L’article 6 du RGPD fixe les 6 bases légales qui autorisent un traitement de données personnelles : le consentement, l’exécution d’un contrat, l’obligation légale, la sauvegarde des intérêts vitaux, la mission d’intérêt public et l’intérêt légitime. Sans l’une de ces 6 bases, un traitement est illégal, même avec une mention d’information parfaite. La question n’est donc jamais « ai-je prévenu les gens ? » mais « sur quelle base légale je m’appuie ? ».
⏱ L’essentiel en 30 secondes
- 6 bases légales possibles, une seule suffit, mais il en faut au moins une.
- Le consentement n’est pas la base par défaut : la paie de vos salariés repose sur l’obligation légale, pas sur leur accord.
- L’intérêt légitime n’est pas un joker : il exige une mise en balance documentée avec les droits des personnes.
- Utilisez le sélecteur ci-dessous pour identifier la base légale adaptée à votre traitement en 30 secondes.
Les 6 bases légales de l’article 6 du RGPD, en clair
Chacune des 6 bases légales correspond à une situation type. Voici les cartes de référence, avec un exemple concret pour chacune.
1. Le consentement
La personne a donné son accord libre, spécifique, éclairé et univoque pour un traitement précis. Elle doit pouvoir le retirer aussi facilement qu’elle l’a donné.
Exemple : inscription à une newsletter marketing.
2. L’exécution d’un contrat
Le traitement est nécessaire à l’exécution d’un contrat auquel la personne est partie, ou à des mesures précontractuelles prises à sa demande.
Exemple : livrer une commande passée en ligne.
3. L’obligation légale
Le traitement est imposé par un texte de loi ou un règlement auquel le responsable de traitement est soumis.
Exemple : conserver les bulletins de paie, déclarer les salaires à l’URSSAF.
4. La sauvegarde des intérêts vitaux
Le traitement est nécessaire pour protéger la vie de la personne concernée ou d’une autre personne physique.
Exemple : transmettre le dossier médical d’un patient inconscient aux urgences.
5. La mission d’intérêt public
Le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique.
Exemple : une commune qui gère l’état civil ou l’inscription scolaire.
6. L’intérêt légitime
Le traitement sert un intérêt légitime du responsable de traitement ou d’un tiers, à condition qu’il ne porte pas une atteinte disproportionnée aux droits des personnes.
Exemple : la prospection auprès de clients existants pour des produits similaires, la vidéosurveillance proportionnée d’un local commercial.
Texte officiel — Article 6.1 du RGPD : « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : a) la personne concernée a consenti… ; b) le traitement est nécessaire à l’exécution d’un contrat… ; c) le traitement est nécessaire au respect d’une obligation légale… ; d) le traitement est nécessaire à la sauvegarde des intérêts vitaux… ; e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public… ; f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée. »
Quelle base légale pour mon traitement ? Le sélecteur interactif
1. Le traitement est-il nécessaire pour exécuter un contrat avec la personne (vente, livraison, emploi) ?
2. Une loi ou un règlement vous oblige-t-il explicitement à faire ce traitement ?
3. Le traitement sert-il un intérêt public ou est-il mené par un organisme public dans ses missions ?
4. Pouvez-vous justifier un intérêt légitime clair (sécurité, prospection à clients existants, lutte anti-fraude) sans porter une atteinte disproportionnée aux personnes ?
Laisser un commentaire