Article 6 du RGPD : comprendre les bases légales
.png)
DPO Consulting Rejoint Grant Thornton
Sommaire
L'article 6 du RGPD énonce une règle simple, un traitement n'est licite que si au moins une des six conditions qu'il prévoit est remplie. Cette disposition est la porte d'entrée de toute la conformité, parce qu'elle conditionne la légalité du traitement avant même que les questions de sécurité ou de durée de conservation se posent.
Dans la pratique, deux erreurs reviennent sans cesse. La première consiste à demander un consentement pour un traitement qui repose en réalité sur un contrat ou une obligation légale. La seconde consiste à choisir une base après coup, pour justifier un traitement déjà en production. Les deux fragilisent le dossier en cas de contrôle.
L'article 6 du RGPD, intitulé licéité du traitement, précise que le traitement n'est licite que si, et dans la mesure où, au moins une des six conditions qu'il énumère est remplie. Il opérationnalise le principe de licéité posé à l'article 5.1.a, qui exige un traitement licite, loyal et transparent.
Trois précisions encadrent son application. Les États membres peuvent adopter des dispositions plus spécifiques pour les traitements fondés sur l'obligation légale et sur la mission d'intérêt public (article 6.2). Pour ces deux bases, le fondement doit être défini par le droit de l'Union ou le droit national (article 6.3). Enfin, l'article 6.4 encadre le changement de finalité, en listant les critères du test de compatibilité.
Une base légale ne se choisit pas pour un organisme, elle se choisit pour chaque finalité. Une même entreprise peut traiter les données d'un client sur la base du contrat pour la livraison, sur l'obligation légale pour la facturation, et sur l'intérêt légitime pour la prévention de la fraude. Notre guide pour comprendre le RGPD et ses fondamentaux replace cette logique dans l'ensemble du règlement.
Les six bases légales de l'article 6 du RGPD sont le consentement, le contrat, l'obligation légale, les intérêts vitaux, la mission d'intérêt public et l'intérêt légitime. Elles sont d'égale valeur juridique, aucune n'est supérieure aux autres. Le tableau ci-dessous les résume avec leur référence et les situations où chacune s'applique réellement.
Le consentement, prévu à l'article 6.1.a, suppose que la personne a consenti au traitement de ses données pour une ou plusieurs finalités spécifiques. Il convient aux traitements réellement facultatifs, newsletter, cookies non essentiels, enrichissement de profil. Sa faiblesse est structurelle, la personne peut le retirer à tout moment, ce qui impose de prévoir l'arrêt du traitement.
L'article 6.1.b couvre les traitements nécessaires à l'exécution d'un contrat auquel la personne est partie, ou à des mesures précontractuelles prises à sa demande. Le mot nécessaire est strict. Livrer une commande relève du contrat, envoyer une offre promotionnelle au même client n'en relève pas, même si le commerçant y voit un prolongement naturel de la relation.
L'article 6.1.c vise les traitements nécessaires au respect d'une obligation légale à laquelle le responsable de traitement est soumis. Conservation des pièces comptables, déclarations sociales, obligations de vigilance en matière de blanchiment. Pour retenir cette base, vous devez pouvoir citer le texte précis qui impose le traitement, pas une pratique sectorielle.
L'article 6.1.d concerne les traitements nécessaires à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique. Son champ est étroit, il vise des situations de vie ou de mort, urgence médicale sur une personne inconsciente ou crise humanitaire. Cette base ne sert jamais de solution de repli pour un traitement ordinaire.
L'article 6.1.e couvre les traitements nécessaires à une mission d'intérêt public ou relevant de l'exercice de l'autorité publique. Elle concerne les administrations, les collectivités et les organismes privés investis d'une telle mission. Comme pour l'obligation légale, le fondement doit être prévu par le droit de l'Union ou le droit national.
L'article 6.1.f autorise le traitement nécessaire aux intérêts légitimes poursuivis par le responsable de traitement ou par un tiers, sauf si prévalent les intérêts ou les libertés et droits fondamentaux de la personne, en particulier lorsqu'il s'agit d'un enfant. Deux points sont souvent manqués. Cette base impose une mise en balance documentée en amont, et elle ne s'applique pas aux autorités publiques dans l'exécution de leurs missions.
Le consentement RGPD obéit à des conditions précises, fixées à l'article 7 et complétées par la définition de l'article 4.11. Un consentement qui ne les remplit pas ne constitue pas une base légale valable, et le traitement devient illicite. Les cinq points ci-dessous couvrent les questions que les équipes se posent avant de choisir cette base.
Le consentement s'impose quand aucune autre base ne s'applique et que le traitement reste facultatif pour la personne. Il est également exigé par des textes spécifiques, notamment pour le dépôt de cookies non essentiels au titre de l'article 82 de la loi Informatique et Libertés, et pour les données sensibles de l'article 9, où le consentement doit être explicite. Notre article sur les cookies et autres traceurs détaille ce régime distinct.
Le consentement doit être libre, spécifique, éclairé et univoque, et se manifester par un acte positif clair. L'article 7 ajoute quatre exigences opérationnelles, le responsable doit pouvoir le démontrer, la demande doit être présentée séparément des autres questions en termes clairs, le retrait doit être aussi simple que le recueil, et la fourniture d'un service ne doit pas être subordonnée à un consentement non nécessaire à ce service.
Le consentement ordinaire peut résulter d'un acte positif clair, une case cochée activement par exemple. Le consentement explicite, exigé à l'article 9.2.a pour les données sensibles, suppose une déclaration expresse, généralement écrite et spécifique au type de données concerné. Confondre les deux expose un traitement de données de santé à une requalification immédiate.
La personne peut retirer son consentement à tout moment, et le retrait doit être aussi simple que le recueil. Le retrait ne remet pas en cause la licéité du traitement effectué avant. Concrètement, si le consentement a été recueilli en deux clics, il ne peut pas falloir un courrier recommandé pour le retirer. Notre guide sur le consentement aux données au RGPD détaille les mécanismes acceptés.
Non, et c'est une erreur fréquente. Si le traitement est nécessaire à l'exécution du contrat, la base est le contrat, pas le consentement. Demander un consentement dans ce cas crée une illusion de choix, puisque la personne ne peut pas refuser sans perdre le service, ce qui prive le consentement de son caractère libre au sens de l'article 7.4.
Choisir une base au titre de l'article 6 du RGPD suit une séquence en cinq étapes, et l'ordre compte. Partir de la base que l'on préfère, puis habiller la finalité pour qu'elle corresponde, produit exactement les dossiers que la CNIL requalifie en contrôle.
Une finalité se formule en une phrase précise, vérifiable et limitée. Gérer la relation client n'est pas une finalité, c'est une catégorie. Livrer les commandes, gérer les réclamations et envoyer des offres promotionnelles sont trois finalités distinctes, qui appellent trois analyses distinctes.
Chaque base, à l'exception du consentement, exige que le traitement soit nécessaire. Nécessaire ne signifie ni utile ni pratique, mais sans alternative moins intrusive permettant d'atteindre la même finalité. Si la finalité peut être atteinte avec moins de données, le traitement n'est pas nécessaire en l'état.
Déroulez les bases dans un ordre logique plutôt que par préférence. Une obligation légale impose-t-elle le traitement, est-il nécessaire au contrat, relève-t-il d'une mission d'intérêt public, peut-il reposer sur un intérêt légitime après mise en balance. Le consentement arrive en dernier, quand le traitement reste réellement facultatif.
La documentation est ce qui transforme le choix d'une base légale du RGPD en preuve opposable. Conservez la finalité, la base retenue, le raisonnement suivi, et pour l'intérêt légitime la mise en balance complète. L'article 5.2 impose au responsable de traitement de démontrer sa conformité, pas seulement de l'affirmer.
Les droits de la personne varient selon la base retenue, ce que beaucoup d'organisations découvrent au moment d'une demande d'exercice de droits. Notre guide sur les droits des personnes concernées dans le cadre du RGPD détaille chaque droit et ses conditions.
Le registre est l'endroit où la base légale devient opposable. Une remarque s'impose, l'article 30 n'exige pas expressément la mention de la base légale parmi les éléments du registre. Le modèle de registre publié par la CNIL la prévoit néanmoins, et l'obligation de démontrer la conformité la rend indispensable en pratique.
Elle se rattache à chaque fiche de traitement, à côté de la finalité qu'elle justifie. Un traitement couvrant plusieurs finalités comporte autant de lignes que de bases différentes. Notre guide sur l'article 30 du RGPD et le registre des activités de traitement décrit la structure attendue.
Associez la référence précise, le texte imposant le traitement pour une obligation légale, le contrat visé pour l'article 6.1.b, la mise en balance pour l'intérêt légitime, et le mécanisme de recueil et de preuve pour le consentement. Une base mentionnée sans justificatif ne vaut pas mieux qu'une case vide.
Une colonne par élément, une ligne par finalité, une date de dernière revue. Les registres illisibles ne le sont pas par manque de contenu, mais parce que plusieurs finalités sont écrasées dans une seule fiche. La CNIL constate ce défaut très régulièrement lors de ses contrôles.
Tout changement de finalité déclenche l'article 6.4. Si le traitement ultérieur ne repose ni sur le consentement ni sur une disposition légale, il faut mener le test de compatibilité en tenant compte du lien entre les finalités, du contexte de la collecte, de la nature des données, des conséquences pour les personnes et des garanties en place, comme le chiffrement ou la pseudonymisation.
La base retenue détermine les droits que la personne pourra exercer et les obligations qui pèsent sur l'organisme. C'est la raison pour laquelle le choix ne peut pas être traité comme une formalité de registre. Le tableau ci-dessous montre ce qui change concrètement d'une base à l'autre.
Deux conséquences méritent une attention particulière. Le droit d'opposition de l'article 21 ne s'applique qu'aux traitements fondés sur l'intérêt légitime ou sur la mission d'intérêt public. Le droit à la portabilité de l'article 20 ne concerne que les traitements fondés sur le consentement ou sur un contrat, et réalisés à l'aide de procédés automatisés.
Les exemples ci-dessous reprennent les traitements les plus fréquents en entreprise. Ils illustrent une règle unique, la base se déduit de la finalité et du caractère nécessaire du traitement, jamais de la commodité.
Les traitements à risque élevé appellent une étape supplémentaire. Une analyse d'impact relative à la protection des données est alors requise, et elle s'appuie directement sur la base légale retenue.
Quatre pratiques suffisent à sécuriser chaque base légale RGPD dans la durée. Elles ont toutes le même objet, rendre le raisonnement visible et daté, parce qu'un contrôle porte sur la preuve et non sur l'intention.
La base se détermine à la conception, pas après la mise en production. Intégrez la question au cadrage de tout nouveau projet, au même titre que la finalité et les durées de conservation. Un traitement lancé sans base identifiée est illicite dès le premier jour, même si personne ne s'en aperçoit.
Une finalité, une base. Dès qu'une fiche de registre cumule plusieurs finalités sous une base unique, la conformité devient indémontrable. C'est aussi ce découpage qui permet de répondre correctement à une demande d'opposition ou de portabilité.
Preuve du consentement avec horodatage et version du texte affiché, référence du texte légal, copie du contrat type, mise en balance signée pour l'intérêt légitime. Ces éléments doivent être retrouvables sans reconstitution, plusieurs années après. La politique de confidentialité doit par ailleurs indiquer la base légale de chaque finalité, comme l'exige l'article 13.
Prévoyez une revue annuelle, et une revue déclenchée par tout nouveau projet, changement d'outil ou nouvelle finalité. Les bases légales se périment silencieusement, quand un traitement évolue sans que la fiche de registre suive.
DPO Consulting accompagne des organisations européennes et internationales sur la conformité au RGPD depuis plus de dix ans, avec plus de 50 experts internes. Le travail sur les bases légales est l'un des plus structurants, parce qu'il conditionne la validité de tout le reste, du registre aux réponses aux demandes de droits.
Pour vérifier la solidité des bases légales de vos traitements, commencez par un audit de conformité RGPD, qui passe en revue vos finalités, vos bases et votre registre. Vous pouvez aussi échanger avec un expert DPO Consulting avant de lancer un nouveau traitement sensible.
Quand aucune autre base ne s'applique et que le traitement reste facultatif pour la personne, ainsi que dans les cas où un texte spécifique l'impose, cookies non essentiels et données sensibles notamment. Le consentement n'est pas la base par défaut, il est au contraire la plus exigeante à maintenir dans le temps.
Le consentement RGPD est une manifestation de volonté libre, spécifique, éclairée et univoque par laquelle la personne accepte, par un acte positif clair, le traitement de ses données pour une ou plusieurs finalités déterminées. Une case précochée, un silence ou une acceptation globale de conditions générales ne valent pas consentement.
Changer de base en cours de traitement est fortement déconseillé et rarement valable. Si la base initiale était inadaptée, le traitement était illicite, et basculer vers une autre base ne régularise pas le passé. Un changement de finalité relève pour sa part du test de compatibilité de l'article 6.4.
Lorsque l'intérêt poursuivi est réel et licite, que le traitement est nécessaire pour l'atteindre, et que la mise en balance montre que les intérêts et libertés de la personne ne prévalent pas. Cette base est fermée aux autorités publiques agissant dans l'exécution de leurs missions, en application de l'article 6.1 dernier alinéa.
L'article 6.1.b, à condition que le traitement soit objectivement nécessaire à l'exécution du contrat ou à des mesures précontractuelles demandées par la personne. Les traitements seulement utiles au responsable, comme la personnalisation publicitaire, relèvent d'une autre base.
Le traitement ne peut pas être mis en œuvre en l'état. Deux voies existent, redéfinir la finalité pour qu'elle corresponde à une base valable, ou réduire le traitement jusqu'à ce qu'il devienne nécessaire au regard d'une base identifiée. Chercher une base après coup n'est pas une option défendable en contrôle.
.png)
.svg)
.png)
.png)
