Modèles et enregistrements · ISO 27701 · Chapitre A.1
Modèle de registre des consentements ISO 27701
La preuve que chaque personne a dit oui, à quoi elle a dit oui et quand, et que son retrait a été respecté. Sans registre, le consentement ne peut pas être démontré.
En une phrase
Le registre des consentements conserve, pour chaque personne concernée, le moment, le canal, la finalité acceptée, la version du texte d’information et l’éventuel retrait, parce que l’article 7.1 du RGPD oblige le responsable du traitement à pouvoir démontrer le consentement lorsqu’il fonde le traitement, et que l’ISO/IEC 27701 range son recueil et son enregistrement parmi les mesures du tableau A.1.
- Où la norme l’exige
- ISO 27701 · Chapitre A.1 L’édition de 2025 est citée : les numéros 4 à 10 sont des chapitres ; A.1, A.2 et A.3 sont les tableaux de l’Annexe A regroupant les mesures du responsable du traitement, du sous-traitant et celles communes aux deux.
- Type d’information
- Enregistrement obligatoire Enregistrement à conserver lorsque le traitement repose sur le consentement (art. 7.1 du RGPD ; tableau A.1)
- Qui le renseigne
- Le système qui recueille le consentement Le marketing ou le service qui le demande répond de l’exactitude du texte
- Quand
- Au moment où il est donné ou retiré Automatiquement, et non par une saisie ultérieure
- Durée de conservation
- Pendant le traitement et le délai nécessaire pour le prouver Fixée par l’organisme en fonction des délais de prescription d’éventuelles réclamations
Ce que demande la norme
Ce qu’exige ISO 27701 et ce qui est laissé à votre appréciation
La norme demande au responsable du traitement de déterminer quand il a besoin du consentement, de le recueillir et de pouvoir le démontrer. Elle ne vise que les traitements dont la base légale est le consentement : beaucoup reposent sur le contrat, une obligation légale ou l’intérêt légitime, et demander un consentement inutile sème la confusion.
Le RGPD exige que le consentement soit libre, spécifique, éclairé et univoque, qu’il soit aussi simple de le retirer que de le donner (art. 7.3) et que, s’il est demandé dans un document portant aussi sur d’autres questions, il s’en distingue clairement (art. 7.2).
Le registre doit permettre de savoir quel texte la personne a vu : si la clause change, il faut conserver sa version antérieure.
Structure
Les champs que doit comporter le modèle
- Identification de la personne concernée
- Finalité ou finalités acceptées, séparément
- Date, heure et canal
- Version du texte d’information affiché
- Forme de la manifestation : case à cocher, signature, acte positif
- Retrait : date et canal
- Traitements et systèmes concernés par le retrait
Exemple
Exemple : lettre d’information commerciale d’une boutique en ligne fictive
Entreprise, personnes et chiffres fictifs : l’exemple montre seulement à quoi ressemble un enregistrement correctement renseigné.
| Champ | Contenu |
|---|---|
| Personne concernée | Cliente n° 48213 · Boutique Bruyère (fictive) |
| Finalité | Envoi d’une lettre d’information avec des offres (case distincte de l’achat) |
| Date et canal | 14 février 2026, 19:42 · Formulaire d’inscription sur le site |
| Texte | Mention d’information v2.1 |
| Retrait | 3 juillet 2026 · Lien de désinscription de la lettre · Désinscription appliquée le jour même sur la plateforme d’envoi |
À l’audit
Les erreurs que relèvent souvent les auditeurs
- Cases pré-cochées ou consentement groupé avec l’acceptation des conditions générales.
- La version de la clause acceptée par chaque personne n’est pas conservée.
- Le retrait est noté, mais le prestataire d’envoi continue d’adresser des e-mails.
- Un consentement est demandé pour des traitements qui disposent déjà d’une autre base légale.
Dans Kimobox
Comment tenir cet enregistrement dans Kimobox
- 1Les formulaires enregistrent le consentement avec sa date, son canal et la version du texte, gérée comme document maîtrisé.
- 2Le retrait déclenche un circuit avec les tâches à réaliser pour chaque système concerné et leur date de clôture.
- 3Le journal d’audit garde trace de qui a modifié quoi et quand.
Questions fréquentes
Ce que l’on nous demande avant de commencer
Faut-il un consentement pour tout ?
Non. C’est l’une des six bases légales de l’article 6 du RGPD. Si le traitement repose sur le contrat ou sur la loi, il n’y a pas de consentement à enregistrer.
Un journal de l’outil d’e-mailing suffit-il ?
S’il conserve qui, quand, pour quoi et avec quel texte, ainsi que le retrait, il peut suffire. Ce qui ne vaut rien, c’est une liste d’adresses sans traçabilité.
Tenez les enregistrements ISO 27701 sans modèles éparpillés
Nous vous montrons le module en fonctionnement avec des données proches des vôtres.
Poursuivez la visite
Pages associées
Mesures pour responsables du traitement et sous-traitants
L’Annexe A réunit les mesures de référence du PIMS pour les responsables du traitement et les sous-traitants…
Modèle de registre des activités de traitement ISO 27701
Ce que doit contenir le registre des activités de traitement d’un PIMS ISO 27701 et de l’art. 30 du RGPD…
Modèle d’inventaire des données personnelles ISO 27701
Bâtir l’inventaire des données personnelles d’un PIMS ISO 27701 : où sont les données, dans quels systèmes…
Modèle d’appréciation des risques pour la vie privée ISO 27701
Comment documenter l’appréciation des risques pour la vie privée de l’ISO 27701 : critères, risque pour les…