Durée de conservation des preuves de consentement (et quoi conserver)

Deux durées différentes se cachent derrière la question « combien de temps conserver le consentement ». La première est la durée pendant laquelle le choix d’un visiteur reste valable avant de lui redemander : environ six mois, c’est le chiffre que donnent la CNIL comme l’ICO. La seconde est la durée pendant laquelle vous conservez la preuve que le choix a été fait : aussi longtemps que vous traitez des données sur la base de ce consentement, puis seulement le temps nécessaire pour respecter une obligation légale ou vous défendre contre une réclamation, ce qui est la lecture que le CEPD (Comité européen de la protection des données) fait du RGPD. La preuve elle-même doit rester petite : un horodatage, ce qui a été choisi, la version et le texte du bandeau que le visiteur a vus, et un identifiant pseudonyme.

Durée 1 : combien de temps un choix reste valable

Le RGPD ne fixe aucune limite de temps au consentement. Les lignes directrices du CEPD sur le consentement le disent explicitement : il n’y a pas de limite précise, la durée dépend du contexte, de la portée du consentement initial et des attentes de la personne concernée, et si le traitement change considérablement, le consentement initial n’est plus valable. Comme bonne pratique, le CEPD recommande de renouveler le consentement à intervalles appropriés.

Pour les cookies, deux autorités ont posé un chiffre. La recommandation de la CNIL de septembre 2020 indique que conserver le choix du visiteur, consentement comme refus, pendant six mois est une bonne pratique. Les recommandations de l’ICO disent que ni le PECR ni le UK GDPR ne fixent de limite, que vous ne devez pas demander aux gens de préciser leurs préférences de façon répétée par principe, et suggèrent six mois comme intervalle approprié avant de solliciter de nouveau quelqu’un qui a refusé. L’ICO note aussi que les cookies de préférences viennent souvent avec des expirations par défaut telles que 90 jours, et vous demande d’évaluer si cette valeur par défaut convient et de documenter la décision.

Conséquence pratique : stockez le choix dans un cookie interne, gardez-le environ six mois (la valeur par défaut de Cookiequiet est de 182 jours, modifiable), et ne redemandez plus tôt que si vos finalités ou vos outils changent, auquel cas la version du bandeau augmente et les visiteurs sont interrogés de nouveau.

Durée 2 : combien de temps conserver la preuve

L’article 7, paragraphe 1 du RGPD vous impose la charge de la preuve : « le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement ». Les lignes directrices du CEPD détaillent la chronologie au paragraphe 107 : tant que l’activité de traitement dure, l’obligation de démontrer le consentement existe ; une fois le traitement terminé, la preuve du consentement ne devrait pas être conservée plus longtemps que strictement nécessaire au respect d’une obligation légale ou à la constatation, à l’exercice ou à la défense de droits en justice. Le conseil de l’ICO dit la même chose en moins de mots : conservez la preuve tant que vous traitez encore des données sur la base du consentement.

Ce que cela signifie pour le consentement aux cookies :

• Tant que le consentement est actif (les six mois ci-dessus), vous devez pouvoir le montrer.
• Les données collectées sous ce consentement (mesure d’audience, attribution publicitaire) peuvent vivre plus longtemps dans vos outils ; tant qu’elles existent, la preuve qu’elles ont été collectées licitement devrait exister.
• Au-delà, la conservation relève des délais de prescription des réclamations et des plaintes, qui varient selon les pays, et du fait pratique qu’une autorité qui instruit une plainte sur le bandeau de l’an dernier demandera ce que les visiteurs voyaient l’an dernier.

Cinq ans couvrent la plupart de ces situations ; trente jours ne couvrent guère plus que le mois en cours. Cookiequiet conserve le registre des consentements 30 jours sur l’offre gratuite, 1 an en Starter et 5 ans en Pro, exportable en CSV en Starter et en Pro, pour que l’enregistrement survive au consentement qu’il prouve.

Quoi enregistrer

Le CEPD décrit le cas en ligne au paragraphe 108 : un responsable de traitement pourrait conserver des informations sur la session au cours de laquelle le consentement a été exprimé, avec la documentation du parcours de consentement de l’époque et une copie des informations présentées à la personne concernée. Il ajoute que le simple renvoi à une configuration correcte du site n’est pas suffisant. La liste de l’ICO pour les enregistrements de consentement : qui a consenti, quand, ce qu’on lui a dit, comment il a consenti, et s’il a retiré son consentement et quand.

Pour un bandeau cookies, un enregistrement suffisant comporte :

Conservez à côté les textes versionnés du bandeau et les versions de la politique de cookies, pour qu’un enregistrement d’il y a huit mois puisse être rapproché des mots exacts que le visiteur a vus.

Le CEPD avertit aussi que l’obligation de démontrer le consentement ne doit pas conduire à un traitement supplémentaire excessif : assez de données pour établir le lien, pas davantage. Ne stockez pas d’adresses IP brutes ni de noms à cette fin.

Les enregistrements pour les refus et pour les tiers

Enregistrez aussi les refus. Ils prouvent que le bandeau offrait un vrai choix, ils justifient l’absence de données de mesure d’audience pour ce visiteur, et ils vous permettent d’éviter de redemander avant six mois.

Si un partenaire recueille le consentement pour votre compte, ou si vous le recueillez pour un partenaire, chaque responsable de traitement doit toujours pouvoir le prouver. La recommandation de la CNIL indique qu’une clause contractuelle par laquelle une partie s’engage à recueillir un consentement valable pour l’autre ne suffit pas à elle seule, et demande que la partie qui recueille mette la preuve à la disposition des autres. La CNIL a appliqué ce raisonnement le 15 juin 2023 en infligeant une amende de 40 millions d’euros à une société de technologie publicitaire, en partie parce qu’elle ne pouvait pas démontrer que les visiteurs des sites de ses partenaires avaient consenti à son traceur, et que sa clause contractuelle seule ne garantissait pas un consentement valable.

Une politique que vous pouvez écrire noir sur blanc

• Le choix du visiteur est conservé 6 mois, puis redemandé.
• Le choix est redemandé plus tôt quand la version du bandeau change.
• Chaque choix est enregistré avec l’horodatage, le choix, les catégories, la version du bandeau, la langue, le pays, un identifiant visiteur aléatoire, un hachage d’IP salé chaque jour et le navigateur.
• Les enregistrements sont conservés 5 ans, puis supprimés.
• Les textes du bandeau et les versions de la politique sont archivés avec leurs dates.
• Les enregistrements peuvent être exportés à la demande de l’autorité ou pour une plainte.

Inscrivez-la dans votre registre des traitements et dans la section conservation de votre politique de confidentialité, et la question est réglée avant que quiconque la pose.