Une exigence du RGPD
Le consentement explicite est requis dans plusieurs cas par le RGPD :
Collecte de données sensibles
L'article 9 du RGPD prévoit que le traitement de données particulières (ou sensibles) est par nature interdit sauf exceptions. Parmi ces exceptions figure le consentement explicite de la personne.
Prise de décision automatisée
Les mécanismes de décision purement automatisée qui produisent des effets juridiques ou qui affectent la personne de manière significative sont interdits. Là encore, une exception prévue par l'article 22 c) du RGPD sur le fondement du consentement explicite de la personne le permet.
Transferts hors UE
Les transferts hors UE/EEE sont encadrés par des garanties minimales. Parmi ces garanties figurent des dérogations pour des situations particulières dont le consentement explicite (article 49 1. a).
Le caractère explicite du consentement
Ce caractère explicite n'est pas défini dans le RGPD mais on peut le rapprocher d'autres dispositions, par exemple, le consentement exprès au sens de l'article L. 1122-1-1 du code de la santé publique concernant les recherches interventionnelles en santé publique sur la personne humaine qui comportent des risques minimes.
L'intention du législateur est ainsi de solliciter un consentement renforcé par rapport au consentement "classique". En particulier, un consentement explicite doit être libre, spécifique, éclairé et univoque. Mais il doit de plus être affirmé dans une déclaration claire. En somme, le consentement explicite ne doit pas pouvoir être induit d'actions d'une personne, mais bien être caractérisé par des mots qui doivent être clairement exprimés (par écrit ou par oral mais la preuve sera plus aisée à l'écrit).
Vous pouvez penser au mariage civil qui illustre assez bien le consentement explicite que se portent les époux.
Une déclaration de consentement explicite doit également faire spécifiquement référence à l'élément du traitement qui nécessite un consentement explicite. Par exemple, la déclaration doit préciser la nature des données sensibles, les détails de la décision automatisée et ses effets, ou les détails des données à transférer et les risques du transfert hors EU/EEE le cas échéant.
Enfin, conformément au considérant 43 du RGPD, le consentement explicite doit être séparé d'un autre consentement le cas échéant.
Exemples de consentements explicites
Quelques exemples sont alors prévus pour le responsable de traitement :
- Une case de recueil du consentement non pré-cochée
- Une déclaration écrite et signée par la personne concernée
- L’envoi d’une vérification par email à la personne qui consent au traitement de ces données sensibles.
Exemple : un salon de beauté demande dans le formulaire d'inscription la couleur de peau.
Ces données étant sensibles (révèle l'origine raciale ou ethnique), le consentement explicite doit être demandé.
☐ J'accepte l'utilisation des informations concernant ma couleur de peau pour recevoir des propositions de produits de beauté appropriés.