tout en un clic. Chez Consenteer, le journal des consentements et son export CSV sont inclus dans toutes les formules, la gratuite comprise, avec une rétention de 90 jours à 2 ans selon la formule ; les adresses IP ne sont jamais stockées en clair.

Ce registre complète les autres exigences d'une bannière conforme, détaillées dans notre guide Bannière cookies : ce qu'exigent le RGPD et la CNIL.