Base légale RGPD : choisir et documenter le fondement

Une colonne « consentement ou intérêt légitime » ne permet pas de savoir si le traitement est licite ni quels droits appliquer. Le choix doit intervenir avant l’utilisation des données, à partir de la finalité réelle et des conditions du fondement retenu.

Les six bases légales en une grille

L’Art. 6(1) du RGPD énumère six conditions de licéité. Le texte ne crée pas un ordre obligatoire dans lequel essayer ces fondements. Le consentement n’est ni une autorisation universelle ni le dernier recours qui rendrait tout projet possible. Source : RGPD, Art. 6(1).

Pour le commentaire juridique des paragraphes, consultez l’article 6 du RGPD. Ici, l’objectif est de produire une décision exploitable par les équipes.

Partir de la finalité, pas du fichier

Un fichier client peut alimenter l’exécution des commandes, la comptabilité et une communication commerciale. Ces objectifs ne justifient pas nécessairement les mêmes données ni le même fondement. La CNIL demande de déterminer une base pour chaque finalité, sans empiler plusieurs bases de secours pour une même finalité.

Exemple hypothétique : une plateforme traite l’adresse d’un client particulier pour livrer un bien. L’exécution du contrat peut justifier cet usage. Conserver ensuite une pièce comptable répond à un besoin distinct à analyser au regard des textes applicables ; diffuser une publicité personnalisée ne devient pas nécessaire à la livraison.

Décrivez donc l’opération en une phrase : données utilisées, résultat recherché, personnes concernées et destinataires. Si la phrase rassemble plusieurs objectifs indépendants, séparez-les avant de choisir.

Vérifier les conditions au lieu de cocher une case

Pour le contrat, vérifiez qui est partie. Le contrat signé avec une société ne suffit pas à fonder sur l’Art. 6(1)(b) tous les traitements des données de ses salariés interlocuteurs. Une obligation contractuelle rédigée par le fournisseur ne rend pas non plus toute collecte objectivement nécessaire.

Pour l’obligation légale, conservez la référence du droit de l’Union ou d’un État membre qui s’impose au responsable, ainsi que son champ : données, personnes, opération et durée lorsque le texte la fixe. Une politique interne ou une exigence commerciale ne devient pas une obligation légale au sens de l’Art. 6(1)(c). L’Art. 6(3) précise le cadre juridique des fondements c) et e).

Pour la mission d’intérêt public, la forme publique ou privée de l’organisme ne suffit pas à conclure. Recherchez la mission fondée en droit et la nécessité de l’opération. Pour l’intérêt légitime, utilisez une analyse de l’intérêt, de la nécessité et de la mise en balance.

Pour le consentement, vérifiez le choix réel, sa preuve et son retrait selon l’Art. 7(1) à (4). Un déséquilibre, notamment au travail, appelle une vigilance particulière. Le guide du consentement RGPD détaille ces conditions.

Ajouter les règles particulières applicables

Une base de l’Art. 6 ne suffit pas à lever l’interdiction de principe concernant les catégories particulières de données : une condition de l’Art. 9(2) doit aussi être satisfaite. Les données pénales relèvent de l’Art. 10. Les exigences relatives aux communications électroniques ou aux transferts internationaux peuvent également s’ajouter.

Ne confondez pas les intérêts vitaux de l’Art. 6(1)(d) avec la condition particulière de l’Art. 9(2)(c) : c’est cette dernière qui vise notamment l’incapacité physique ou juridique de consentir pour les données sensibles. Chaque texte doit être appliqué à son niveau. Source : RGPD, Art. 6, 9 et 10.

Cas pratique : la même entreprise sert des particuliers et des sociétés

L’exemple est hypothétique. Bois Clair répare du mobilier. Son nouveau formulaire doit accueillir les demandes de particuliers et celles de salariés agissant pour leur entreprise. La responsable administrative propose une seule ligne dans le registre : « clients — contrat ». Le juriste constate que cette formule masque trois situations différentes.

Nadia demande un devis pour sa propre table : ses coordonnées et les informations nécessaires au devis peuvent relever des mesures précontractuelles prises à sa demande, Art. 6(1)(b). Lina contacte le même atelier pour les meubles de la société qui l’emploie : elle n’est pas personnellement partie au contrat de réparation. Enfin, conserver les factures justificatives répond à une obligation documentaire distincte du traitement quotidien de ces demandes.

Cette différence ne signifie pas que l’atelier devrait obtenir artificiellement le consentement de Lina avant chaque échange professionnel. Il peut examiner son intérêt légitime à gérer la relation avec l’entreprise cliente. Il lui faut alors une analyse adaptée, des données limitées et une information correspondant à ce fondement. La règle sur les parties au contrat est rappelée par la CNIL dans sa fiche sur la base contractuelle.

La décision remplie pour les interlocuteurs professionnels

L’analyse ne se réduit pas à constater que la relation est professionnelle. Si l’atelier veut contacter Lina le soir sur son numéro personnel pour son propre confort, la nécessité et les attentes ne sont plus les mêmes. Il doit rechercher une organisation moins intrusive. Le tableau n’autorise donc ni la collecte de toute coordonnée disponible ni une réutilisation indéfinie.

Deux autres décisions, pour deux usages distincts

Pour Nadia, la fiche retient l’Art. 6(1)(b) pour préparer le devis qu’elle a demandé, puis exécuter la réparation convenue. Les éléments autorisés sont ceux nécessaires à ces opérations. Si des photographies du meuble sont demandées, l’atelier explique le cadrage utile et évite d’exiger une vue générale de son logement. Ajouter un champ à un formulaire ne rend pas sa collecte nécessaire.

Pour les documents comptables relevant de ce régime, la fiche identifie l’Art. 6(1)(c) et l’Art. L.123-22 du Code de commerce, qui prévoit dix ans pour les documents comptables et pièces justificatives. Elle désigne l’archive, les pièces concernées et les habilitations comptables. Elle ne prolonge pas de dix ans l’usage courant du numéro de Lina ou de tous les messages de Nadia.

Les trois décisions sont reliées au même processus commercial, mais restent séparées dans la documentation. Les intérêts vitaux et la mission d’intérêt public ne correspondent pas aux faits de ce cas. Le consentement n’est pas ajouté comme solution de secours. Si l’atelier souhaite plus tard un usage réellement facultatif, il devra en définir les conditions avant de l’activer.

L’échec à repérer avant la mise en service

Lors de la vérification du formulaire, la responsable constate que la fiche interne a été corrigée, mais que la notice indique encore « contrat » pour tous les contacts. Le modèle de réponse aux demandes de droits affirme également qu’aucun client ne peut s’opposer au traitement. Les règles appliquées par le support contredisent donc la décision juridique concernant Lina.

La mise en service du nouveau parcours est reportée. La responsable reprend la notice par finalité et corrige les consignes du support. Pour un interlocuteur professionnel, une opposition fondée sur sa situation particulière est instruite conformément à l’Art. 21(1), et non refusée automatiquement. Pour une demande de portabilité, l’équipe vérifie le fondement et les autres conditions de l’Art. 20(1), sans promettre que tout dossier sera portable ni écarter les autres droits. Source : Art. 20(1) et 21(1).

La responsable rejoue ensuite trois demandes fictives : devis d’un particulier, échange avec une salariée et recherche d’une ancienne facture. Elle vérifie à chaque fois la notice affichée, la fiche retenue et le traitement prévu pour les droits. Le parcours n’est accepté qu’après concordance de ces éléments. Si l’outil impose toujours un fondement unique, elle conserve provisoirement les parcours existants séparés et fait corriger cette contrainte ; une colonne correcte dans le registre ne suffit pas.

Vous pouvez relier cette fiche au registre des activités de traitement. La base légale n’est pas une mention expressément énumérée par l’Art. 30(1), mais sa documentation sert la démonstration de licéité et la cohérence avec l’information imposée par les Art. 13(1)(c) et 14(1)(c). Sources : Art. 30(1) et Art. 13 et 14.

Ce qu’il faut retenir

• Choisissez un fondement adapté avant le démarrage et pour chaque finalité.
• Démontrez ses conditions avec les faits du traitement.
• Vérifiez les règles supplémentaires : données sensibles, secteur, transferts ou canal de communication.
• Faites correspondre la décision, la notice et les procédures de droits.

FAQ

Peut-on changer de base après le retrait du consentement ?

On ne peut pas contourner le retrait en annonçant après coup un intérêt légitime de secours pour le même usage. Une évolution réelle du contexte exige une nouvelle analyse et une information appropriée ; elle ne régularise pas rétroactivement un traitement illicite.

Le consentement est-il obligatoire dès qu’une donnée est personnelle ?

Non. Un autre fondement de l’Art. 6(1) peut s’appliquer. Demander un accord artificiel pour une obligation légale brouille au contraire l’information sur ce que la personne peut réellement refuser.

La base choisie détermine-t-elle tous les droits ?

Elle influence notamment l’opposition et la portabilité, mais chaque droit a ses propres conditions. Par exemple, la portabilité suppose aussi un traitement automatisé et des données relevant du périmètre de l’Art. 20(1).

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.