Bases Légales RGPD

conformite

Définition

Les bases légales du traitement constituent le fondement sur lequel repose toute collecte et utilisation de données à caractère personnel au titre du RGPD. L'article 6 §1 du RGPD énumère six bases légales exhaustives : chaque traitement doit impérativement reposer sur l'une d'entre elles pour être licite. L'absence de base légale valide constitue l'une des violations les plus graves du RGPD. La première base légale est le consentement (article 6 §1 a) : la personne a donné son accord de manière libre, spécifique, éclairée et univoque. C'est souvent la base légale la moins appropriée pour les traitements essentiels à l'activité, car elle peut être retirée à tout moment. La deuxième est l'exécution d'un contrat (article 6 §1 b) : le traitement est nécessaire à l'exécution d'un contrat auquel la personne est partie, ou à l'exécution de mesures précontractuelles. Cette base légale couvre typiquement le traitement des données clients pour livrer une commande ou gérer une prestation de services. La troisième est le respect d'une obligation légale (article 6 §1 c) : le traitement est nécessaire pour respecter une obligation légale à laquelle le responsable est soumis (conservation des données comptables, déclarations fiscales, obligations RH). La quatrième est la sauvegarde des intérêts vitaux (article 6 §1 d) : rarement applicable, elle couvre les urgences médicales où le traitement est nécessaire à la survie d'une personne. La cinquième est l'exécution d'une mission d'intérêt public (article 6 §1 e) : applicable aux autorités publiques et aux missions de service public. La sixième est l'intérêt légitime (article 6 §1 f) : le responsable ou un tiers a un intérêt légitime prévalant sur les droits de la personne (après test d'équilibre). Chaque traitement doit avoir une base légale documentée dans le registre des activités de traitement.

Les six bases légales en détail

L'article 6 §1 du RGPD liste six bases légales exclusives : (a) consentement — libre, spécifique, éclairé, univoque, révocable ; (b) contrat — nécessaire à l'exécution d'un contrat ou de mesures précontractuelles ; (c) obligation légale — imposée par le droit de l'UE ou national ; (d) intérêts vitaux — protection de la vie d'une personne ; (e) mission d'intérêt public — exercice d'une autorité publique ; (f) intérêts légitimes — après test d'équilibre en faveur du responsable ou d'un tiers.

Les bases légales ne sont pas hiérarchisées en dehors du contexte des données sensibles (article 9). Le responsable choisit la base légale la plus adaptée à son traitement. Choisir le consentement alors qu'une autre base légale suffirait est une erreur courante : elle lie le responsable aux conditions strictes du consentement (révocation, granularité) inutilement.

Sélection et documentation de la base légale

La sélection de la base légale doit être réalisée avant le début du traitement et documentée dans le registre. Elle doit tenir compte : de la relation entre l'organisation et la personne (client, employé, prospect), de la nature du traitement (collecte, partage, profilage), des attentes raisonnables des personnes, et des risques associés. Un traitement peut avoir des finalités multiples, chacune pouvant reposer sur une base légale différente.

Le changement de base légale en cours de traitement est controversé : changer après le début du traitement pour éviter les contraintes d'une base légale choisie initialement (ex. : remplacer le consentement par l'intérêt légitime après une vague de retraits) est généralement considéré comme contraire au principe de loyauté. La base légale initiale doit être correctement identifiée dès le départ.

Conséquences du choix de base légale

Le choix de la base légale détermine les droits disponibles pour les personnes concernées : seul le consentement donne accès au droit à la portabilité (avec le contrat), seul l'intérêt légitime et la mission d'intérêt public donnent accès au droit d'opposition spécifique (art. 21 §1). Le droit à l'effacement est plus facilement exercé lorsque le traitement est fondé sur le consentement.

La base légale doit être communiquée aux personnes dans les mentions d'information (art. 13 et 14). Cette transparence permet aux personnes de comprendre sur quel fondement leurs données sont traitées et quels droits elles peuvent exercer. Une modification de la base légale doit être communiquée aux personnes.

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis