Les 6 bases légales du RGPD : comment choisir la bonne

L'article 6 du RGPD prévoit six bases légales sur lesquelles peut reposer un traitement de données personnelles. Chaque traitement doit être rattaché à une et une seule base légale, choisie AVANT la mise en œuvre du traitement. Ce choix conditionne les droits dont disposent les personnes concernées et les obligations du responsable de traitement.

1. Le consentement (article 6.1.a)

La personne a manifesté sa volonte de manière libre, spécifique, éclairée et univoque. Le consentement doit être un acte positif (case a cocher, inscription volontaire). Il peut être retire à tout moment. Exemples : inscription à une newsletter, dépôt de cookies non essentiels, collecte de données à des fins de prospection pour des non-clients.

2. L'exécution d'un contrat (article 6.1.b)

Le traitement est nécessaire à l'exécution d'un contrat auquel la personne est partie, ou à l'exécution de mesures précontractuelles. Exemples : traitement des données d'un client pour livrer sa commande, gestion de la paie d'un salarié dans le cadre de son contrat de travail, vérification d'identité avant la signature d'un contrat.

3. L'obligation légale (article 6.1.c)

Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable est soumis. Exemples : conservation des factures pendant 10 ans (Code de commerce), declaration sociale nominative (DSN), tenue du registre unique du personnel, transmission de données aux autorités fiscales.

4. La sauvegarde des intérêts vitaux (article 6.1.d)

Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne ou d'une autre personne physique. Cette base est réservée aux situations d'urgence ou la vie est en jeu. Exemples : accès au dossier médical d'une personne inconsciente aux urgences, partage de données en cas de catastrophe naturelle pour retrouver des victimes.

5. La mission d'intérêt public (article 6.1.e)

Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique. Cette base concerne principalement les organismes publics. Exemples : gestion de l'état civil par une mairie, enquêtes statistiques de l'INSEE, contrôles fiscaux.

6. L'intérêt légitime (article 6.1.f)

Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable ou un tiers, à condition de ne pas prévaloir sur les droits et libertés de la personne. C'est la base la plus souple mais elle exige une mise en balance documentée (test de proportionnalité). Exemples : sécurité du réseau informatique, prospection B2B, prévention de la fraude, vidéoprotection des locaux.