Quelle base légale choisir pour un traitement de données ?

À quoi sert une base légale ?

La base légale est le fondement juridique qui autorise un organisme à traiter des données personnelles. Sans elle, le traitement est illicite, même s'il est utile, sécurisé et transparent. L'article 6 du RGPD en prévoit six ; il en faut au moins une pour chaque finalité, choisie avant de démarrer le traitement et indiquée aux personnes dans la mention d'information. Le choix n'est pas qu'une formalité : il détermine les droits dont disposent les personnes (le droit à la portabilité ne s'applique qu'au consentement et au contrat, le droit d'opposition principalement à l'intérêt légitime et à la mission publique) et les preuves à conserver.

Le consentement

Le consentement est souvent cité en premier mais il est exigeant : il doit être libre, spécifique, éclairé et univoque, exprimé par un acte positif clair, et pouvoir être retiré aussi facilement qu'il a été donné. Il convient aux traitements que la personne peut réellement refuser sans conséquence, comme l'envoi d'une newsletter commerciale à des particuliers, le dépôt de cookies publicitaires ou la publication d'un témoignage. Il est inadapté lorsque le traitement est indispensable au service ou lorsqu'il existe un déséquilibre de pouvoir, comme entre un employeur et ses salariés. Les conditions détaillées figurent dans le guide du consentement RGPD.

L'exécution d'un contrat

Cette base couvre ce qui est objectivement nécessaire pour exécuter un contrat auquel la personne est partie, ou pour prendre des mesures précontractuelles à sa demande, comme établir un devis. Une boutique en ligne a besoin de l'adresse de livraison et des données de paiement ; un club de sport doit connaître l'identité de ses adhérents. Le Comité européen de la protection des données interprète strictement la notion de nécessité : le profilage publicitaire d'un utilisateur ne devient pas nécessaire au contrat parce qu'il figure dans les conditions générales, comme l'a confirmé la Cour de justice dans son arrêt Meta Platforms du 4 juillet 2023 (affaire C-252/21).

L'obligation légale

Lorsqu'un texte de droit européen ou national impose au responsable de traiter certaines données, la base légale est l'obligation légale : déclarations sociales et fiscales, conservation des factures, registre unique du personnel, vérification de l'identité d'un client par une banque au titre de la lutte contre le blanchiment. La loi doit être suffisamment précise ; l'obligation générale de « bien gérer son entreprise » ne suffit pas. Le traitement ne peut pas aller au-delà de ce que la loi exige.

Les intérêts vitaux et la mission d'intérêt public

La sauvegarde des intérêts vitaux de la personne ou d'un tiers concerne des situations où une vie est en jeu, comme une urgence médicale ou une catastrophe ; elle n'est utilisée qu'en dernier recours, lorsqu'aucune autre base n'est mobilisable. La mission d'intérêt public ou l'exercice de l'autorité publique concerne principalement les administrations, les collectivités et les organismes chargés d'un service public, pour les traitements liés à leurs missions : gestion de l'état civil, cantine scolaire, inscriptions sur une liste électorale, aides sociales.

L'intérêt légitime

L'intérêt légitime est la base la plus souple, mais aussi celle qui demande le plus de réflexion. Le responsable peut s'en prévaloir s'il poursuit un intérêt réel, licite et actuel (prévenir la fraude, assurer la sécurité de son réseau, prospecter ses clients par courrier postal, gérer un contentieux) et si cet intérêt ne porte pas une atteinte disproportionnée aux droits et attentes raisonnables des personnes. Les autorités publiques ne peuvent pas l'utiliser pour leurs missions. Les personnes disposent toujours d'un droit de s'opposer au traitement pour des raisons tenant à leur situation particulière, et sans conditions lorsqu'il s'agit de prospection.

Documenter la mise en balance

Le Comité européen de la protection des données a soumis à consultation, en octobre 2024, des lignes directrices consacrées à l'intérêt légitime (1/2024) qui recommandent de formaliser ce raisonnement par écrit. En pratique, une fiche d'une page par traitement suffit souvent : l'intérêt poursuivi, la nécessité du traitement, l'impact pour les personnes, leurs attentes au regard de la relation, et les garanties prévues (information claire, opposition simple, durée courte, pseudonymisation). Ce document sera demandé en cas de contrôle ou de réclamation.

Exemples de choix pour une PME

Une même entreprise utilise plusieurs bases légales en parallèle, une par finalité. Le tableau ci-dessous illustre les choix les plus courants dans une petite structure qui vend en ligne et emploie quelques salariés ; ils doivent toujours être vérifiés au regard du contexte précis.

Les erreurs à éviter

La première erreur consiste à tout fonder sur le consentement « par précaution » : si la personne retire son accord, le traitement doit cesser, ce qui est impossible pour la facturation par exemple, et il n'est pas permis de basculer ensuite sur une autre base pour continuer. La deuxième consiste à changer de base légale en cours de route sans raison. La troisième est d'invoquer l'intérêt légitime sans avoir réalisé ni documenté la mise en balance. Enfin, pour les données sensibles, une base de l'article 6 ne suffit pas : il faut en plus une exception de l'article 9.

Peut-on cumuler plusieurs bases légales ?

Un même traitement, pour une même finalité, repose en principe sur une seule base légale principale, choisie avant de commencer. Il est en revanche courant qu'un même ensemble de données serve plusieurs finalités, chacune avec sa base propre. Les données d'un client servent ainsi à exécuter sa commande (contrat), à établir sa facture (obligation légale), à lui envoyer des offres sur des produits analogues (intérêt légitime) et, s'il l'accepte, à le cibler sur les réseaux sociaux (consentement). Le registre des traitements et la mention d'information doivent présenter ces finalités et bases de façon distincte. Les lignes directrices européennes déconseillent d'invoquer plusieurs bases « par sécurité » pour une même finalité, car cela brouille l'information des personnes et la portée de leurs droits.

Changer de base légale en cours de route

Le CEPD considère qu'un responsable ne peut pas, en principe, remplacer après coup la base légale annoncée, par exemple en basculant vers l'intérêt légitime lorsque des personnes retirent leur consentement. Ce changement tromperait les personnes, qui croyaient pouvoir mettre fin au traitement. Si une nouvelle finalité apparaît, elle doit être évaluée séparément, avec sa propre base légale et une information préalable.

Le contrat : ce qui est vraiment nécessaire

La base contractuelle est souvent invoquée trop largement. Le Comité européen de la protection des données a précisé, dans ses lignes directrices 2/2019, que le traitement doit être objectivement nécessaire à l'exécution du contrat avec la personne concernée, et non simplement mentionné dans les conditions générales ou utile à l'entreprise. L'envoi de la commande, la gestion du service après-vente, la facturation et la gestion des réclamations sont nécessaires ; l'amélioration du service par l'analyse des comportements, la prévention de la fraude ou la publicité personnalisée ne le sont généralement pas, et doivent s'appuyer sur une autre base. La Cour de justice a suivi cette lecture dans l'arrêt Meta Platforms du 4 juillet 2023, en jugeant qu'un réseau social ne pouvait pas justifier le profilage publicitaire par la nécessité contractuelle.

Les mesures précontractuelles

La base contractuelle couvre aussi les mesures prises à la demande de la personne avant la conclusion du contrat : établissement d'un devis, simulation d'un prêt, étude d'une candidature à un logement, réservation provisoire. Elle ne couvre pas la prospection d'une personne qui n'a rien demandé.

Le contrat de travail

Pour les salariés, de nombreux traitements découlent du contrat de travail (gestion des horaires, de la rémunération, des congés) et d'obligations légales (déclarations sociales, médecine du travail). Le consentement est en revanche presque toujours inadapté, en raison du lien de subordination.

L'obligation légale en pratique

L'obligation légale doit résulter d'un texte de droit de l'Union ou d'un État membre suffisamment clair et précis, qui impose au responsable de traiter certaines données. Les exemples sont nombreux dans la vie d'une entreprise : conservation des factures et pièces comptables pendant dix ans, déclarations sociales nominatives, registre unique du personnel, vérification de l'identité des clients pour les professions soumises à la lutte contre le blanchiment, conservation des données de connexion par les opérateurs dans les limites fixées par la loi, signalement de certains incidents. Le traitement ne doit pas dépasser ce que la loi exige : une entreprise tenue de vérifier l'identité d'un client n'est pas pour autant autorisée à conserver indéfiniment une copie de sa pièce d'identité si la loi ne le prévoit pas.

L'intérêt légitime : exemples admis et refusés

La jurisprudence et les autorités ont progressivement dessiné les contours de l'intérêt légitime. Sont généralement admis la prévention de la fraude, la sécurité des réseaux et des systèmes d'information, la prospection par courrier postal, la prospection électronique des clients pour des produits analogues, la vidéosurveillance proportionnée des locaux, la transmission de données au sein d'un groupe à des fins administratives internes, le recouvrement de créances ou la défense en justice. La Cour de justice a admis, dans un arrêt du 4 octobre 2024 (affaire C-621/22), qu'un intérêt commercial, comme la vente de données à des partenaires, peut constituer un intérêt légitime, à condition que le traitement soit strictement nécessaire et que la mise en balance soit favorable, ce qui n'est pas acquis. Sont en revanche régulièrement refusés le profilage intrusif, la surveillance généralisée des salariés, le suivi publicitaire en ligne sans consentement ou la revente de fichiers à l'insu des personnes.

Les attentes raisonnables des personnes

Le considérant 47 insiste sur les attentes raisonnables des personnes, compte tenu de leur relation avec le responsable. Un client s'attend à recevoir des informations sur les produits qu'il achète habituellement ; il ne s'attend pas à ce que ses achats soient analysés pour déduire sa santé ou sa situation familiale. Cette notion est souvent décisive dans la mise en balance et doit être documentée.

Le droit d'opposition comme garantie

Lorsque l'intérêt légitime est retenu, la personne peut toujours s'opposer au traitement pour des raisons tenant à sa situation particulière, et sans condition pour la prospection. Faciliter cette opposition, par exemple par un lien simple ou une case à décocher, renforce la légitimité du traitement et pèse favorablement dans la mise en balance.

Les bases légales des organismes publics

Les administrations, collectivités et établissements publics ne peuvent pas invoquer l'intérêt légitime pour les traitements effectués dans l'exécution de leurs missions (article 6, paragraphe 1, dernier alinéa). Leurs traitements reposent principalement sur la mission d'intérêt public, l'exercice de l'autorité publique ou une obligation légale, qui doivent elles-mêmes trouver leur fondement dans un texte. Ils peuvent recourir au consentement pour des services réellement facultatifs, comme une lettre d'information municipale, à condition que le refus n'ait aucune conséquence sur l'accès aux services publics. Le choix de la base légale conditionne ici aussi les droits : le droit d'opposition s'applique aux traitements fondés sur la mission d'intérêt public, mais pas à ceux qui découlent d'une obligation légale.

Documenter son choix

Le principe de responsabilité impose de pouvoir justifier la base légale de chaque traitement. Concrètement, le registre indique pour chaque finalité la base retenue ; pour le consentement, l'organisme conserve les preuves ; pour l'intérêt légitime, il conserve la mise en balance ; pour l'obligation légale, il cite le texte ; pour le contrat, il identifie les données strictement nécessaires. Cette documentation est l'une des premières pièces demandées en cas de contrôle ou de réclamation, et sa qualité témoigne du sérieux de la démarche.

Les intérêts vitaux, une base d'exception

La sauvegarde des intérêts vitaux de la personne concernée ou d'un tiers est réservée aux situations où la vie ou l'intégrité physique est en jeu et où aucune autre base n'est mobilisable. Le considérant 46 cite les urgences humanitaires, les catastrophes naturelles ou d'origine humaine et le suivi d'épidémies. Un secouriste qui consulte le dossier d'une personne inconsciente pour connaître ses allergies, une plateforme d'urgence qui géolocalise un appelant en détresse ou un organisme humanitaire qui recense des sinistrés peuvent s'appuyer sur cette base. Elle ne doit pas servir de justification commode à des traitements de routine : la gestion courante d'un établissement de santé repose sur d'autres bases, et un employeur ne peut pas l'invoquer pour collecter des données de santé de ses salariés hors de toute urgence.

La mission d'intérêt public

La mission d'intérêt public ou l'exercice de l'autorité publique concerne d'abord les administrations, mais aussi des organismes privés investis d'une mission de service public, comme certains organismes de sécurité sociale, des fédérations sportives délégataires ou des établissements d'enseignement privés sous contrat. La mission doit être définie par un texte de droit de l'Union ou national ; c'est ce texte qui fixe la finalité et peut préciser les conditions du traitement. Les personnes conservent un droit d'opposition, que le responsable peut écarter s'il démontre des motifs impérieux. Cette base est au cœur des traitements de l'État, des collectivités, des hôpitaux publics ou des universités.

Les erreurs les plus fréquentes

Plusieurs erreurs reviennent dans les contrôles. La première consiste à tout fonder sur le consentement, y compris des traitements qui n'en ont pas besoin, ce qui crée une fragilité inutile puisque le consentement peut être retiré à tout moment. La deuxième consiste à invoquer le contrat pour des traitements accessoires comme la publicité ou l'analyse comportementale. La troisième est l'intérêt légitime affirmé sans mise en balance documentée. La quatrième est l'absence pure et simple de réflexion, avec un registre où la colonne « base légale » est vide ou remplie au hasard. Enfin, beaucoup d'organismes oublient que la base légale doit figurer dans la mention d'information, et que les personnes doivent connaître les intérêts légitimes poursuivis lorsque cette base est retenue.

La base légale et les droits des personnes

Le choix de la base légale n'est pas neutre pour les personnes. Lorsqu'un traitement repose sur le consentement, la personne peut le retirer et obtenir l'effacement, et la portabilité s'applique. Sur le contrat, la portabilité joue aussi, mais pas l'opposition. Sur l'intérêt légitime, l'opposition est ouverte, mais pas la portabilité. Une obligation légale ferme presque toutes les portes, car l'organisme doit conserver les données. Expliquer ces conséquences dans la politique de confidentialité aide les personnes à comprendre ce qu'elles peuvent demander. Le choix fait au départ engage donc l'organisme pour toute la vie du traitement, et mérite d'être pesé avec soin avant le lancement d'un projet, avec le délégué à la protection des données lorsqu'il en existe un.