Gestion du consentement RGPD pour les transferts sécurisés

Le consentement au titre de l'article 6(1)(a) du RGPD est souvent la mauvaise base légale pour les transferts de fichiers. Le contrat (6(1)(b)), les obligations légales (6(1)(c)) et les intérêts légitimes (6(1)(f)) couvrent la plupart des scénarios B2B de partage de fichiers sans demander d'opt-in aux personnes concernées. Lorsque le consentement est véritablement la base appropriée — listes marketing, inscriptions à des newsletters, contributions volontaires de données — l'article 7 impose des règles strictes : libre, spécifique, éclairé, non ambigu, et retirable à tout moment avec la même facilité que son octroi. Un consentement mal recueilli rend l'intégralité du transfert illicite au regard de l'article 5(1)(a).

Pourquoi le consentement est rarement la bonne base en B2B

Un freelance qui envoie à son client une livraison de projet de 2 Go n'a pas besoin du consentement du client — le contrat de prestation constitue la base légale au titre du 6(1)(b). Un cabinet d'avocats qui transmet un NDA signé à la contrepartie n'a pas non plus besoin de consentement. Un site d'essai clinique qui transfère des données pseudonymisées au promoteur agit en vertu du 6(1)(b) ou du 9(2)(j) pour les données de catégorie spéciale. Tout ramener au consentement crée une fragilité : les personnes peuvent le retirer à tout moment en vertu de l'article 7(3), vous laissant potentiellement dans l'incapacité d'honorer vos obligations contractuelles. Identifiez la bonne base une fois, documentez-la et cessez de demander.

Les exigences de consentement de l'article 7

L'article 7(1) vous impose de prouver que le consentement a été donné. L'article 7(2) exige que les demandes de consentement soient clairement distinctes, compréhensibles et rédigées en langage clair. L'article 7(3) garantit un retrait aussi aisé que l'octroi. L'article 7(4) invalide le consentement conditionné à la fourniture d'un service qui ne requiert pas réellement les données concernées. Appliqué aux transferts de fichiers : vous ne pouvez pas regrouper « J'accepte de recevoir des PDF marketing » avec « J'accepte de recevoir mon reçu d'achat ». Le premier relève du consentement, le second de l'exécution contractuelle. Séparez-les ou vous violez l'article 7(4).

Les sombres pratiques qui ruinent le consentement

Une case précochée est invalide (arrêt Planet49, C-673/17, octobre 2019). Les cookie walls qui refusent l'accès au service jusqu'à l'obtention du consentement sont invalides pour les cookies non essentiels (lignes directrices du CEPD, mai 2020). Les boutons « Tout accepter » et « Tout refuser » doivent être d'égale visibilité (sanctions de la CNIL contre Google et Facebook, décembre 2021, 150 M€ et 60 M€). Pour les transferts de fichiers, le schéma équivalent consiste à conditionner l'accès au téléchargement à un opt-in marketing : « Téléchargez votre fichier » est essentiel ; « Abonnez-vous à notre newsletter » ne l'est pas. Ne les regroupez jamais derrière un seul bouton.

Consentement granulaire et types de fichiers

Si vous exploitez une plateforme où les utilisateurs téléversent des photos, des documents et des vidéos, les personnes concernées ont besoin d'un consentement distinct pour chaque type de données. Une newsletter dont les abonnés téléversent également des photos de vacances dans une galerie partagée nécessite deux consentements séparés : l'un pour l'e-mail marketing, l'autre pour l'hébergement de photos. La granularité s'étend aux finalités : un consentement à « partager avec des partenaires » sans les nommer échoue au test de la « spécificité » de l'article 7. Nommez les catégories de destinataires — annonceurs, prestataires d'analyse, sous-traitants — et si vous ne le pouvez pas, recourez aux intérêts légitimes avec un test de mise en balance dûment documenté.

Registres de consentement et preuve

L'article 7(1) fait peser la charge de la preuve sur le responsable du traitement. Un registre de consentement doit comporter au minimum cinq champs : qui a consenti (identifiant de la personne, adresse e-mail ou identifiant haché), quand (horodatage avec fuseau horaire), à quoi (texte exact présenté), comment (version du formulaire, IP, user agent pour les captures web), et comment se rétracter (référence au mécanisme). Des outils comme OneTrust, Usercentrics, Didomi et Cookiebot gèrent les captures web ; pour les flux internes au produit, construisez votre propre journal d'événements en mode append-only. La conservation correspond à la durée de validité du consentement augmentée du délai de prescription (généralement cinq ans en France, six ans au Royaume-Uni).

Procédures de retrait à la hauteur de la facilité d'octroi

L'article 7(3) exige que le retrait soit aussi simple que l'octroi. Si le consentement consistait en un simple clic sur une case, le retrait doit aussi se faire en un clic. Les centres de préférences cachés derrière trois menus de compte ne sont pas conformes. Les liens de désabonnement par e-mail sont acceptables s'ils exécutent le retrait au clic, sans obliger l'utilisateur à se connecter. Pour les transferts de fichiers, le retrait implique généralement de cesser les transferts futurs et d'effacer ceux du passé en vertu de l'article 17(1)(b) lorsque le consentement était la seule base. Votre endpoint de désabonnement doit déclencher à la fois l'événement de révocation du consentement et la tâche d'effacement asynchrone.

Consentement des mineurs et vérification parentale

L'article 8 fixe à 16 ans l'âge en deçà duquel le consentement parental est requis pour les services de la société de l'information, les États membres pouvant abaisser ce seuil à 13 ans. La France a choisi 15 ans, l'Allemagne 16, l'Espagne 14, la Suède et le Portugal 13. Les méthodes de vérification acceptées par les autorités de contrôle comprennent : vérification par carte bancaire, vérification d'identité nationale, formulaires de consentement signés, et double opt-in via l'adresse e-mail vérifiée du parent. Si votre plateforme de transfert cible le milieu éducatif, les utilisateurs de moins de 16 ans doivent obtenir le consentement parental pour tout traitement fondé sur le consentement (généralement la création de compte, le marketing, parfois la conservation des fichiers).

Consentement pour les transferts internationaux

L'article 49(1)(a) autorise le consentement comme dérogation pour les transferts vers des pays non adéquats, mais uniquement pour des transferts occasionnels et non répétitifs. Les lignes directrices du CEPD 2/2018 relatives à l'article 49 soulignent la nécessité d'un « consentement explicite » — barre plus haute que le consentement ordinaire — exigeant une déclaration écrite ou équivalente, et la personne concernée doit être informée des risques spécifiques, notamment l'absence de décision d'adéquation et la disponibilité des garanties appropriées. Pour les transferts courants vers des pays non adéquats, privilégiez les CCT associées à une analyse d'impact du transfert. Le consentement est un levier d'urgence, pas une stratégie à l'échelle.

Re-consentement lors de modifications

Si vous changez les finalités du traitement, ajoutez de nouveaux destinataires ou prolongez la conservation, les consentements existants peuvent ne plus couvrir le traitement élargi. La solution la plus sûre est d'obtenir un nouveau consentement avec des informations mises à jour. Une réduction de la portée est possible sans re-consentement. Le test : le consentement initial aurait-il été donné si la personne avait connu les nouvelles réalités ? En cas de doute, re-consentez. Déclenchez le flux de re-consentement avant que le nouveau traitement ne débute, et suspendez les transferts jusqu'à l'enregistrement du nouveau consentement.

Schémas d'intégration technique

Dans un produit de transfert de fichiers, le schéma propre est un microservice de consentement que chaque appel d'envoi, de téléchargement et de notification consulte avant de procéder. L'enregistrement de consentement porte un UUID référencé dans les journaux d'audit pour chaque opération sur les fichiers. Le retrait invalide les vérifications futures et déclenche une tâche d'effacement asynchrone. Des services comme HexaTransfer évitent cette complexité en fondant les transferts sur la nécessité contractuelle — l'expéditeur initie, le destinataire télécharge, tous deux implicitement couverts par le contrat de transfert — et réservent le consentement au titre de l'article 6(1)(a) pour l'inscription optionnelle à la newsletter.

Le consentement est un outil, pas une valeur par défaut. Choisissez la base légale adaptée à l'opération. Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.