Choisir une base légale commence par une question concrète : pourquoi cette opération sur ces données est-elle nécessaire ? Un fichier clients peut servir à livrer des commandes, conserver des factures, prévenir des fraudes et envoyer des offres. Donner un fondement unique à tout le fichier masque les différences entre ces usages. À l’inverse, cocher plusieurs fondements sans expliquer leur application ne rend pas le traitement plus solide.
Ce guide propose une méthode pour passer d’un besoin métier à une décision justifiée, puis à des règles effectivement appliquées dans les outils. Les six fondements de l’article 6 ne constituent pas une hiérarchie générale. Leur pertinence dépend de la finalité, de la relation avec la personne, des textes applicables et des conditions réelles de fonctionnement. La décision doit intervenir avant le traitement, avec une information cohérente et des preuves vérifiables.
Délimiter l’opération avant de choisir
Écrivez d’abord une phrase qui décrit le résultat recherché. « Gérer les clients » reste trop large pour arbitrer. « Utiliser l’adresse communiquée par l’acheteur pour livrer sa commande » permet d’examiner une nécessité contractuelle. « Réutiliser l’historique des achats pour sélectionner des publicités » révèle une autre finalité, même lorsque les deux opérations utilisent la même application.
Identifiez ensuite les personnes concernées. Un contrat signé avec une société ne fait pas automatiquement de chacun de ses salariés une partie à ce contrat. La base contractuelle ne couvre donc pas mécaniquement toutes les coordonnées professionnelles reçues dans cette relation. Cette distinction évite de justifier les données d’un représentant, d’un bénéficiaire ou d’un proche par un contrat auquel cette personne n’a pas souscrit.
Enfin, séparez ce qui est indispensable de ce qui améliore simplement le rendement commercial. Pour chaque donnée, demandez ce qui deviendrait impossible si elle était absente. Cette vérification aide simultanément à choisir le fondement et à respecter la minimisation. Une base légale valable ne permet pas de collecter tout ce qui pourrait devenir utile dans le futur.
Examiner les six fondements sans raccourci
L’article 6 du RGPD exige qu’au moins une des conditions prévues soit remplie. Il faut identifier précisément le fondement applicable à l’opération et satisfaire ses conditions. Cette formulation ne justifie pas une notice accumulant des alternatives indéterminées, parmi lesquelles l’organisme choisirait après une contestation.
Le consentement : un choix réel et démontrable
Le consentement suppose une manifestation libre, spécifique, éclairée et univoque. Une signature au bas de conditions générales ne démontre pas nécessairement l’accord à une utilisation publicitaire distincte. L’organisme doit pouvoir établir ce qui a été proposé, l’information accessible et l’action positive accomplie. Un consentement valable aujourd’hui doit aussi pouvoir être retiré aussi facilement qu’il a été donné.
Demandez-vous si le refus est réellement possible. Présenter comme facultative une collecte indispensable au service crée de la confusion. À l’inverse, conditionner le service à des usages non nécessaires peut compromettre la liberté du consentement. Les relations de dépendance, notamment professionnelles, appellent une vigilance particulière. Si aucun fondement ne convient, obtenir une case cochée ne constitue pas automatiquement une solution licite : il peut être nécessaire de réduire ou d’abandonner l’opération.
Le contrat : vérifier la nécessité objective
L’article 6, paragraphe 1, point b), vise l’exécution du contrat auquel la personne est partie et les mesures précontractuelles prises à sa demande. Répondre à sa demande de devis peut entrer dans ce cadre. Une campagne destinée à provoquer une demande ne devient pas précontractuelle du seul fait qu’elle pourrait conduire à une vente.
La fiche de la CNIL sur le contrat rappelle que l’inscription d’un traitement dans les clauses ne suffit pas à le rendre nécessaire. Il faut apprécier l’objet du service et les attentes des parties. Distinguez ainsi la livraison demandée, l’obligation fiscale de conserver une pièce et une étude commerciale. Le même dossier peut contenir les données de ces trois opérations, sans qu’elles héritent toutes du fondement contractuel.
L’obligation légale : retrouver le texte applicable
Ce fondement suppose une obligation issue du droit de l’Union ou d’un État membre et pesant sur le responsable du traitement. Une règle interne, une demande commerciale du fournisseur ou une recommandation générale ne suffit pas. Identifiez la disposition, l’organisme qu’elle oblige, les données nécessaires et les conditions de conservation. Le texte doit réellement concerner l’activité exercée.
Lorsque plusieurs obligations entourent un service, analysez chaque opération. Dans les paiements, le vocabulaire du consentement utilisé par la réglementation sectorielle n’a pas nécessairement le même sens que celui de l’article 6. Le guide sur la DSP2 et les données bancaires aide à distinguer ces questions. Les lignes directrices du CEPD sur la DSP2 distinguent notamment l’accord contractuel sectoriel du consentement comme base RGPD.
Les intérêts vitaux : ne pas les réduire à une formule médicale
Le point d) protège les intérêts vitaux de la personne concernée ou d’une autre personne physique. Son champ ne se limite pas textuellement au patient inconscient. Il vise néanmoins des intérêts essentiels et ne remplace pas la recherche d’un fondement adapté aux opérations habituelles. La simple commodité d’un dispositif de surveillance ne constitue pas un intérêt vital.
Une distinction supplémentaire s’impose pour les données de santé. L’article 9, paragraphe 2, point c), prévoit une exception liée aux intérêts vitaux lorsque la personne est physiquement ou juridiquement incapable de consentir. Cette condition propre aux données sensibles ne doit pas être confondue avec le libellé général de l’article 6. Notez les circonstances qui rendent l’opération nécessaire plutôt que d’inscrire « urgence » dans toute la documentation.
La mission d’intérêt public : préciser son ancrage juridique
Le point e) couvre la nécessité d’une mission d’intérêt public ou de l’exercice de l’autorité publique dont le responsable est investi. La mission doit reposer sur le droit applicable, conformément à l’article 6, paragraphe 3. Une entreprise privée peut être chargée d’une telle mission ; sa forme juridique ne suffit donc pas à exclure ce fondement. Symétriquement, toute activité d’un organisme public ne relève pas automatiquement de cette base.
Retrouvez la mission précise, puis expliquez le lien entre celle-ci et l’opération envisagée. Une formulation très générale sur l’utilité sociale du service ne démontre pas ce lien. L’intérêt légitime n’est pas applicable aux traitements effectués par une autorité publique dans l’exécution de ses missions ; cette restriction doit être examinée avant toute mise en balance.
L’intérêt légitime : faire une analyse réelle
L’intérêt peut être celui du responsable ou d’un tiers. Il faut un objectif licite et précis, un traitement nécessaire et un équilibre favorable face aux droits et intérêts des personnes. La méthode de la CNIL invite notamment à examiner les attentes raisonnables et les conséquences concrètes. Une mention d’information ne transforme pas, à elle seule, un usage inattendu en usage acceptable.
Le triple test de l’intérêt légitime doit décrire les alternatives, les personnes vulnérables et les effets prévisibles. Si une mesure moins intrusive atteint l’objectif, justifiez le choix retenu ou modifiez le projet. Le coût du recueil du consentement n’établit pas la validité de cette base. Une conclusion défavorable impose une révision du dispositif, sans présumer qu’une demande d’accord suffira à résoudre tous les problèmes.
Appliquer une méthode de décision au dossier
Commencez par les contraintes propres à l’opération : un texte impose-t-il une collecte, une conservation ou une condition particulière ? Vérifiez ensuite la relation avec la personne et la nécessité pour le service demandé. Si une mission publique est invoquée, retrouvez son fondement. Analysez les autres hypothèses pertinentes sans transformer cet ordre de travail en classement juridique entre les bases.
Lorsque l’intérêt légitime est envisagé, consignez le résultat de la mise en balance avant le lancement. Lorsque le consentement est retenu, vérifiez que l’interface permet un choix valable et que le retrait peut se propager aux outils concernés. La procédure de gestion de l’opt-in et de l’opt-out doit correspondre au fondement effectivement choisi, et non au seul libellé d’une case dans le logiciel.
Terminez par une décision opérationnelle : lancement possible, modifications nécessaires ou abandon. Attribuez les actions restantes à une personne et précisez ce qui doit être vérifié avant l’ouverture du service. Un avis juridique favorable sous réserve de désactiver un usage ne permet pas de laisser cet usage actif. Conservez la version du paramétrage examinée pour éviter qu’une option activée ultérieurement bénéficie indûment de l’analyse initiale.
Traiter séparément les données sensibles et les règles sectorielles
Pour une catégorie de données visée à l’article 9, un fondement de l’article 6 ne suffit pas. Il faut aussi satisfaire une exception de l’article 9, paragraphe 2, avec ses conditions. Le consentement explicite est l’une de ces exceptions, mais les soins, certaines obligations sociales ou la défense de droits en justice relèvent d’autres hypothèses possibles. Les données relatives aux condamnations et infractions relèvent, quant à elles, de l’article 10.
En France, la prospection par courriel obéit également aux règles sectorielles exposées dans la fiche CNIL actualisée le 10 juin 2026. Pour les particuliers, le consentement préalable est le principe ; l’exception du client existant concerne les produits ou services analogues de la même entreprise, avec opposition simple et gratuite à la collecte et à chaque envoi. Créer un compte sans achat ne suffit pas. La voie professionnelle suppose notamment un objet en rapport avec la profession et une possibilité d’opposition. Ces règles ne doivent pas être transposées indistinctement à tous les canaux ou pays.
De même, déterminer la base d’un traitement ultérieur ne dispense pas de vérifier les règles propres au dépôt ou à la lecture de traceurs. Une qualification « statistique » ou « sécurité » ne prouve pas, sans analyse du fonctionnement, qu’une exemption de consentement s’applique. Séparez les questions pour éviter qu’une conclusion prise au titre du RGPD soit utilisée comme autorisation générale d’accès au terminal.
Documenter sans attribuer au registre une exigence inexistante
Les articles 13 et 14 imposent d’informer les personnes des finalités et de la base juridique. Pour l’intérêt légitime, les intérêts poursuivis doivent également être indiqués. Cette information doit correspondre à l’opération réelle : une notice indiquant consentement, contrat et intérêt légitime sans ventilation compréhensible ne permet pas de savoir quel régime s’applique.
L’article 30 ne mentionne pas expressément la base légale parmi les rubriques minimales du registre. Son paragraphe 1, point c), concerne les catégories de personnes et de données. Ajouter le fondement au registre des traitements reste une pratique utile pour la responsabilité démontrable, avec un lien vers la justification. Un modèle de registre fournit une structure à adapter, sans remplacer l’analyse.
La fiche de décision devrait permettre de retrouver la finalité, le périmètre, la référence juridique, les raisons de nécessité, les limites et le responsable de la validation. Joignez les preuves pertinentes : version du formulaire, clause sectorielle, analyse d’intérêt légitime ou règle de conservation. Cette organisation facilite une mise en conformité RGPD suivie dans le temps. La lecture des sanctions de la CNIL peut orienter les contrôles, sans remplacer les faits propres au dossier.
Traduire la base retenue dans les droits et la conservation
Le choix produit des effets concrets. L’opposition de l’article 21 concerne notamment les traitements fondés sur les points e) et f), avec les conditions prévues par cet article. En prospection, l’opposition est absolue pour cette finalité, y compris le profilage lié. Elle ne dépend pas d’une nouvelle mise en balance. Le droit d’opposition doit donc être reconnu par l’équipe qui gère les campagnes.
La portabilité relève d’un autre raisonnement : elle vise, sous les conditions de l’article 20, les traitements automatisés fondés sur le consentement ou le contrat. L’accès et la rectification ne disparaissent pas parce que le fondement est une obligation légale. Évitez les réponses automatiques affirmant que toutes les demandes sont exclues dans ce cas. Chaque droit conserve son champ et ses éventuelles restrictions.
Le retrait du consentement n’annule pas la licéité des opérations antérieures valablement consenties. Il oblige à arrêter l’usage concerné ; il ne transforme pas les mêmes données en ressources librement réutilisables. Une conservation distincte peut demeurer nécessaire pour une obligation légale ou la défense de droits, sous réserve d’un fondement propre, d’une finalité identifiée et d’accès limités. Elle ne permet pas de continuer les envois auxquels la personne a renoncé.
Revoir le choix quand le traitement évolue
Une nouvelle finalité, un rapprochement de fichiers ou une extension de population peut modifier l’analyse. L’article 6, paragraphe 4, encadre l’examen de compatibilité lorsqu’il s’applique ; il ne constitue pas un septième fondement général. Vérifiez également l’information préalable à une nouvelle finalité au titre des articles 13 ou 14 et les autres conditions applicables.
Les lignes directrices finales du CEPD sur le consentement écartent le basculement rétrospectif vers l’intérêt légitime pour réparer un consentement défaillant ou contourner son retrait. Cela ne signifie pas que toute organisation serait juridiquement figée pour toujours. Une évolution prospective exige une nouvelle analyse réelle, une information adaptée et le respect des attentes comme des droits existants. Elle ne régularise pas rétroactivement une collecte illicite.
Questions pratiques
Faut-il sélectionner une base pour toute l’entreprise ?
Non. L’unité pertinente est l’opération poursuivant une finalité déterminée. Les données d’une personne peuvent servir à plusieurs finalités distinctes, chacune justifiée. Décrivez cette séparation dans les outils et la documentation ; une distinction purement rédactionnelle ne suffit pas si tous les usages restent techniquement mélangés.
Une case de consentement rend-elle la collecte plus sûre ?
Seulement si le consentement est le fondement approprié et ses conditions sont remplies. Une case inutile peut annoncer un choix inexistant et compliquer le traitement d’un retrait. Expliquez honnêtement une obligation ou une nécessité contractuelle lorsque celles-ci justifient effectivement l’opération.
Que faire si aucune base ne peut être démontrée ?
Suspendre le lancement, limiter les données ou repenser la finalité. La documentation doit pouvoir conclure à l’abandon d’un usage. Une méthode de choix utile sert autant à refuser une opération injustifiée qu’à organiser celles qui peuvent être réalisées légalement.