La charge vous incombe
L’article 7(1) du RGPD tient en une phrase : lorsque le traitement repose sur le consentement, le responsable du traitement doit être en mesure de démontrer que la personne concernée a donné son consentement. Il place la charge de la preuve sur le site, pas sur le visiteur ni sur l’autorité. En pratique, une autorité de contrôle pose une question simple, « montrez-moi le consentement de cette personne ce jour-là », et les réponses honnêtes sont soit un enregistrement, soit un haussement d’épaules. Une bannière qui a affiché un choix mais n’a rien stocké est un haussement d’épaules.
Les lignes directrices de l’EDPB sur le consentement (05/2020) précisent à quoi ressemble une démonstration en ligne. Le responsable du traitement devrait conserver des informations sur la session au cours de laquelle le consentement a été donné, une documentation du parcours de consentement à ce moment-là, et une copie des informations montrées à la personne. Trois choses : l’événement, le processus, les mots. La plupart des journaux de consentement stockent la première, certains la deuxième, presque aucun la troisième, et c’est sur la troisième qu’un enregistrement s’effondre à l’interrogatoire : « que leur avez-vous dit exactement ? »
Cinq questions auxquelles un enregistrement répond
Réduisez la ligne directrice à l’essentiel et un enregistrement défendable répond à cinq questions : qui a consenti, quand, ce qu’on lui a dit, comment il l’a signalé, et s’il s’est rétracté ensuite. Voici la forme réelle d’un enregistrement, champ par champ.
- Qui. Un identifiant pseudonyme qui relie l’enregistrement au navigateur d’où il vient, et aux retraits ultérieurs. Pas d’adresse IP, pas de user agent, pas de nom : aucun n’est nécessaire pour prouver le consentement, et chacun transforme le journal en un second jeu de données personnelles que vous devez désormais protéger.
- Quand. Un horodatage avec fuseau horaire, venant du serveur, pas de l’horloge du navigateur.
- Ce qu’on leur a dit. La version de la bannière et un hachage des textes exacts affichés, dans la langue affichée. La version étant immuable, le hachage suffit à reproduire l’écran un an plus tard.
- Comment ils l’ont signalé. Tout accepter, tout refuser ou un choix personnalisé, avec les catégories qui en ont résulté. Le régime applicable (opt-in UE, opt-out États-Unis) et le pays, car le même clic signifie des choses différentes selon les règles.
- S’ils se sont rétractés. Un retrait est un enregistrement à part entière, chaîné au consentement qu’il révoque, si bien que l’historique des choix d’une personne se lit dans l’ordre.
Combien de temps le conserver
La position de l’EDPB est que l’obligation de démontrer le consentement dure aussi longtemps que le traitement qu’il couvre, et qu’ensuite la preuve ne devrait pas être conservée plus longtemps que nécessaire pour une obligation légale ou pour la constatation, l’exercice ou la défense de droits en justice. Il n’y a pas de chiffre fixe dans le RGPD. En pratique, cela signifie : conservez l’enregistrement tant que vous vous appuyez sur le consentement, puis pendant le délai de prescription de votre pays, qui est en Allemagne de trois ans à compter de la fin de l’année où une réclamation est née, et en France de cinq ans. C’est pourquoi un journal « 12 mois » est maigre pour un site professionnel et pourquoi les offres payantes de CookieCrumbs conservent les enregistrements 60 mois. Free en conserve 12, et chaque enregistrement est exportable avant d’expirer.
Pourquoi l’enregistrement doit être inviolable
Un journal que son propriétaire peut modifier prouve seulement que son propriétaire est honnête. Ce n’est pas ce qu’une autorité ou un plaignant demande. Les deux mécanismes qui font d’un journal de consentement une preuve plutôt qu’une affirmation sont bon marché et anciens : chaîner les enregistrements, et signer l’export.
Chaîner signifie que chaque enregistrement porte un hachage de l’enregistrement précédent. Modifiez ou supprimez n’importe quel enregistrement et tous les hachages suivants cessent de correspondre, ce que peut détecter quiconque détient le fichier. Signer signifie que l’export est accompagné d’une signature de son contenu, faite avec une clé dont la moitié publique est publiée, si bien qu’un tiers peut vérifier que le fichier a quitté nos systèmes sous cette forme exacte sans faire confiance ni à vous ni à nous. Ensemble, ils transforment « nous avons des journaux » en « voici un fichier que vous pouvez vérifier ».
Ce que CookieCrumbs stocke, et refuse de stocker
Chaque décision sur une bannière CookieCrumbs devient un enregistrement avec les champs ci-dessus, chaîné au précédent, à Francfort. Les exports sont signés et livrés en CSV ou JSON, par site ou par personne, depuis le tableau de bord, la CLI (cookiecrumbs logs export) ou l’API. Les demandes d’effacement sont honorées par des tombstones : les données de la personne sont supprimées et la chaîne reste vérifiable.
Ce que nous refusons de stocker est tout aussi important. Pas d’adresse IP à côté d’un enregistrement, pas de user agent, pas de nom. L’identifiant de consentement est pseudonyme et vit dans le navigateur du visiteur. Cela empêche le journal lui-même de devenir un risque, et c’est le choix de conception qui nous permet de dire que les enregistrements n’ont jamais besoin de quitter l’UE : rien en eux ne rendrait un transfert digne d’un débat. Le guide des enregistrements de consentement contient la liste des champs et les étapes de vérification.
Sources
- RGPD article 7, Conditions applicables au consentement
- EDPB, Lignes directrices 05/2020 sur le consentement au sens du règlement 2016/679, version 1.1, adoptées le 4 mai 2020
- ICO, « What is valid consent? »
- Securiti, « What is proof of consent under GDPR? »
- Docs CookieCrumbs, Enregistrements de consentement