L’article 6 du RGPD impose qu’un traitement de données personnelles repose sur l’une des six bases légales qu’il énumère : le consentement, le contrat, une obligation légale, la sauvegarde des intérêts vitaux, une mission d’intérêt public ou l’intérêt légitime. Sans base légale identifiée et documentée, le traitement est illicite, quelle que soit la qualité des mesures de sécurité ou de l’information fournie.
L’essentiel
- Six bases légales, une seule suffit, choisie avant de commencer le traitement et inscrite dans le registre.
- Pour une entreprise privée, trois bases couvrent la quasi-totalité des cas : le contrat, l’obligation légale et l’intérêt légitime ; le consentement est réservé aux usages réellement facultatifs.
- Changer de base légale en cours de route n’est pas possible ; réutiliser des données pour une autre finalité demande une vérification de compatibilité.
- Les données sensibles relèvent d’un régime distinct, à l’article 9.
Ce que dit l’article 6
Le paragraphe 1 liste les six conditions de licéité ; les paragraphes 2 et 3 permettent aux États membres de préciser les traitements fondés sur une obligation légale ou une mission publique ; le paragraphe 4 encadre la réutilisation des données pour une finalité différente.
| Base légale | Ce que dit le texte | Exemple en PME |
|---|---|---|
| Consentement (6.1.a) | La personne a consenti au traitement pour une ou plusieurs finalités spécifiques. | Newsletter envoyée à des prospects, cookies publicitaires |
| Contrat (6.1.b) | Le traitement est nécessaire à l’exécution d’un contrat ou de mesures précontractuelles à la demande de la personne. | Devis, commande, livraison, gestion du compte client, contrat de travail |
| Obligation légale (6.1.c) | Le traitement est nécessaire au respect d’une obligation légale du responsable. | Facturation, paie, déclarations sociales, conservation comptable |
| Intérêts vitaux (6.1.d) | Le traitement est nécessaire à la sauvegarde des intérêts vitaux d’une personne. | Transmission de données à un service d’urgence |
| Mission d’intérêt public (6.1.e) | Le traitement est nécessaire à une mission d’intérêt public ou relevant de l’autorité publique. | Collectivités, organismes publics, délégataires de service public |
| Intérêt légitime (6.1.f) | Le traitement est nécessaire aux intérêts légitimes du responsable ou d’un tiers, sauf si les droits de la personne prévalent, en particulier pour un enfant. Exclu pour les autorités publiques dans leurs missions. | Prospection B2B, sécurité des locaux, lutte contre la fraude, statistiques internes |
Ce que cela change pour une PME
Choisir la bonne base, pas la plus simple
Le réflexe de tout fonder sur le consentement est une erreur fréquente : il peut être retiré à tout moment, ce qui est incompatible avec la gestion d’un contrat ou d’une obligation comptable. La règle pratique : si le traitement est indispensable pour fournir le service, c’est le contrat ; s’il est imposé par un texte, c’est l’obligation légale ; s’il sert l’entreprise sans être indispensable au client, c’est l’intérêt légitime ; s’il est facultatif pour la personne, c’est le consentement.
Documenter l’intérêt légitime
L’intérêt légitime n’est pas une case à cocher : il suppose de mettre en balance l’intérêt de l’entreprise et les attentes raisonnables des personnes, et de garder une trace de ce raisonnement. L’article sur l’intérêt légitime donne la méthode en trois questions.
Recueillir un consentement valable
Lorsque le consentement est la bonne base, il doit être libre, spécifique, éclairé et univoque, donc résulter d’une action positive et pouvoir être retiré aussi facilement qu’il a été donné. Les conditions sont détaillées à l’article 7, et le cas des mineurs à l’article 8.
Réutiliser des données pour une autre finalité
Utiliser les adresses de vos clients pour une étude de marché, ou les données d’un formulaire de contact pour une relance commerciale, est un traitement ultérieur. Le paragraphe 4 impose de vérifier sa compatibilité avec la finalité d’origine : lien entre les deux finalités, contexte de collecte, nature des données, conséquences pour les personnes, garanties mises en place. Le résultat de cette vérification se note dans le registre.
Inscrire la base légale dans le registre et l’information
Chaque ligne du registre des traitements porte sa base légale, et la politique de confidentialité la mentionne pour chaque finalité, comme l’exigent les articles 13 et 14.
Ce que la CNIL a sanctionné sur ce fondement
| Décision | Montant | Manquement retenu |
|---|---|---|
| Clearview AI, 17 octobre 2022 | 20 millions d’euros | Collecte de photographies et de données biométriques sur le web sans aucune base légale, ni consentement ni intérêt légitime recevable. |
| Criteo, 15 juin 2023 | 40 millions d’euros | Incapacité à prouver que les personnes avaient consenti au dépôt de son traceur par ses partenaires ; la CNIL a refusé que l’intérêt légitime vienne « remplacer » un consentement défaillant. |
| TagadaMedia, janvier 2025 | 75 000 euros (environ 1,6 % du chiffre d’affaires) | Courtier en données qui affirmait fonder la collecte de prospects sur le consentement, alors que ses formulaires ne permettaient pas de le recueillir valablement ; injonction de corriger les formulaires sous un mois. |
Le point commun de ces décisions : l’entreprise avait bien une base légale en tête, mais pas de preuve ni de cohérence entre ce qu’elle annonçait et ce qu’elle faisait. La dernière montre que la CNIL sanctionne aussi des structures de taille modeste, proportionnellement à leur chiffre d’affaires.
Les questions que je pose en audit
- Pour chaque ligne du registre, quelle base légale est indiquée, et qui l’a choisie ?
- Si c’est le consentement : où est la preuve, et que se passe-t-il si la personne le retire ?
- Si c’est l’obligation légale : quel texte, précisément ?
- Si c’est l’intérêt légitime : la mise en balance a-t-elle été écrite, et la personne peut-elle s’opposer simplement ?
- Les contacts de votre outil d’e-mailing ont-ils tous la même origine, ou certains ont-ils été importés d’un salon, d’un ancien fichier ou d’un partenaire ?
- Avez-vous réutilisé des données collectées pour une finalité dans un autre but (étude, relance, nouveau produit) ?
- La politique de confidentialité indique-t-elle la base légale de chaque finalité, et correspond-elle au registre ?
Prêt à l’emploi : la colonne « base légale » de votre registre
Les lignes ci-dessous couvrent les traitements qu’on retrouve dans presque toutes les PME ; elles se copient dans votre registre et s’adaptent à vos textes de référence.
| Traitement | Base légale | Justification à inscrire |
|---|---|---|
| Gestion des devis et commandes clients | Contrat (6.1.b) | Nécessaire à l’exécution du contrat ou aux mesures précontractuelles demandées par le client |
| Facturation et comptabilité | Obligation légale (6.1.c) | Code de commerce (conservation des pièces 10 ans), Code général des impôts |
| Paie et déclarations sociales | Obligation légale (6.1.c) | Code du travail, Code de la sécurité sociale |
| Recrutement | Mesures précontractuelles (6.1.b) | Évaluation des candidatures en vue d’un contrat de travail ; candidatures non retenues conservées 2 ans maximum |
| Prospection B2B par e-mail | Intérêt légitime (6.1.f) | Développement commercial ; message en rapport avec la fonction du destinataire ; opposition possible à chaque envoi ; mise en balance documentée le [date] |
| Newsletter à des personnes non clientes | Consentement (6.1.a) | Case non pré-cochée, preuve conservée dans [outil], désinscription à chaque envoi |
| Mesure d’audience du site | Consentement (6.1.a), ou exemption CNIL si l’outil est configuré en mode exempté | Bandeau de cookies avec refus aussi simple que l’acceptation |
| Vidéosurveillance des locaux | Intérêt légitime (6.1.f) | Sécurité des biens et des personnes ; information par affichage ; pas de surveillance des postes de travail |
Et en Suisse ?
La nLPD ne demande pas de base légale pour chaque traitement : le traitement est licite par principe tant qu’il respecte les principes généraux et ne porte pas d’atteinte illicite à la personnalité ; une justification (consentement, intérêt prépondérant, loi) n’est requise qu’en cas d’atteinte. C’est la différence la plus structurante entre les deux textes, détaillée dans notre comparatif RGPD / nLPD et dans le guide nLPD pour les entreprises. Une entreprise active des deux côtés documente au niveau du RGPD, plus exigeant.
Ce que je constate en mission. Dans les registres que je reprends, la colonne « base légale » est soit vide, soit remplie avec « consentement » sur toute la hauteur. Les deux posent le même problème le jour où un client demande l’effacement de ses données : l’entreprise ne sait pas ce qu’elle a le droit de conserver. Reprendre cette colonne ligne par ligne prend une heure et évite la plupart des mauvaises réponses aux demandes de droits.
Thomas Blanc, DPO externalisé depuis 2018
Questions fréquentes
Peut-on cumuler deux bases légales pour un même traitement ?
Un traitement a une base légale principale. Si plusieurs semblent possibles, c’est souvent le signe qu’il regroupe plusieurs finalités, qu’il vaut mieux séparer dans le registre, chacune avec sa base.
Quelle base légale pour la prospection commerciale ?
En B2B, l’intérêt légitime, à condition que le message soit en rapport avec la fonction du destinataire et qu’il puisse s’opposer simplement. En B2C, le consentement préalable, sauf pour des produits analogues proposés à un client existant.
L’article 6 suffit-il pour les données de santé ou les données sensibles ?
Non. Les données sensibles sont interdites de traitement par principe, et une des exceptions de l’article 9 doit s’ajouter à la base légale de l’article 6.
Vérifier vos bases légales
La revue des bases légales fait partie de tout audit RGPD ; notre guide mise en conformité en 7 étapes explique comment la mener soi-même.
Sources
- Règlement (UE) 2016/679, article 6
- CNIL – Les bases légales
- CB News – La CNIL sanctionne TagadaMedia (janvier 2025)
- Le Monde Informatique – Criteo condamné à 40 M€ par la CNIL (juin 2023)
- CNIL – Les sanctions prononcées (dont Clearview AI, octobre 2022)
