> Consentement RGPD : libre, spécifique, éclairé, univoque, préalable, prouvable et révocable. Conditions de validité, exemples et test de votre bandeau.
>
> Canonical: https://www.flowconsent.com/fr/blog/consentement-rgpd-conditions-validite

[Réglementation](https://www.flowconsent.com/fr/blog?category=regulation)

# Consentement RGPD : les 7 conditions de validité expliquées

Publié le 23 juin 2026 · Mis à jour le 3 novembre 2026 · 17 min de lecture

En bref

le consentement RGPD est l'une des six bases légales d'un traitement de données personnelles, et pour les cookies et traceurs, c'est celle que la loi impose. Il n'est valable que s'il est libre, spécifique, éclairé et univoque (article 4, point 11), recueilli _avant_ tout dépôt de cookie non essentiel, prouvable par vous (article 7.1) et aussi simple à retirer qu'à donner (article 7.3). Sur un bandeau cookies, cela veut dire : un bouton « Tout refuser » aussi visible que « Tout accepter », aucune case précochée, aucune mention « en poursuivant votre navigation », un choix par finalité, des scripts bloqués jusqu'au clic et une trace de chaque décision. Une seule condition manquante et le consentement est nul, comme tous les cookies déposés sur cette base.

Ce guide ouvre notre série consacrée au consentement et aux lois sur la vie privée : chaque section résume un sujet et renvoie vers l'article détaillé.

## Qu'est-ce que le consentement RGPD et quand est-il obligatoire ?

L'article 6.1 du [RGPD](https://eur-lex.europa.eu/eli/reg/2016/679/oj) prévoit six bases légales : le consentement, le contrat, l'obligation légale, la sauvegarde des intérêts vitaux, la mission d'intérêt public et l'intérêt légitime. Le consentement n'est pas la « meilleure » base. Comme le rappelle la [CNIL dans sa fiche sur le consentement](https://www.cnil.fr/fr/les-bases-legales/consentement), il n'est adapté que si la personne dispose d'un véritable choix. Si vous avez besoin des données pour livrer une commande, la base est le contrat ; si la loi vous oblige à conserver vos factures, c'est l'obligation légale. Demander un consentement dans ces cas serait trompeur, puisque la personne ne peut pas réellement refuser.

Les cookies sont la grande exception : vous ne choisissez pas. L'article 82 de la loi Informatique et Libertés, qui transpose l'article 5.3 de la [directive ePrivacy](https://eur-lex.europa.eu/eli/dir/2002/58/oj), impose le consentement avant toute lecture ou écriture d'informations sur le terminal de l'utilisateur, sauf si l'opération est strictement nécessaire au service qu'il a demandé ou à la transmission d'une communication. L'intérêt légitime ne peut pas remplacer le consentement pour un cookie publicitaire, un outil de mesure d'audience non exempté ou un pixel de réseau social. Les cas où l'intérêt légitime reste valable, et la raison des interrupteurs « intérêt légitime » dans certains bandeaux, sont détaillés dans notre article [intérêt légitime ou consentement](https://www.flowconsent.com/fr/blog/interet-legitime-ou-consentement). Dans ses [lignes directrices 2/2023 sur le champ d'application technique de l'article 5.3](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en), le CEPD confirme que la règle couvre aussi les pixels de suivi, le stockage local et les techniques similaires, et pas seulement les cookies.

### Consentement explicite et données sensibles

Le RGPD exige un niveau plus élevé, le « consentement explicite », dans trois situations : le traitement de catégories particulières de données comme la santé, la religion ou l'orientation sexuelle (article 9.2.a), les décisions automatisées produisant des effets juridiques ou significatifs (article 22.2.c) et certains transferts hors de l'EEE (article 49.1.a). Explicite signifie une déclaration expresse : une phrase écrite, un formulaire signé ou une case dédiée cochée pour cette finalité précise. Un site qui déduit des centres d'intérêt liés à la santé à partir de la navigation pour cibler des publicités entre dans ce cadre. Pour la différence entre consentement explicite, univoque et implicite, voir [les types de consentement RGPD](https://www.flowconsent.com/fr/blog/consentement-explicite-implicite-eclaire).

### Le consentement des mineurs

Lorsqu'un service en ligne s'adresse directement à un enfant et repose sur le consentement, l'article 8 fixe la majorité numérique à 16 ans et permet à chaque État membre de l'abaisser, sans descendre sous 13 ans. En dessous, le consentement doit être donné ou autorisé par un titulaire de l'autorité parentale, et le responsable doit faire des efforts raisonnables pour le vérifier. La France a retenu 15 ans (article 45 de la loi Informatique et Libertés), l'Espagne 14 ans (article 7 de la LOPDGDD) et l'Allemagne a conservé 16 ans.

### Bandeau cookies ou formulaire : la même exigence

Les sept conditions ci-dessous s'appliquent que vous recueilliez le consentement par un bandeau cookies, une inscription à la newsletter ou un formulaire de contact. Sur les formulaires, les erreurs classiques sont une case unique qui mélange CGU et prospection, une case newsletter précochée et l'absence de moyen simple de se désinscrire. Ce guide prend surtout l'exemple du bandeau cookies, parce que c'est là que tombent la plupart des sanctions, mais l'analyse est identique.

## D'où viennent ces 7 conditions ?

L'article 4, point 11, du RGPD définit le consentement comme une manifestation de volonté libre, spécifique, éclairée et univoque, exprimée par une déclaration ou par un acte positif clair. L'article 7 ajoute les conditions pratiques : le responsable de traitement doit pouvoir démontrer le consentement (7.1), la demande doit se distinguer clairement des autres sujets et être formulée en termes clairs et simples (7.2), la personne peut retirer son consentement à tout moment, aussi simplement qu'elle l'a donné (7.3), et l'on vérifie que l'accès à un service n'est pas conditionné à un consentement qui n'est pas nécessaire à ce service (7.4).

Trois considérants précisent ces règles. Le considérant 32 exclut le silence, les cases cochées par défaut et l'inactivité. Le considérant 42 exige que la personne connaisse au minimum l'identité du responsable et les finalités, et précise qu'un consentement n'est pas libre si la personne ne peut pas refuser ou retirer son accord sans subir de préjudice. Le considérant 43 demande que des consentements distincts puissent être donnés pour des opérations distinctes.

Pour les cookies, l'obligation de demander l'accord vient de l'article 82 de la loi Informatique et Libertés (transposition de l'article 5.3 de la directive ePrivacy), mais la qualité du consentement se mesure à l'aune du RGPD. La Cour de justice l'a confirmé dans l'arrêt **Planet49** (C-673/17, 1er octobre 2019) : une case précochée ne vaut pas consentement, la règle s'applique que les informations stockées soient ou non des données personnelles, et l'utilisateur doit connaître la durée de vie des cookies et savoir si des tiers peuvent y accéder. En France, la référence reste les [lignes directrices et la recommandation de la CNIL](https://www.cnil.fr/fr/cookies-et-autres-traceurs/regles/cookies/lignes-directrices-modificatives-et-recommandation) du 17 septembre 2020, applicables depuis fin mars 2021, qui s'appuient elles-mêmes sur les [lignes directrices 05/2020 du CEPD](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en).

Les cookies strictement nécessaires (session, sécurité, panier, mémorisation du choix lui-même) échappent au consentement. Tous les autres (publicité, réseaux sociaux, A/B testing, et la plupart des outils de mesure d'audience non exemptés) exigent un consentement qui remplit les sept conditions.

Notre guide des [catégories de cookies RGPD](https://www.flowconsent.com/fr/blog/categories-cookies-rgpd-guide) explique comment classer chaque cookie dans le bon groupe.

## Les 7 conditions en un coup d'œil

1. **Libre :** un vrai choix, sans conséquence négative en cas de refus.
2. **Spécifique :** une décision par finalité, jamais un paquet global.
3. **Éclairé :** la personne sait qui collecte, pourquoi, quelles données, pour combien de temps et comment retirer son accord.
4. **Univoque :** un acte positif clair, jamais le silence, le défilement ou une case précochée.
5. **Préalable :** obtenu avant toute lecture ou écriture d'un traceur.
6. **Prouvable :** vous pouvez démontrer quand, comment et à quoi la personne a consenti.
7. **Révocable :** à tout moment, depuis la même interface, aussi facilement qu'il a été donné.

## Conditions 1 et 2 : un consentement libre et spécifique

### 1. Libre

Le consentement n'est pas libre si l'internaute n'a pas de véritable alternative ou s'il est pénalisé lorsqu'il refuse. Le CEPD considère que l'accès à un service ne doit pas être subordonné à l'acceptation des cookies : dans son exemple 6a, un site masque son contenu tant que l'utilisateur n'a pas cliqué sur « Accepter les cookies », et le consentement est jugé non libre. Le design compte aussi. La CNIL rappelle qu'il doit être aussi simple de refuser que d'accepter, recommande des boutons « Tout accepter » et « Tout refuser » présentés au même niveau et sur le même format, et met en garde contre les interfaces qui valorisent visuellement un choix plutôt que l'autre. Voir aussi les [dark patterns interdits par la CNIL](https://www.flowconsent.com/fr/blog/dark-patterns-cookies-cnil-interdit).

- **Conforme :** « Tout accepter » et « Tout refuser » côte à côte dès le premier niveau, même taille, même police, même mise en valeur.
- **Non conforme :** un gros bouton vert « J'accepte » et un lien gris « Paramétrer » qui impose trois clics pour refuser.
- **Non conforme :** un contenu flouté tant que l'internaute n'accepte pas, sans alternative équivalente. Voir notre analyse du [cookie wall](https://www.flowconsent.com/fr/blog/cookie-wall-legal-rgpd-alternatives).

### 2. Spécifique

Le consentement porte sur une ou plusieurs finalités définies, et l'internaute doit pouvoir en accepter certaines et en refuser d'autres. L'article 7.2 interdit aussi de noyer la demande dans les conditions générales d'utilisation. Un bouton « Tout accepter » reste possible, à condition qu'un second niveau permette de choisir finalité par finalité.

- **Conforme :** un panneau de personnalisation avec des interrupteurs séparés pour « Mesure d'audience », « Publicité personnalisée » et « Partage sur les réseaux sociaux », tous désactivés par défaut.
- **Non conforme :** une case unique « J'accepte les CGU et les cookies ».
- **Non conforme :** une catégorie « Marketing » fourre-tout qui recouvre sans le dire la mesure d'audience, le reciblage et l'enregistrement de sessions.

## Conditions 3 et 4 : un consentement éclairé et univoque

### 3. Éclairé

Le CEPD fixe un socle minimal : identité du responsable, finalité de chaque traitement, type de données collectées, existence du droit de retrait et, le cas échéant, prise de décision automatisée et risques liés aux transferts hors de l'Espace économique européen. L'arrêt Planet49 ajoute la durée de fonctionnement des cookies et l'accès éventuel de tiers. La CNIL attend en outre que la liste des responsables (y compris les partenaires) soit accessible facilement. Concrètement : un premier niveau court et clair, puis un second niveau ou une politique de cookies qui détaille chaque cookie, son émetteur, sa finalité et sa durée.

Notre [guide de la politique de cookies](https://www.flowconsent.com/fr/blog/politique-de-cookies-rgpd-guide) montre comment présenter ces informations dans un document complet.

- **Conforme :** « Nous et nos partenaires (Google, Meta) souhaitons utiliser des traceurs pour mesurer l'audience et vous proposer des publicités adaptées. Vous pouvez modifier votre choix à tout moment via le lien « Gérer mes cookies » en bas de page. », avec un lien vers la liste complète.
- **Non conforme :** « Ce site utilise des cookies pour améliorer votre expérience. », sans finalité, sans partenaire, sans mention du retrait.
- **Non conforme :** une mention « nos partenaires » sans jamais dire qui ils sont.

### 4. Univoque

L'article 4, point 11, exige une déclaration ou un acte positif clair. Depuis les lignes directrices de 2020, la CNIL considère que la simple poursuite de la navigation ne peut plus valoir consentement, et le CEPD précise (exemple 16) que faire défiler ou balayer une page ne satisfait en aucun cas cette exigence. Fermer le bandeau avec une croix n'exprime pas davantage d'accord : traitez-le comme une absence de choix et laissez les scripts non essentiels bloqués.

Nos [exemples de bandeaux cookies RGPD](https://www.flowconsent.com/fr/blog/exemples-bandeau-cookies-rgpd-bonnes-pratiques) illustrent ce qu'est un acte positif clair sur un vrai bandeau.

- **Conforme :** l'internaute clique sur un bouton intitulé sans ambiguïté « Tout accepter », ou active une finalité précise puis enregistre.
- **Non conforme :** « En poursuivant votre navigation, vous acceptez l'utilisation de cookies. »
- **Non conforme :** des interrupteurs déjà activés dans le panneau de personnalisation, soit l'équivalent numérique de la case précochée condamnée par la CJUE.

## Conditions 5, 6 et 7 : préalable, prouvable et révocable

### 5. Préalable

Le consentement doit toujours être obtenu avant le début du traitement, rappelle le CEPD. C'est là que la plupart des bandeaux échouent : le texte est irréprochable, mais Google Analytics ou le pixel Meta se déclenche dès le chargement de la page, parce que la balise est codée en dur dans le `<head>` ou se déclenche dans Tag Manager avant l'outil de consentement. Une configuration conforme bloque tous les scripts non essentiels jusqu'au clic. FlowConsent applique ce blocage préalable par défaut et envoie à Google des signaux Consent Mode v2 en « denied » tant que l'internaute n'a pas choisi : la [documentation Google Consent Mode](https://www.flowconsent.com/fr/doc/google-consent-mode) décrit le fonctionnement exact. Vérifiez en quelques minutes quels cookies votre site dépose avant tout clic avec le [scanner de cookies gratuit](https://www.flowconsent.com/fr/scan).

### 6. Prouvable

Avec l'article 7.1, la charge de la preuve vous revient. Le CEPD suggère de conserver des informations sur la session au cours de laquelle le consentement a été donné, la documentation du parcours de consentement à cette date et une copie des informations affichées, et précise qu'il ne suffit pas d'invoquer une configuration correcte du site. Un registre utile contient l'horodatage, un identifiant pseudonyme, le choix pour chaque finalité, la version du bandeau et celle de la politique de cookies. FlowConsent journalise chaque choix avec un identifiant pseudonyme et la version du bandeau, et son [rapport de preuve](https://www.flowconsent.com/fr/doc/proof-report) documente ce qu'un refus bloque réellement ; notre guide sur la [preuve du consentement](https://www.flowconsent.com/fr/blog/preuve-consentement-cookies-stocker-duree) détaille ce qu'il faut stocker.

### 7. Révocable

L'article 7.3 impose que le retrait soit aussi simple que le consentement, et la personne doit en être informée avant de consentir. La CNIL recommande un lien accessible à tout moment, intitulé par exemple « Gérer mes cookies », ou une icône placée en bas de l'écran sur toutes les pages. Le CEPD ajoute qu'un consentement donné en un clic sur un site doit pouvoir être retiré depuis la même interface : renvoyer vers une adresse e-mail ou une hotline ne suffit pas. Le retrait doit aussi produire un effet réel : les balises cessent de fonctionner et les traceurs déjà déposés ne sont plus lus.

Le RGPD ne fixe pas de durée de validité. Le CEPD recommande de renouveler le consentement à intervalles appropriés, et la CNIL considère que conserver le choix de l'internaute, qu'il s'agisse d'un accord ou d'un refus, pendant 6 mois constitue une bonne pratique. Depuis le 16 janvier 2026, sa recommandation consolidée encadre aussi le [consentement multi-terminaux](https://www.cnil.fr/fr/cookies-et-autres-traceurs-recommandations-finales-sur-le-consentement-multi-terminaux) dans les univers connectés : si l'on peut accepter en une fois pour tous ses appareils, on doit pouvoir refuser ou retirer avec la même simplicité et la même portée.

Notre guide sur la [durée de conservation des cookies et la règle des 13 mois](https://www.flowconsent.com/fr/blog/duree-conservation-cookies-cnil-13-mois) détaille ces délais.

## Design du bandeau, dark patterns et sanctions

La plupart des consentements invalides ne viennent pas d'une mauvaise lecture du droit, mais de choix de design. Les autorités examinent tout le parcours : le premier niveau, le nombre de clics pour refuser, les formulations, les couleurs et ce qui se passe vraiment après le clic.

- **Dark patterns :** un bouton d'acceptation mis en avant, un lien de refus en gris pâle, une formulation culpabilisante ou un second écran rien que pour dire non. Notre analyse des [dark patterns interdits par la CNIL](https://www.flowconsent.com/fr/blog/dark-patterns-cookies-cnil-interdit) les passe en revue un par un.
- **Cookie wall et « consentir ou payer » :** bloquer l'accès tant que l'internaute n'accepte pas pose frontalement la question de la liberté du choix. Voir [si le cookie wall est légal et quelles sont les alternatives](https://www.flowconsent.com/fr/blog/cookie-wall-legal-rgpd-alternatives).
- **Les bons modèles :** nos [exemples de bandeaux cookies RGPD](https://www.flowconsent.com/fr/blog/exemples-bandeau-cookies-rgpd-bonnes-pratiques) montrent des mises en page qui respectent les sept conditions.
- **La lassitude du consentement :** un internaute qui clique n'importe où pour faire disparaître le bandeau n'est pas vraiment éclairé. [Pourquoi les visiteurs ignorent votre bandeau](https://www.flowconsent.com/fr/blog/consent-fatigue-visiteurs-ignorent-bandeau) explique comment le garder court et honnête.

Un bandeau conforme obtient en général un taux d'acceptation plus faible qu'un bandeau manipulateur. C'est normal, et notre guide pour [mesurer et améliorer votre taux de consentement](https://www.flowconsent.com/fr/blog/taux-consentement-cookies-mesurer-ameliorer) présente les leviers qui restent légaux.

L'enjeu est concret. Selon l'article 83.5.a du RGPD, la violation des conditions applicables au consentement peut entraîner une amende allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les cookies, la CNIL agit sur le fondement de l'article 82 de la loi Informatique et Libertés et publie ses décisions. Notre synthèse des [sanctions de la CNIL en matière de cookies](https://www.flowconsent.com/fr/blog/sanctions-cnil-cookies-cas-reels) reprend les principaux dossiers et les manquements en cause : cookies déposés avant consentement, refus plus difficile que l'acceptation, information incomplète.

## Transmettre le consentement aux outils publicitaires : Consent Mode, TCF et DMA

Une fois le choix fait, il doit parvenir à chaque outil qui en dépend. Trois cadres comptent pour la plupart des sites.

- **Google Consent Mode v2** transmet le choix aux balises Google via quatre paramètres (`ad_storage`, `analytics_storage`, `ad_user_data`, `ad_personalization`). Google l'exige des annonceurs qui utilisent ses services publicitaires auprès d'utilisateurs de l'EEE. Il ne remplace pas le bandeau, il en transporte seulement le résultat. Notre [guide d'implémentation du Consent Mode v2](https://www.flowconsent.com/fr/blog/google-consent-mode-v2-guide-implementation) détaille la mise en place.
- **Le TCF 2.2 de l'IAB** est le cadre utilisé par les éditeurs qui vendent de la publicité programmatique : le bandeau produit une chaîne de consentement que lisent les partenaires publicitaires. Lisez [ce qu'est le TCF 2.2 et qui doit l'utiliser](https://www.flowconsent.com/fr/blog/tcf-2-2-comprendre-transparency-consent-framework).
- **Le Digital Markets Act :** l'article 5.2 du DMA interdit aux contrôleurs d'accès de combiner des données personnelles entre leurs services sans un consentement au sens du RGPD. C'est l'une des raisons pour lesquelles Google et les grandes plateformes demandent aux sites des signaux de consentement fiables. Notre article sur [le DMA et le consentement aux cookies](https://www.flowconsent.com/fr/blog/digital-markets-act-dma-cookies-consentement) en détaille les conséquences.

D'autres régies ont leurs propres mécanismes, comme l'[Amazon Consent Signal pour Amazon Ads](https://www.flowconsent.com/fr/blog/amazon-consent-signal-acs-guide-amazon-ads) ou le [Consent Mode de Microsoft UET](https://www.flowconsent.com/fr/blog/consent-mode-microsoft-uet-bing-ads). Dans tous les cas, la règle est la même : le signal doit refléter le vrai choix de l'internaute, et aucune balise ne doit partir avant qu'il existe.

## Le consentement hors de l'Union européenne

Le RGPD s'applique aussi aux organismes établis hors de l'UE lorsqu'ils proposent des biens ou des services à des personnes situées dans l'UE ou suivent leur comportement (article 3.2). Une boutique en ligne américaine qui vend à des clients français doit donc respecter les sept conditions. Ailleurs, les approches diffèrent :

- **Royaume-Uni :** le UK GDPR et le PECR conservent la même exigence de consentement pour les cookies, comme l'explique l'[ICO](https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/lawful-basis/consent/what-is-valid-consent/).
- **Californie :** le CCPA, modifié par le CPRA, repose surtout sur l'opt-out : la plupart des cookies peuvent être déposés par défaut, mais les personnes doivent pouvoir s'opposer à la vente ou au partage de leurs données. [CCPA ou RGPD : les vraies différences pour les cookies](https://www.flowconsent.com/fr/blog/ccpa-vs-rgpd-differences-cookies) compare les deux régimes point par point. Le fonctionnement concret de ce refus, du lien en pied de page au délai de 15 jours ouvrés, est expliqué dans notre guide du [lien Do Not Sell My Personal Information](https://www.flowconsent.com/fr/blog/lien-do-not-sell-my-personal-information).
- **Brésil, Afrique du Sud, Thaïlande, Inde :** la LGPD, la POPIA, la PDPA et la DPDPA s'inspirent largement du RGPD, avec des différences locales sur les bases légales et les formalités. Voir notre guide sur [la gestion des cookies hors d'Europe](https://www.flowconsent.com/fr/blog/lgpd-popia-pdpa-dpdpa-cookies-hors-europe).

Pour un site à audience internationale, le choix le plus simple à défendre est souvent d'appliquer le standard RGPD partout, ou de géolocaliser les visiteurs et d'afficher le bandeau opt-in à tous ceux qui viennent d'une juridiction opt-in. Les deux modèles sont comparés, exemples à l'appui pour les cookies et l'emailing, dans notre article [opt-in et opt-out : définition et règles du RGPD](https://www.flowconsent.com/fr/blog/opt-in-opt-out-definition-rgpd).

## Ce qui change en 2026

Les textes eux-mêmes sont stables : le RGPD s'applique depuis mai 2018, et la règle du consentement pour les cookies date de la révision de 2009 de la directive ePrivacy. Ce qui bouge, c'est leur application et ce qui pourrait les remplacer. Le règlement ePrivacy proposé en 2017 n'a jamais été adopté : la directive et ses transpositions nationales restent la règle, et notre article sur [le règlement ePrivacy et les cookies](https://www.flowconsent.com/fr/blog/reglement-eprivacy-cookies-europe-ce-qui-change) suit le dossier. Les propositions « Digital Omnibus » de la Commission européenne intégreraient une partie des règles sur les cookies dans le RGPD et favoriseraient des signaux de consentement réglés une fois dans le navigateur, mais elles sont encore en négociation et les règles actuelles s'appliquent pleinement.

Notre point sur [le RGPD et les cookies en 2026](https://www.flowconsent.com/fr/blog/rgpd-cookies-2026-ce-qui-change) suit ce qui a changé et ce qui arrive, et l'évolution de Chrome vis-à-vis des cookies tiers est traitée dans notre [analyse de la Privacy Sandbox de Google](https://www.flowconsent.com/fr/blog/google-privacy-sandbox-consentement-cookies-tiers). Aucune de ces évolutions ne dispense aujourd'hui d'un consentement valable.

## Tester votre bandeau en 7 étapes

1. Ouvrez votre site en navigation privée et, avant tout clic, inspectez les cookies et les requêtes réseau dans les outils de développement du navigateur. Seuls des cookies strictement nécessaires doivent apparaître.
2. Examinez le premier niveau : refuser est-il exactement aussi simple et aussi visible qu'accepter ?
3. Cliquez sur « Tout refuser », visitez trois pages et vérifiez qu'aucune requête de mesure d'audience ou de publicité ne part.
4. Ouvrez le panneau de personnalisation : chaque finalité doit être désactivée par défaut, décrite simplement, avec les cookies, leurs émetteurs et leurs durées.
5. Acceptez, retrouvez le lien de gestion depuis n'importe quelle page, retirez votre accord et vérifiez que les balises s'arrêtent.
6. Exportez une preuve de consentement et vérifiez qu'elle indique la date, les choix et la version du bandeau.
7. Recommencez après chaque nouvel outil, plugin ou balise de campagne, idéalement avec un scan automatique des cookies.

Les sept conditions forment une chaîne : libre, spécifique, éclairé, univoque, préalable, prouvable et révocable. La CNIL ne note pas à la moyenne : un seul maillon faible, comme un bouton de refus absent ou une balise qui se déclenche avant le clic, invalide le consentement de tous vos visiteurs. Quel que soit l'outil choisi, vérifiez le comportement réel de votre site plutôt que le seul texte du bandeau. Pour savoir ce que vos pages chargent avant et après le consentement, [lancez un scan gratuit de votre site](https://www.flowconsent.com/fr/scan).

## Les règles du consentement, loi par loi

Les exigences ci-dessus viennent du RGPD et des règles ePrivacy, mais chaque juridiction ajoute ses propres règles sur les cookies, l'opt-in ou l'opt-out et les sanctions. Nos fiches détaillent chaque loi :

- [RGPD](https://www.flowconsent.com/fr/laws/rgpd)
- [directive ePrivacy](https://www.flowconsent.com/fr/laws/directive-eprivacy)
- [CCPA/CPRA](https://www.flowconsent.com/fr/laws/ccpa-cpra)
- [UK GDPR et PECR](https://www.flowconsent.com/fr/laws/uk-gdpr-pecr)
- [TDDDG (Allemagne)](https://www.flowconsent.com/fr/laws/tdddg) : l'ancien TTDSG, voir [ce qui a changé dans la loi allemande sur les cookies](https://www.flowconsent.com/fr/blog/tdddg-loi-allemande-cookies)
- [nLPD (Suisse)](https://www.flowconsent.com/fr/laws/nlpd-suisse)
- [LGPD (Brésil)](https://www.flowconsent.com/fr/laws/lgpd-bresil)
- [LOPDGDD (Espagne)](https://www.flowconsent.com/fr/laws/lopdgdd-espagne)

Pour une vue d'ensemble, consultez [toutes les lois sur les cookies](https://www.flowconsent.com/fr/laws).

## Comment FlowConsent gère le consentement RGPD

FlowConsent applique les sept conditions par défaut. Le bandeau affiche des boutons « Tout accepter » et « Tout refuser » de même taille dès le premier niveau, les catégories sont granulaires et désactivées tant que l'internaute n'a pas choisi, et les scripts non essentiels sont bloqués avant consentement. Les signaux Google Consent Mode v2 partent en « denied ». Chaque choix est journalisé avec un identifiant pseudonyme et la version du bandeau, la preuve de consentement est exportable, et un bouton flottant permet de rouvrir le bandeau pour changer d'avis à tout moment. Pour prouver que le refus est vraiment respecté, la [vérification de conformité](https://www.flowconsent.com/fr/doc/compliance-verification) charge vos pages en refusant le consentement, liste tout ce qui part malgré tout et archive le résultat comme preuve datée. FlowConsent est hébergé en Europe, gratuit jusqu'à 25 000 sessions par mois et s'installe en une dizaine de minutes.

[Retour au blog](https://www.flowconsent.com/fr/blog)

Partager l'article · [LinkedIn](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fconsentement-rgpd-conditions-validite) · [X](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.flowconsent.com%2Ffr%2Fblog%2Fconsentement-rgpd-conditions-validite)

Questions

## Questions fréquentes sur ce sujet.

Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.

[Nous écrire](https://www.flowconsent.com/fr/demo)

### Quelles sont les conditions de validité du consentement RGPD ?

Selon l'article 4, point 11, et l'article 7 du RGPD, le consentement doit être libre, spécifique, éclairé et univoque, exprimé par un acte positif clair. En pratique, deux exigences s'y ajoutent : il doit être recueilli avant le début du traitement et vous devez pouvoir le prouver. La personne doit aussi pouvoir le retirer à tout moment, aussi simplement qu'elle l'a donné. Si une condition manque, le consentement est nul.

### Le consentement est-il toujours obligatoire avec le RGPD ?

Non. Le consentement est l'une des six bases légales de l'article 6, avec le contrat, l'obligation légale, les intérêts vitaux, la mission d'intérêt public et l'intérêt légitime. Il ne convient que si la personne a un vrai choix. Les cookies sont la grande exception : la directive ePrivacy, transposée à l'article 82 de la loi Informatique et Libertés, impose le consentement pour tout traceur non essentiel, et l'intérêt légitime ne peut pas le remplacer.

### Quelle différence entre consentement et consentement explicite ?

Le consentement RGPD ordinaire peut s'exprimer par un acte positif clair, comme un clic sur un bouton. Le consentement explicite, exigé pour les données sensibles comme la santé (article 9), certaines décisions automatisées (article 22) et certains transferts hors de l'EEE (article 49), suppose une déclaration expresse : une phrase écrite, un formulaire signé ou une case dédiée à cette finalité. Il doit aussi remplir toutes les conditions ordinaires.

### Combien de temps un consentement RGPD reste-t-il valable ?

Le RGPD ne fixe aucune durée. Le CEPD recommande de renouveler le consentement à intervalles appropriés. Pour les cookies, la CNIL considère que conserver le choix de l'internaute, accord ou refus, pendant 6 mois est une bonne pratique, et l'AEPD espagnole estime qu'un consentement ne devrait pas rester valable plus de 24 mois. Choisissez une durée, documentez-la et redemandez dès que vos finalités ou vos partenaires changent.

### Faire défiler la page ou fermer le bandeau vaut-il consentement ?

Non. Le RGPD exige une déclaration ou un acte positif clair, et le considérant 32 exclut le silence et l'inactivité. Le CEPD précise que faire défiler ou balayer une page ne peut en aucun cas valoir consentement, et la CNIL ne reconnaît plus la poursuite de la navigation. Fermer le bandeau par une croix n'exprime pas davantage d'accord : traitez-le comme une absence de choix et laissez les scripts non essentiels bloqués.

### Comment prouver le consentement RGPD ?

L'article 7.1 vous fait porter la charge de la preuve. Conservez pour chaque choix un horodatage, un identifiant pseudonyme, la décision pour chaque finalité, la version du bandeau et celle de la politique affichée. Le CEPD précise qu'invoquer une configuration correcte du site ne suffit pas. Un scan daté montrant que rien ne se déclenche après un refus complète le dossier en prouvant que le choix est respecté.

À lire aussi

## Pour aller plus loin.

[Tous les articles](https://www.flowconsent.com/fr/blog)

[Réglementation · 18 octobre 2026](https://www.flowconsent.com/fr/blog/consentement-explicite-implicite-eclaire)

### [Consentement explicite, implicite, éclairé : les types de consentement RGPD](https://www.flowconsent.com/fr/blog/consentement-explicite-implicite-eclaire)

[Consentement explicite, univoque, éclairé ou implicite : ce que chaque notion signifie au sens du RGPD, celle qu'exige votre bandeau cookies et pourquoi le consentement tacite ne suffit plus.](https://www.flowconsent.com/fr/blog/consentement-explicite-implicite-eclaire)

[Lire l'article ](https://www.flowconsent.com/fr/blog/consentement-explicite-implicite-eclaire)·

[Guides par plateforme · 24 octobre 2026](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd)

### [Bandeau cookies Framer : installer un consentement conforme au RGPD (2026)](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd)

[Quand un site Framer a besoin d'un bandeau cookies, ce que contrôle vraiment le composant intégré de Framer, et comment installer et tester un bandeau qui bloque les scripts avant consentement.](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd)

[Lire l'article ](https://www.flowconsent.com/fr/blog/bandeau-cookies-framer-rgpd)·

[Guides par plateforme · 5 mars 2026](https://www.flowconsent.com/fr/blog/gestion-cookies-consentement-webflow)

### [Bandeau cookies Webflow : installer une CMP conforme au RGPD, pas à pas](https://www.flowconsent.com/fr/blog/gestion-cookies-consentement-webflow)

[Webflow ne bloque pas les scripts que vous ajoutez. Voici comment installer un bandeau cookies qui les retient jusqu'au consentement, éviter le piège Google Analytics et vérifier le résultat.](https://www.flowconsent.com/fr/blog/gestion-cookies-consentement-webflow)

[Lire l'article](https://www.flowconsent.com/fr/blog/gestion-cookies-consentement-webflow)

## Mettez votre site en conformité aujourd'hui.

Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.

[Créer ma bannière](https://app.flowconsent.com/auth/sign-up?utm_source=flowconsent.com\&utm_medium=referral\&utm_campaign=general) · [Scanner mon site](https://www.flowconsent.com/fr/scan)