Les 6 bases légales du RGPD, expliquées simplement

Une règle d'or du RGPD : vous ne pouvez pas traiter des données personnelles « juste parce que ». Chaque traitement doit reposer sur l'une des six bases légales prévues par le règlement. Voici lesquelles, et comment choisir.

Pourquoi une base légale ?

La base légale, c'est la justification qui rend un traitement licite. L'article 6 du RGPD en prévoit six, et une seule suffit, mais il en faut au moins une. Sans base légale, le traitement est illégal, même si vous avez sécurisé les données. C'est un réflexe à avoir dès qu'on met en place un nouveau traitement.

Les 6 bases légales

• Le consentement : la personne a dit oui, clairement et librement (une case cochée volontairement, par exemple). Il doit pouvoir être retiré aussi facilement qu'il a été donné.
• Le contrat : le traitement est nécessaire pour exécuter un contrat avec la personne (livrer une commande, gérer un abonnement).
• L'obligation légale : une loi vous impose le traitement (conserver des factures, déclarer des salaires).
• L'intérêt vital : le traitement protège la vie de quelqu'un. Rare, réservé aux situations d'urgence.
• La mission d'intérêt public : surtout pour les organismes publics ou chargés d'une mission publique.
• L'intérêt légitime : vous avez un intérêt sérieux à traiter les données (sécurité, prospection sur clients existants), à condition qu'il ne porte pas atteinte aux droits des personnes.

Comment choisir la bonne

La bonne base dépend du contexte, pas de votre préférence. Quelques repères : s'il y a un contrat, appuyez-vous dessus plutôt que sur le consentement. Si une loi vous oblige, c'est l'obligation légale. Le consentement est adapté quand la personne doit avoir un vrai choix, comme pour une newsletter. L'intérêt légitime est souple mais exige une mise en balance : votre intérêt ne doit pas écraser les droits de la personne.

L'erreur classique : le consentement à tout-va

Beaucoup d'entreprises demandent un consentement partout, croyant bien faire. C'est souvent une erreur. Le consentement est fragile (retirable à tout moment) et parfois inadapté : demander le « consentement » à un salarié pour gérer sa paie n'a pas de sens, c'est une obligation légale et contractuelle. Choisir la bonne base dès le départ vous évite des situations bancales.

À noter dans le registre

La base légale de chaque traitement doit figurer dans votre registre des traitements. C'est une information que la CNIL vérifie et qu'un client peut vous demander.

En résumé

Tout traitement de données doit reposer sur l'une des six bases légales du RGPD : consentement, contrat, obligation légale, intérêt vital, mission d'intérêt public, intérêt légitime. Une seule suffit, mais il en faut une. Choisissez selon le contexte, et évitez de tout justifier par le consentement.

FAQ

Faut-il toujours le consentement pour traiter des données ? Non. Le consentement n'est qu'une des six bases. Souvent, le contrat, l'obligation légale ou l'intérêt légitime sont plus adaptés.

Peut-on changer de base légale en cours de route ? C'est déconseillé et encadré : la base doit être définie dès le départ et communiquée aux personnes. En changer suppose de bonnes raisons et une nouvelle information.

L'intérêt légitime, c'est un joker ? Non. Il exige une mise en balance documentée entre votre intérêt et les droits des personnes. Mal utilisé, il est retoqué par la CNIL.