Retrait du consentement
Le retrait du consentement est le droit de revenir sur son consentement à tout moment, et la loi exige qu’il soit aussi simple de le retirer que de le donner.L’article 7, paragraphe 3 du RGPD donne à la personne concernée le droit de retirer son consentement à tout moment, précise que le retrait ne compromet pas la licéité du traitement effectué auparavant, exige que la personne en soit informée avant de consentir, et fixe la règle selon laquelle il doit être aussi simple de retirer que de donner son consentement. La task force « bandeaux cookies » du CEPD (Comité européen de la protection des données) l’a traduite pour les sites web en 2023 : une solution facilement accessible doit exister sur chaque page une fois le consentement recueilli, par exemple une petite icône visible en permanence ou un lien à un emplacement standardisé, sans qu’aucun composant précis puisse être imposé.
Les autorités le font respecter. La CNIL a infligé à Yahoo une amende de 10 millions d’euros en décembre 2023, notamment parce que les utilisateurs qui voulaient retirer leur consentement aux cookies étaient prévenus qu’ils perdraient l’accès à leur messagerie, ce qui rendait le retrait non libre.
En pratique, un bandeau a besoin d’un lien « Paramètres des cookies » ou « Gérer le consentement » dans le pied de page, ou d’une icône flottante qui rouvre le centre de préférences. Au retrait, le site doit arrêter les scripts des catégories refusées, supprimer les cookies internes qu’il contrôle, et envoyer les signaux mis à jour à Google Consent Mode et au gestionnaire de balises. Les cookies tiers déposés par d’autres domaines ne peuvent pas être supprimés par le site ; le fournisseur est informé par le signal de consentement. Chaque retrait a aussi sa place dans le registre des consentements.