Aller au contenu principal
Quel logiciel RGPD

Combien de temps garder le choix et la preuve du consentement ?

Pour qui : Vous configurez votre plateforme de consentement ou reprenez un bandeau existant. Elle vous demande une durée, un prestataire annonce une conservation en mois, et vous ne savez pas si tout cela désigne la même chose.

Pour le choix du visiteur, partez de six mois : la CNIL y voit de manière générale une bonne pratique, à apprécier au cas par cas, valable aussi bien pour l’acceptation que pour le refus. Elle recommande aussi de redemander le consentement à intervalles appropriés.

Pour la preuve, nous n’avons trouvé aucune durée dans les textes lus. La règle est que vous devez pouvoir démontrer à tout moment un consentement valable. Fixez donc votre durée, écrivez-la, et vérifiez que vous pouvez récupérer ces éléments sans dépendre de votre contrat.

Notre avis

Réglez le choix du visiteur sur six mois, sauf raison écrite de faire autrement : c’est la bonne pratique indiquée par la CNIL, sans être une durée légale. Pour la preuve, aucun délai n’est fixé dans ce que nous avons lu : gardez, pour chaque version de bandeau, de quoi montrer ce que le visiteur a vu, tant qu’un consentement recueilli avec elle peut encore être invoqué.

Pourquoi

  • Dans sa recommandation consolidée, publiée le 16 janvier 2026, la CNIL considère que conserver le consentement et le refus pendant 6 mois constitue de manière générale une bonne pratique, et demande une appréciation au cas par cas.
  • Le point 29 de ses lignes directrices rappelle que l’article 7 du RGPD impose de pouvoir prouver le recueil valable à tout moment. Aucune durée n’y figure.
  • Les quatre modalités citées par la CNIL, à titre non exclusif, visent votre dispositif : code, capture d’écran, audit, configurations successives. Aucune d’elles n’est un journal par visiteur.
  • L’export se teste avant le besoin : une preuve dont l’accès dépend d’un contrat en cours se perd avec lui.

Ce qui change le choix

Le partage du consentement entre plusieurs responsables change le besoin : quand un tiers invoque un consentement recueilli par un autre, la CNIL estime qu’une clause seule ne suffit pas, et recommande de mettre la preuve à disposition. En cas de litige ou de plainte, notre conseil est de ne pas purger ce qui peut servir à vous défendre.

L’ordre à suivre

  1. Choix du visiteur : six mois par défaut, en justifiant tout écart.
  2. Preuve du dispositif : capture et configuration datées de chaque version, conservées au moins aussi longtemps que les consentements qu’elle couvre restent invoqués.
  3. Journal individuel : si vous devez montrer le choix d’une personne, par exemple pour un tiers, avec une durée écrite et sans identité en clair.

Trois durées qu’une même plateforme peut afficher

Une interface peut parler de « durée de consentement », de « journal » et de « durée du cookie ». Il s’agit de questions distinctes, et le repère des treize mois ne s’applique pas à la première.

Ce que chaque durée recouvre, selon ce que nous avons lu
DuréeRepère luStatutRéglage conseillé
Validité du choix : quand redemander au visiteur6 mois, pour le consentement et le refusBonne pratique selon la CNIL, au cas par cas. Durée légale : aucune.6 mois, sauf raison écrite.
Preuve du dispositif et des consentementsAucune durée dans les textes lusCapacité à démontrer à tout moment (article 7 du RGPD, point 29).Durée fixée par vous et écrite. Notre repère : au moins la durée de validité du choix, plus la marge de votre organisation pour répondre à une demande.
Traceur de mesure d’audience exempté13 mois sans prorogation, informations gardées 25 mois au plusRecommandation de la CNIL pour ces seuls traceurs.Ne l’appliquez pas aux traceurs soumis au consentement par analogie.

Une preuve porte d’abord sur ce que le visiteur a vu

La CNIL recommande notamment, sans exclusivité : le dépôt ou le condensat horodaté du code de recueil ; une capture d’écran horodatée pour chaque version du site ou de l’application ; des audits réguliers par des tiers mandatés ; la conservation horodatée, par l’éditeur de la plateforme, de ses configurations successives.

Notre conseil à une petite équipe : à chaque changement de bandeau, gardez une capture sur téléphone et sur ordinateur, avec la date et la configuration exportée. Exemple fictif : un bandeau change le 1er mars. Avec un choix valable six mois, des consentements recueillis la veille peuvent être invoqués jusqu’à fin août. La version de février doit donc rester disponible au moins jusque-là, plus votre marge.

Un journal individuel répond à un autre besoin : montrer le choix d’un visiteur donné. Si vous en tenez un, n’y mettez pas d’identité en clair. Pour un mécanisme multi-terminaux, la CNIL recommande de transmettre à la plateforme un identifiant technique plutôt que l’identifiant de compte. Le principe de limitation de la conservation de l’article 5 du RGPD s’applique si ces journaux contiennent des données personnelles.

Quatre questions à poser à votre éditeur

Les pages lues annoncent des réponses très différentes. consentmanager annonce un journal de chaque décision conservé 13 à 36 mois selon l’offre, Sirdata des preuves horodatées fournies sur demande, Cookiebot un export CSV de tous les consentements, et iubenda une preuve de consentement stockée. Nous n’avons pas trouvé de durée ni de modalité d’export de preuve sur la page Axeptio lue le 5 novembre 2026 : demandez-les.

  1. Que conservez-vous : choix individuel, version du bandeau, configuration ? Faites-le écrire, avec les champs exacts.
  2. Combien de temps, et selon quelle offre ? Comparez à la durée que vous avez fixée.
  3. Comment l’exporter, et sous quel délai ? Testez un export réel avant de signer ou de renouveler.
  4. Que devient la preuve à la résiliation ? Sans réponse claire, exportez et archivez vous-même avant la fin du contrat.

Le projet européen ne fixe pas ce délai aujourd’hui

Le mandat du Conseil du 21 octobre 2026 prévoit de ne pas redemander le consentement pendant au moins quatre mois après un refus. Ce projet n’est pas adopté au 5 novembre 2026 : ne réglez aucune durée sur ce fondement. Si le texte aboutit, cette page devra être revue.

Limites de cette page

Aucun texte lu ne fixe de durée de preuve : notre repère est un avis, et votre conseil peut en recommander une autre selon votre exposition à un litige. Nous n’avons essayé aucune plateforme, et les durées annoncées par les éditeurs ne sont pas vérifiées. La foire aux questions de la CNIL a été lue dans sa version du 29 avril 2026.

Prochaine action

Ouvrez la configuration de votre plateforme et notez la durée du choix réellement réglée. Écrivez votre durée de preuve, faites un export et archivez une capture datée du bandeau en ligne. Si vous partagez ce consentement avec des tiers, vérifiez qu’ils ont accès à la preuve et non à une simple clause.

Preuves et sources

Lu le 5 novembre 2026 : la recommandation consolidée de la CNIL publiée le 16 janvier 2026, sections 2.3 et 4 ; ses lignes directrices du 17 septembre 2020, points 29 et 30 ; sa foire aux questions, questions 21 et 35 ; l’article 5 du RGPD dans le texte publié par la CNIL ; le mandat du Conseil de l’Union du 21 octobre 2026 ; les pages tarifaires de consentmanager, Sirdata, Cookiebot et iubenda.

Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode