RGPD Article 6 : Les Six Bases Juridiques du Traitement de Données Personnelles

Le RGPD Article 6 impose d'identifier au moins une base juridique avant tout traitement de données à caractère personnel. Il existe six options : consentement, contrat, obligation légale, intérêts vitaux, mission d'intérêt public et intérêts légitimes. Choisir la mauvaise base — ou omettre de documenter son choix — peut entraîner des amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, ainsi qu'une obligation d'effacement des données.

Ce guide explique chaque base, les conditions de son application et la manière de documenter votre choix.

La loi : RGPD Article 6(1)

« Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;

c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;

d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;

e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. »

Règle fondamentale : Vous devez identifier une base juridique par activité de traitement avant de commencer. Il n'est pas possible d'appliquer plusieurs bases à la même activité de traitement, de changer de base rétrospectivement ou de s'appuyer sur une base non documentée.

Les six bases juridiques

Base 1 : Consentement (Article 6(1)(a))

Le consentement est la base juridique dans laquelle la personne concernée a donné un accord clair et affirmatif au traitement de ses données à caractère personnel pour une finalité spécifique.

Quand elle s'applique :

• Courriers électroniques à des fins de marketing auprès de personnes avec lesquelles vous n'avez pas de relation commerciale préexistante
• Suivi analytique facultatif au-delà de ce qui est strictement nécessaire au service
• Communication de données à caractère personnel à des partenaires tiers à leurs propres fins commerciales
• Tout traitement auquel les personnes concernées ne s'attendent pas raisonnablement dans le cadre de votre service et qu'aucune autre base ne couvre

Exigences au titre de l'Article 7 :

Le consentement doit être :

• Libre — les personnes ne doivent pas être pénalisées pour leur refus. Vous ne pouvez pas conditionner l'accès à un service au consentement, sauf si le traitement est strictement nécessaire à ce service.
• Spécifique — un consentement distinct pour chaque finalité. Vous ne pouvez pas regrouper des finalités non liées en une seule case à cocher.
• Éclairé — la personne concernée doit comprendre à quoi elle consent, pour quelle finalité et avec qui ses données seront partagées.
• Univoque — un acte positif clair est requis. Les cases pré-cochées, le silence et l'inaction ne constituent pas un consentement valide.

Exemples de consentement valide :

• Case à cocher non présélectionnée : « Je souhaite recevoir la lettre d'information d'EuroComply » (cochée par l'utilisateur)
• Cases à cocher distinctes pour « courriers marketing » et « suivi analytique »
• Confirmation par double opt-in pour les abonnements à une liste de diffusion

Exemples de consentement invalide :

• Case pré-cochée : « Cochez ici pour vous désabonner des communications marketing » (le désabonnement actif n'est pas un consentement)
• « En créant un compte, vous consentez à ce que nous utilisions vos données à toutes fins »
• Consentement dissimulé dans des conditions d'utilisation que les personnes doivent accepter pour utiliser le service
• « Sans nouvelle de votre part avant vendredi, nous supposerons que vous consentez »

Retrait : Le consentement peut être retiré à tout moment, et le retrait doit être aussi facile que l'octroi du consentement. Si le consentement est retiré et qu'il constitue votre seule base juridique, vous devez cesser le traitement et — à moins qu'une autre base ne s'applique — supprimer les données.

Base 2 : Contrat (Article 6(1)(b))

Le traitement est licite lorsqu'il est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie, ou à l'exécution de mesures précontractuelles prises à sa demande.

Quand elle s'applique :

• Traitement du nom et de l'adresse de livraison d'un client pour exécuter une commande
• Traitement des données de paiement pour facturer un service auquel le client a souscrit
• Traitement du curriculum vitae d'un candidat pour évaluer sa candidature (à sa demande)
• Traitement des informations financières d'un emprunteur potentiel pour examiner sa demande de crédit

Le critère de nécessité : Le traitement doit être réellement nécessaire à l'exécution du contrat. « Utile » ou « pratique » ne suffit pas — si vous pouviez exécuter le contrat sans ce traitement, cette base ne s'applique pas.

Ce que la base contractuelle ne couvre pas :

• Le marketing auprès du client au-delà de ce qui est nécessaire à l'exécution du contrat
• Les analyses et le profilage au-delà de ce que le service requiert
• Le partage des données clients avec des tiers à leurs propres fins commerciales

Ces finalités secondaires requièrent leur propre base juridique (consentement ou intérêts légitimes).

Documentation : Conservez le contrat ou la confirmation de commande, et enregistrez quelles activités de traitement spécifiques sont nécessaires à quelle obligation contractuelle.

Base 3 : Obligation légale (Article 6(1)(c))

Le traitement est licite lorsqu'il est nécessaire au respect d'une obligation légale découlant du droit de l'Union ou du droit d'un État membre.

Quand elle s'applique :

• Conservation des factures et des pièces comptables pendant 10 ans en droit comptable français (article L. 123-22 du Code de commerce)
• Vérification de l'identité des clients (KYC/LCB-FT) au titre des exigences de la Directive anti-blanchiment
• Tenue des registres de paie en application du droit du travail
• Communication de données à des autorités judiciaires en exécution d'une décision de justice
• Conservation des registres d'accidents du travail en application de la réglementation sur la santé et la sécurité au travail

Ce qu'elle exige : L'obligation doit être imposée par la loi — non par une obligation contractuelle que vous avez acceptée, ni par une bonne pratique sectorielle, ni par une demande d'un client. La disposition légale spécifique doit être identifiable.

Documentation : Citez le règlement, la directive ou la loi spécifique qui crée l'obligation. Notez la durée de conservation qu'elle impose. Lorsque l'obligation légale prend fin ou que la durée de conservation expire, supprimez les données.

Important : Vous ne pouvez pas vous appuyer sur l'obligation légale comme base pour conserver des données « au cas où » vous seriez tenu de les produire ultérieurement. L'obligation doit être actuelle et identifiable.

Base 4 : Intérêts vitaux (Article 6(1)(d))

Le traitement est licite lorsqu'il est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique.

Quand elle s'applique :

• Traitement des antécédents médicaux d'un patient pour lui prodiguer des soins d'urgence lorsqu'il est inconscient et incapable de consentir
• Communication de la localisation d'une personne aux services de secours à la suite d'un appel de détresse
• Alerte des clients d'un risque sanitaire imminent lié à un rappel de produit
• Communication d'informations sur une personne disparue aux autorités chargées de l'application de la loi

Ce que « intérêts vitaux » signifie : Cette base est limitée aux situations impliquant la vie, la mort ou la sécurité physique. Elle ne s'applique pas aux intérêts financiers, au bien-être émotionnel (en l'absence d'un risque physique grave) ou à la continuité des activités.

La règle du consentement prioritaire : Lorsque la personne concernée est en mesure de donner son consentement, vous devriez rechercher le consentement plutôt que de vous appuyer sur les intérêts vitaux. Cette base est principalement réservée aux situations dans lesquelles l'obtention du consentement est physiquement impossible.

Documentation : Consignez l'intérêt vital en jeu, la raison pour laquelle le traitement était nécessaire et pourquoi une approche moins intrusive n'était pas possible.

Base 5 : Mission d'intérêt public (Article 6(1)(e))

Le traitement est licite lorsqu'il est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement.

Quand elle s'applique :

• Une administration fiscale traitant les données financières des contribuables pour administrer la législation fiscale
• Une autorité de santé publique traitant des données de patients pour surveiller les épidémies
• Une université traitant les dossiers des étudiants pour délivrer des diplômes
• Un régulateur traitant des données financières pour contrôler la conformité à la législation sur les services financiers

Ce qu'elle ne couvre pas :

Les entreprises privées ne bénéficient généralement pas de cette base, même si leurs activités servent l'intérêt public. Un opérateur de services essentiels, un établissement de santé privé ou une ONG menant des recherches doit utiliser une autre base — généralement les intérêts légitimes ou le consentement — à moins qu'une loi ne leur délègue expressément une autorité publique spécifique.

Documentation : Citez la fonction légale ou l'autorité publique spécifique qui justifie le traitement. Réalisez une analyse d'impact relative à la protection des données (AIPD) — cette base implique souvent un traitement à grande échelle ou des données sensibles.

Base 6 : Intérêts légitimes (Article 6(1)(f))

Le traitement est licite lorsqu'il est nécessaire aux fins des intérêts légitimes que vous poursuivez ou qu'un tiers poursuit, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée.

Il s'agit de la base la plus flexible, mais elle requiert un test de mise en balance documenté.

Quand elle s'applique :

• Prévention de la fraude : analyse des schémas de transactions pour détecter les activités frauduleuses
• Sécurité des réseaux et des systèmes d'information : surveillance des systèmes pour détecter les intrusions et les violations de données
• Marketing direct : démarchage des clients existants au sujet de produits ou services connexes
• Administration interne : traitement des données des salariés à des fins RH, de paie et de gestion du lieu de travail
• Défense juridique : conservation des données nécessaires pour se défendre contre d'éventuelles actions en justice
• Analyse : traitement des données d'utilisation pour améliorer vos produits et services

Le test en trois étapes (Analyse d'Intérêts Légitimes — AIL) :

Avant de vous appuyer sur les intérêts légitimes, vous devez réaliser et documenter une Analyse d'Intérêts Légitimes (AIL) :

1. Test de finalité — Votre intérêt est-il légitime ? (Les finalités commerciales, opérationnelles et sociales peuvent toutes être retenues)
2. Test de nécessité — Le traitement est-il nécessaire pour atteindre cet objectif ? Pourriez-vous y parvenir avec moins de données ou des méthodes moins intrusives ?
3. Test de mise en balance — Votre intérêt prévaut-il sur les droits au respect de la vie privée de la personne concernée ? Prenez en compte : la nature des données, les attentes raisonnables de la personne, le préjudice potentiel pour elle et les mesures d'atténuation susceptibles de réduire l'impact

Le test de mise en balance en pratique :

| Activité de traitement | Votre intérêt | Attentes de la personne concernée | Préjudice | Résultat | |------------------------|---------------|----------------------------------|-----------|----------| | Marketing par courrier électronique auprès de clients existants concernant des produits similaires | Générer des revenus | Raisonnable — ils ont effectué un achat auprès de vous | Faible — désabonnement aisé | Intérêts légitimes applicables | | Vente de données clients à des tiers non liés à des fins de marketing | Monétisation des données | Non raisonnable — partage inattendu | Élevé — perte de contrôle sur les données personnelles | Intérêts légitimes primés | | Détection des fraudes par analyse des schémas de transactions | Prévenir les pertes et protéger les clients | Raisonnable — attendu d'un prestataire de paiement | Nul ou bénéfique | Intérêts légitimes applicables | | Surveillance des communications des salariés pour contrôler la productivité | Efficacité opérationnelle | Attentes réduites dans un contexte professionnel | Modéré — effet dissuasif sur les communications | Mise en balance délicate ; une AIPD est probablement requise |

Documentation : Rédigez une AIL documentée abordant les trois étapes du test. Si une personne concernée s'oppose à votre traitement en vertu de l'Article 21, vous devez démontrer que vos intérêts légitimes prévalent sur son opposition — sans une AIL documentée, vous ne pouvez pas le faire.

Non applicable : Aux autorités publiques dans l'exercice de leurs missions (utilisez la base « mission d'intérêt public »), ou lorsque le traitement concerne des données d'enfants (protection renforcée applicable).

Données sensibles : la condition supplémentaire

Lorsque le traitement porte sur des catégories particulières de données à caractère personnel au sens de l'Article 9 — notamment les données de santé, les données génétiques, les données biométriques, l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses, l'appartenance syndicale, l'orientation sexuelle — une base juridique au titre de l'Article 6 est nécessaire mais insuffisante.

Vous devez également satisfaire à l'une des conditions de l'Article 9(2), parmi lesquelles :

• Consentement explicite (selon un niveau d'exigence supérieur au consentement standard)
• Obligations en matière de droit du travail et de protection sociale
• Intérêts vitaux lorsque la personne concernée est dans l'incapacité de consentir
• Traitement par des organismes à but non lucratif dans le cadre de leurs activités légitimes
• Données manifestement rendues publiques par la personne concernée
• Constatation, exercice ou défense de droits en justice
• Motifs d'intérêt public important prévus par le droit d'un État membre
• Diagnostic médical et soins de santé
• Intérêts de santé publique
• Archivage, recherche scientifique ou historique ou à des fins statistiques

Arbre de décision : choisir votre base juridique

Exécutez-vous un contrat auquel la personne concernée est partie,
ou prenez-vous des mesures précontractuelles à sa demande ?
  → OUI : Utilisez le Contrat (Article 6(1)(b))
  → NON : Continuez

Existe-t-il une obligation légale spécifique (droit de l'UE,
droit national, décision de justice) qui vous impose ce traitement ?
  → OUI : Utilisez l'Obligation légale (Article 6(1)(c))
  → NON : Continuez

La vie ou la sécurité physique d'une personne est-elle en danger
immédiat, et est-il impossible ou impraticable d'obtenir un consentement ?
  → OUI : Utilisez les Intérêts vitaux (Article 6(1)(d))
  → NON : Continuez

Êtes-vous une autorité publique exerçant des fonctions légales
ou une autorité publique conférée par la loi ?
  → OUI : Utilisez la Mission d'intérêt public (Article 6(1)(e))
  → NON : Continuez

Avez-vous un intérêt commercial, opérationnel ou social légitime
dans ce traitement ?
  → OUI : Réalisez une Analyse d'Intérêts Légitimes (AIL)
    → Votre intérêt prévaut-il sur les droits de la personne concernée ?
       → OUI : Utilisez les Intérêts légitimes (Article 6(1)(f))
       → NON : Envisagez de modifier le traitement pour en réduire l'impact
  → NON : Continuez

Pouvez-vous obtenir le consentement libre, spécifique, éclairé
et univoque de la personne concernée ?
  → OUI : Utilisez le Consentement (Article 6(1)(a))
  → NON : Ne traitez pas les données — vous n'avez aucune base juridique

Liste de contrôle pour votre registre des activités de traitement (RAT)

Pour chaque activité de traitement figurant dans votre registre des activités de traitement (RAT), documentez :

• Finalité : Quelle est la finalité spécifique de ce traitement ?
• Base juridique : Quelle base de l'Article 6 s'applique ? Citez la lettre précise (a) à (f).
• Nécessité : Pourquoi ces données spécifiques sont-elles nécessaires pour atteindre la finalité ?
• Catégories de données : Quelles catégories spécifiques de données à caractère personnel sont concernées ?
• Destinataires : Qui a accès à ces données ou les reçoit ?
• Durée de conservation : Combien de temps les données sont-elles conservées et pourquoi ?
• Mécanisme d'exercice des droits : Comment les personnes concernées peuvent-elles exercer leurs droits ?
• Enregistrements de consentement : En cas de consentement — comment et quand a-t-il été obtenu ? Conservez la preuve.
• Référence contractuelle : En cas de contrat — quel contrat ou quelle commande justifie chaque donnée ?
• Citation légale : En cas d'obligation légale — quelle loi ou réglementation spécifique ?
• Document AIL : En cas d'intérêts légitimes — joignez l'Analyse d'Intérêts Légitimes complétée en trois étapes.

Erreurs fréquentes

Appliquer plusieurs bases à la même activité de traitement. Choisissez-en une et documentez-la. Il n'est pas permis de changer de base rétrospectivement (par exemple, passer du consentement aux intérêts légitimes lorsqu'une personne retire son consentement).

Supposer que le contrat couvre les utilisations secondaires. Le contrat ne couvre que ce qui est réellement nécessaire à la fourniture du service convenu. Le marketing, les analyses croisées et le profilage requièrent des bases distinctes.

S'appuyer sur les intérêts légitimes sans réaliser d'AIL. En cas de contestation par une personne concernée (opposition en vertu de l'Article 21) ou par une autorité de contrôle, vous devez produire l'AIL documentée. Une affirmation non documentée d'intérêts légitimes ne résistera pas à un contrôle.

Utiliser le consentement lorsqu'une obligation légale s'applique déjà. Si la loi vous impose de conserver des données, vous n'avez pas besoin du consentement et ne devriez pas le solliciter. Présenter une obligation légale comme facultative fragilise votre posture de conformité.

Omettre de prendre en compte l'Article 9 lors du traitement de données sensibles. Une base juridique au titre de l'Article 6 seule est insuffisante pour les données de santé, les données génétiques, les données biométriques ou les autres catégories visées à l'Article 9.

Ignorer les oppositions des personnes concernées. Lorsqu'une personne s'oppose à un traitement fondé sur les intérêts légitimes (Article 21), vous devez cesser le traitement à moins de pouvoir démontrer que vos motifs légitimes prévalent sur son opposition. Documentez votre réponse à chaque opposition.

Points clés à retenir

1. Une base juridique par finalité de traitement. Identifiez-la avant de commencer et documentez-la.
2. Le consentement doit être libre, spécifique, éclairé et univoque. Les cases pré-cochées et les finalités regroupées sont invalides.
3. Le contrat ne couvre que le traitement réellement nécessaire à l'exécution du contrat — non le marketing ou les analyses.
4. L'obligation légale requiert une disposition légale identifiable qui impose le traitement.
5. Les intérêts vitaux sont d'application étroite : la vie, la mort ou la sécurité physique, généralement lorsque le consentement est impossible.
6. La mission d'intérêt public est limitée aux autorités publiques exerçant des fonctions légales.
7. Les intérêts légitimes sont flexibles mais requièrent une Analyse d'Intérêts Légitimes en trois étapes documentée.
8. Les données sensibles requièrent à la fois une base juridique (Article 6) et une condition au titre de l'Article 9(2).
9. Si vous ne pouvez pas identifier une base juridique, vous ne devez pas traiter les données. Un traitement illicite doit être interrompu et les données supprimées.

---

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique. Consultez votre Délégué à la Protection des Données, votre conseil juridique ou un spécialiste de la conformité RGPD pour obtenir des conseils adaptés à votre organisme.