La case à cocher de consentement RGPD : quand elle est obligatoire, quand elle est inutile

Sous presque tous les formulaires de landing page française, la même case attend le visiteur : « J’accepte la politique de confidentialité ». Le réflexe est compréhensible — face au RGPD, ajouter une case semble le geste le plus prudent. Le problème est double : une case cochée ne crée pas la conformité, et une case superflue coûte des conversions tout en détournant l’attention de la seule chose réellement obligatoire dans tous les cas : informer clairement la personne au moment où elle vous confie ses données. Précision indispensable avant d’aller plus loin : cet article est informatif, ce n’est pas un avis juridique. La CNIL reste la référence en France, et l’analyse d’un juriste s’impose dès que l’enjeu est sérieux.

Trois obligations distinctes que l’on confond en une seule case

La plupart des cases mal placées viennent du même malentendu : croire qu’il existe une obligation générale de « faire accepter » quelque chose. En réalité, trois questions différentes se posent, et une seule des trois se règle parfois par une case. La première est la base légale : au titre de quoi avez-vous le droit de traiter ces données ? La deuxième est l’obligation d’information : la personne sait-elle qui collecte, pourquoi, pour combien de temps et avec quels droits ? Elle est due dans tous les cas, et elle ne se coche pas — elle s’affiche. La troisième est le consentement à la prospection commerciale : voulez-vous, en plus de traiter la demande, envoyer des messages commerciaux plus tard ? C’est là, et essentiellement là, qu’une case a sa place. Confondre les trois produit le cas classique : un formulaire de devis qui bloque l’envoi tant que le visiteur n’a pas « accepté la politique de confidentialité », alors que ce traitement ne repose pas sur son consentement — et qui n’explique nulle part combien de temps les données seront gardées. Le cadre général est détaillé dans l’article sur le formulaire de landing page conforme au RGPD.

Ce que le RGPD demande vraiment : une base légale, pas forcément un consentement

Tout traitement doit se fonder sur une base légale, et la CNIL en recense six : le consentement, l’exécution d’un contrat, le respect d’une obligation légale, la mission d’intérêt public, l’intérêt légitime et la sauvegarde des intérêts vitaux. Le consentement n’est donc qu’une base parmi plusieurs, et rarement la plus pertinente pour un formulaire commercial. Quand un visiteur demande un devis, un rappel ou une visite, il sollicite lui-même une relation : le traitement de sa demande relève naturellement du contrat ou des mesures précontractuelles prises à sa demande, parfois de l’intérêt légitime pour un simple formulaire de contact. Lui faire cocher une case n’ajoute alors aucune protection, et crée même une incohérence : un consentement se retire à tout moment, alors que le traitement de sa demande doit aboutir. Ce qui ne disparaît jamais, c’est l’information au moment de la collecte, prévue par l’article 13 du RGPD quand les données sont recueillies auprès de la personne : identité du responsable, finalités et base légale, destinataires, durée de conservation, droits de la personne et droit de réclamation auprès de l’autorité de contrôle. En pratique, deux ou trois lignes sous le bouton d’envoi et un lien vers une politique de confidentialité à jour. C’est plus utile qu’une case, et cela suppose d’avoir répondu à des questions souvent esquivées : la durée de conservation des données du formulaire et les mentions légales et CGV de la landing page.

Quand la case à cocher est réellement nécessaire

• L’inscription à une newsletter — le cas d’école du consentement : la personne accepte des messages qu’elle n’a pas demandés un par un. La case doit être dédiée, non pré-cochée et distincte de tout autre engagement ; la question de la confirmation par e-mail est traitée dans l’article sur le double opt-in et le simple opt-in.
• La prospection par courriel ou SMS vers un particulier — la CNIL rappelle que la publicité par voie électronique suppose en principe un consentement recueilli avant le démarchage, avec des exceptions notamment pour les clients existants sollicités à propos de produits ou services analogues.
• L’ajout à une liste de diffusion après une demande de devis — deux finalités différentes, donc une case séparée pour la seconde, dont le refus ne doit jamais empêcher l’envoi du formulaire.
• La transmission des données à des partenaires — dès que les données servent à la prospection d’un tiers, le consentement doit être spécifique et les destinataires identifiables par la personne.
• Ce qui ne relève pas de la case du formulaire — les traceurs suivent un régime distinct avec leur propre interface, sujet couvert dans l’article sur le bandeau cookies et la conversion et, pour s’en passer, dans celui sur l’analytics sans cookies.

Le cas du B2B en France : ce que dit la CNIL

C’est le point le plus mal compris, et celui où la prudence est la plus nécessaire. La CNIL indique que la prospection par courriel dans un cadre professionnel peut reposer sur l’intérêt légitime de l’organisme lorsque l’objet de la sollicitation est en rapport avec la profession de la personne démarchée — l’exemple qu’elle donne est celui d’un logiciel proposé au directeur informatique d’une entreprise. Un consentement préalable n’est alors pas systématiquement exigé, à condition que la personne soit informée de l’origine de ses données et de la finalité du message, et qu’elle puisse s’y opposer simplement et gratuitement, y compris au moment de la collecte. La CNIL précise par ailleurs que les adresses génériques du type contact@societe.fr ou info@societe.fr, qui concernent des personnes morales, ne sont pas soumises à ces principes. Trois nuances comptent : une adresse professionnelle nominative reste une donnée personnelle ; l’intérêt légitime suppose une mise en balance documentée avec les droits des personnes, il ne se décrète pas ; une sollicitation sans lien avec la fonction du destinataire sort du cadre décrit. Sur un formulaire B2B, la conséquence pratique est qu’une case « j’accepte de recevoir des offres » n’est pas toujours obligatoire, mais qu’une possibilité de refus visible l’est. Les implications côté acquisition sont développées dans l’article sur la landing page de cold email en prospection B2B. Là encore, cette lecture ne remplace pas l’analyse d’un juriste sur votre situation précise.

Comment rédiger la mention : six règles opérationnelles

1. Une case, un objet. Le consentement doit être spécifique : la CNIL écarte les consentements groupés qui mélangent plusieurs traitements dans une seule coche.
2. Jamais pré-cochée. Une case déjà remplie ne constitue pas une manifestation univoque de volonté, pas plus que le silence ou l’inaction ; le sujet est développé dans l’article sur la case pré-cochée d’un formulaire.
3. Dire ce que la personne va recevoir. « J’accepte la politique de confidentialité » n’informe sur rien ; « je souhaite recevoir la lettre mensuelle sur l’immobilier locatif, environ un e-mail par mois » décrit un objet, une fréquence et un contenu.
4. Annoncer le retrait dans la même phrase. Le consentement se retire à tout moment, par un moyen aussi simple que celui utilisé pour le donner : « désabonnement en un clic dans chaque e-mail » est une phrase de conformité et, accessoirement, un argument de conversion.
5. Ne pas bloquer l’envoi sur une case facultative. Si le refus de la newsletter empêche la demande de devis, le consentement n’est plus libre ; la distinction est traitée dans l’article sur les champs obligatoires et optionnels.
6. Soigner la microcopie plutôt que la multiplier. Deux lignes lisibles sous le bouton valent mieux qu’un pavé juridique illisible ; les principes de rédaction sont détaillés dans l’article sur la microcopie d’un formulaire.

L’effet sur la conversion : ce que montre la recherche

La recherche sur les interfaces de consentement, construite surtout autour des bandeaux cookies, se transpose assez bien aux cases de formulaire : la formulation et le design pèsent beaucoup plus que le contenu juridique. Une étude de Christine Utz, Martin Degeling, Sascha Fahl, Florian Schaub et Thorsten Holz publiée en 2019 à la conférence ACM CCS, « (Un)informed Consent: Studying GDPR Consent Notices in the Field », a testé plusieurs variantes de notification auprès de plus de 80 000 visiteurs uniques d’un site réel : la position de la notification change fortement le taux d’interaction, et un choix binaire obtient plus d’acceptations qu’un mécanisme demandant une autorisation par catégorie. Les auteurs concluent que de petites décisions d’implémentation modifient substantiellement la façon dont les gens répondent. Une étude de Midas Nouwens, Ilaria Liccardi, Michael Veale, David Karger et Lalana Kagal présentée en 2020 à la conférence CHI, « Dark Patterns after the GDPR », a analysé les cinq plateformes de gestion du consentement les plus répandues sur les 10 000 sites britanniques les plus visités et n’a trouvé que 11,7 % d’implémentations respectant les exigences minimales issues du droit européen.

Ces résultats invitent à retourner l’intuition marketing. Puisque le design suffit à faire monter un taux d’acceptation, un taux élevé ne prouve rien sur l’adhésion réelle : une synthèse d’Alessandro Acquisti, Laura Brandimarte et George Loewenstein publiée en 2015 dans la revue Science, « Privacy and human behavior in the age of information », montre que les préférences en matière de vie privée sont incertaines, dépendantes du contexte et malléables — donc influençables par la présentation. La conséquence commerciale est directe : un consentement arraché par une case pré-cochée, un libellé volontairement flou ou un refus enterré est fragile juridiquement et médiocre économiquement. Les adresses obtenues ainsi produisent des désabonnements immédiats, des plaintes, des signalements en spam qui abîment la réputation d’envoi, et des leads qui ne se souviennent pas de vous avoir parlé. C’est la logique décrite dans l’article sur les dark patterns en landing page : ce qui gonfle un chiffre à court terme détruit la qualité de la base. Une case honnête, à côté d’un formulaire court — le sujet du nombre de champs d’un formulaire — donne moins d’inscrits et une liste qui ouvre les e-mails.

Les templates LanderKit (89 € l’unité, 229 € le pack de 10) livrent des formulaires dont les cases de consentement et les mentions d’information sont modifiables directement dans le contenu, sans toucher au code, avec un état non coché par défaut — notamment sur newsletter créateur, où le consentement est le cœur de la page, et immobilier lead, où la demande de rappel et l’abonnement commercial restent deux choses séparées. Reste à adapter les libellés à votre traitement réel, et à faire relire les points sensibles par un juriste.