L’article 6 du RGPD ne propose pas six options à cocher au hasard. Il impose de rattacher chaque traitement de données personnelles à un fondement juridique adapté à sa finalité, puis de pouvoir démontrer que les conditions de ce fondement sont réellement réunies. Un formulaire client, une campagne marketing et la gestion d’une facture peuvent donc relever de bases différentes, même lorsqu’ils s’appuient sur les données d’une même personne.
Cette distinction a des effets concrets : elle détermine notamment les droits applicables, la manière d’informer les personnes et les preuves à conserver. Pour clarifier le sujet, le fil conducteur sera Accord Location, une entreprise fictive qui loue des instruments de musique. Son cas montre pourquoi « nous avons besoin de ces données pour notre activité » ne suffit pas. Le bon réflexe consiste à partir de l’usage précis, puis à vérifier quelle base légale peut le justifier.
En bref :
- Chaque finalité doit reposer sur au moins une base légale valable, sans hiérarchie générale entre les six fondements.
- Le contrat ne couvre que les données objectivement nécessaires au service demandé.
- Le consentement doit être libre, spécifique, éclairé, univoque et retirable aussi simplement qu’il a été donné.
- L’obligation légale et la mission d’intérêt public nécessitent un fondement juridique approprié.
- L’intérêt légitime exige une mise en balance documentée ; une nouvelle finalité appelle un examen distinct.
Les six bases légales de l’article 6 du RGPD : une règle par finalité
L’article 6, paragraphe 1, prévoit six fondements possibles pour rendre un traitement licite : le consentement, l’exécution d’un contrat ou des mesures précontractuelles, l’obligation légale, la sauvegarde des intérêts vitaux, la mission d’intérêt public ou l’exercice de l’autorité publique, et l’intérêt légitime. Il suffit qu’au moins une condition soit remplie pour la finalité considérée, mais il faut pouvoir en expliquer les raisons à partir des faits.
Ces bases ne sont pas des étiquettes interchangeables. Elles ne forment pas non plus une liste dans laquelle il faudrait tester les options dans un ordre imposé. Le responsable choisit celle qui correspond réellement au traitement et ne devrait pas afficher plusieurs fondements comme solutions de secours afin de contourner les droits associés à l’un d’eux.
Accord Location, par exemple, collecte des données lorsqu’un client réserve un violoncelle. La préparation de la location peut être nécessaire au contrat, tandis que l’envoi d’une newsletter promotionnelle relève d’une analyse distincte. Conserver une facture pour répondre aux obligations comptables constitue encore une autre opération. Réunir ces usages sous une seule mention « gestion de la relation client » masque des finalités différentes et rend l’information moins compréhensible.
La méthode pratique est simple : décrire l’objectif avant de nommer la base. Il faut préciser quelles données sont utilisées, par qui, pendant combien de temps et pour quelle opération. Une finalité vague comme « améliorer le service » ne permet pas de décider si le traitement est nécessaire au contrat ou s’il repose plutôt sur un intérêt légitime. La documentation RGPD devient alors un outil de décision, pas une formalité remplie après coup.
| Base légale | Quand elle peut s’appliquer | Exemple pour Accord Location |
|---|---|---|
| Consentement | La personne accepte librement une finalité précise. | Publier son témoignage sur le site. |
| Contrat | Le traitement est objectivement nécessaire au contrat ou à une démarche précontractuelle demandée. | Organiser la réservation et la remise de l’instrument. |
| Obligation légale | Une règle de droit impose le traitement au responsable. | Conserver les pièces comptables selon les exigences applicables. |
| Intérêts vitaux | Le traitement est nécessaire pour protéger la vie d’une personne physique. | Transmettre des informations utiles lors d’une urgence grave. |
| Mission d’intérêt public | Le traitement est lié à une mission attribuée par un texte de droit. | Exercice par un organisme chargé d’une mission prévue par la loi. |
| Intérêt légitime | L’intérêt poursuivi est réel, nécessaire et ne l’emporte pas sur les droits des personnes. | Coordonner la livraison avec le contact professionnel du client. |
Pour aller plus loin sur la traduction des obligations juridiques dans les opérations quotidiennes, un guide sur le RGPD en langage d’entreprise aide à relier les principes aux processus concrets. La règle à retenir est nette : un traitement, une finalité clairement définie et une justification vérifiable.
Consentement et contrat : les bases légales souvent mal interprétées
Le consentement est adapté lorsqu’une personne peut choisir librement d’accepter ou de refuser une utilisation précise de ses données. Il doit être spécifique, éclairé, univoque et démontrable. Une case précochée, une formulation noyée dans des conditions générales ou une acceptation imposée pour accéder à un service ne suffisent pas à établir un consentement valable.
L’article 7 ajoute des exigences pratiques : le responsable doit pouvoir prouver l’accord et permettre son retrait aussi facilement que son recueil. Si Camille accepte qu’Accord Location publie son témoignage sur une page de présentation, la fiche de preuve peut noter la version du texte approuvé, le support concerné, la date et la personne chargée de traiter un retrait. Cette autorisation ne couvre pas automatiquement une publicité imprimée, une campagne email ou une publication sur un réseau social.
Le contrat repose sur une logique différente. Le traitement doit être objectivement nécessaire à l’exécution d’un contrat auquel la personne est partie, ou à des mesures précontractuelles prises à sa demande. L’entreprise ne peut pas rendre une donnée nécessaire simplement en l’inscrivant dans ses conditions générales. Il faut se demander si le service peut raisonnablement fonctionner sans elle.
L’arrêt de la Cour de justice de l’Union européenne du 9 janvier 2025, dans l’affaire C-394/23 dite Mousse, donne un repère concret. La Cour a examiné la collecte de la civilité de voyageurs lors de l’achat de titres de transport. Elle a relevé que personnaliser les échanges selon une identité de genre présumée ne semblait pas indispensable à l’exécution du contrat, alors que des formules neutres pouvaient être utilisées. Le détail paraît minime dans un formulaire ; à grande échelle, il concerne pourtant des millions d’interactions.
Pour une réservation d’instrument, le nom, les coordonnées utiles et les informations nécessaires à la remise peuvent relever du contrat. En revanche, demander systématiquement la date de naissance ou une adresse personnelle à un salarié qui réserve au nom de son entreprise exige une justification propre. Une donnée pratique n’est pas automatiquement une donnée nécessaire.
Les parcours numériques rendent ce contrôle encore plus important. Un formulaire peut être conçu par une agence, relié à un CRM et synchronisé avec un outil d’automatisation ; la fluidité technique ne prouve pas la licéité. Une application ou un parcours no-code bien conçu doit prévoir les champs réellement utiles, séparer les choix marketing et rendre le retrait opérationnel. La bonne conversion n’est pas celle qui collecte le plus, mais celle qui demande le nécessaire au bon moment.
Dans la pratique, les équipes gagnent à documenter le besoin avant d’ajouter un champ au formulaire. Si une alternative moins intrusive permet de fournir le même service, l’argument de nécessité devient difficile à défendre. Consentement et contrat ne sont donc pas deux variantes d’une même case : le premier exprime un choix, le second répond à un besoin contractuel démontrable.
Obligation légale et mission d’intérêt public : vérifier le texte applicable
L’obligation légale s’applique lorsqu’une règle de droit impose au responsable du traitement une opération déterminée. Une politique interne, une demande d’un client ou une pratique répandue dans un secteur ne constitue pas, à elle seule, une obligation légale au sens de l’article 6(1)(c). Le responsable doit identifier le texte, vérifier qu’il s’applique à son organisation et limiter le traitement à ce qu’il rend nécessaire.
Accord Location peut, par exemple, devoir conserver certaines pièces comptables pendant la durée prévue par les règles applicables. Cette obligation peut justifier la conservation de documents nécessaires à la comptabilité, mais elle ne donne pas carte blanche pour réutiliser les coordonnées du client à des fins de prospection. La finalité initiale et la durée à respecter doivent rester distinctes des usages commerciaux ultérieurs.
La mission d’intérêt public ou l’exercice de l’autorité publique, visés à l’article 6(1)(e), répondent à un autre cadre. Selon l’article 6(3), le fondement doit découler du droit de l’Union ou du droit d’un État membre auquel le responsable est soumis. Le texte doit définir la mission ou l’autorité concernée, ou permettre d’établir que le traitement est nécessaire à son exécution. L’objectif poursuivi doit être d’intérêt public et la mesure proportionnée.
Cette base n’est pas réservée, par principe, aux seules administrations. Le considérant 45 prévoit qu’un organisme privé peut être chargé d’une mission pertinente lorsque le droit le prévoit. À l’inverse, une entreprise ne peut pas se déclarer investie d’une mission publique simplement parce qu’elle estime son activité utile à la société.
Dans le cas fictif d’Accord Location, proposer des ateliers de musique à des écoles ne transforme pas automatiquement la gestion commerciale des réservations en mission d’intérêt public. Il faudrait un cadre juridique attribuant cette mission et établir que les opérations concernées sont nécessaires à son exercice. Sans ce support, l’entreprise doit envisager une autre base adaptée à chaque traitement.
Un contrôle pratique consiste à conserver la référence exacte du texte, sa date d’entrée en vigueur, les personnes auxquelles il s’applique et les opérations qu’il autorise ou impose. Une transmission obligatoire à une autorité ne justifie pas nécessairement la conservation indéfinie de toutes les données transmises. La vérification doit porter sur le périmètre réel de l’exigence.
Les organisations qui numérisent leurs démarches doivent aussi s’assurer que les outils ne dilatent pas le traitement au-delà du texte. La mise en place d’un logiciel d’archivage ou d’extraction par OCR, par exemple, change les modalités techniques, pas la portée juridique de l’obligation. Un projet de traitement automatisé de documents doit donc reprendre les règles de minimisation, d’accès et de conservation associées à la finalité.
Pour ces deux bases, le réflexe utile est de demander : quel texte autorise ou impose cette opération, à qui s’adresse-t-il et quelle quantité de données rend-il réellement nécessaire ? Sans réponse précise, la justification reste fragile.
Intérêts vitaux et intérêt légitime : deux fondements aux conditions strictes
La sauvegarde des intérêts vitaux concerne la protection de la vie d’une personne physique. Le considérant 46 vise les situations où un traitement est nécessaire pour préserver un intérêt essentiel à la vie, notamment lorsque l’état de santé ou les circonstances empêchent une décision ordinaire. Ce fondement n’est pas conçu pour les opérations courantes d’une entreprise ni pour justifier une collecte de confort.
Imaginons qu’un participant à un atelier organisé dans les locaux d’Accord Location perde connaissance. La transmission aux secours d’informations immédiatement nécessaires à sa prise en charge peut relever des intérêts vitaux, selon les circonstances. En revanche, conserver ensuite un historique de santé pour améliorer les campagnes marketing n’a aucun lien avec cette urgence et demande une analyse distincte.
Les données sensibles demandent une vigilance supplémentaire. L’article 6 ne suffit pas à lui seul lorsqu’un traitement concerne, par exemple, des données de santé : il faut également examiner l’article 9 et l’exception applicable. Il ne faut pas attribuer à l’article 6(1)(d) des conditions qui relèvent de l’article 9(2)(c), notamment celles relatives à l’incapacité physique ou juridique de consentir dans cette exception.
L’intérêt légitime est souvent mobilisé par les entreprises, mais il ne constitue pas un passe-partout. Le responsable doit démontrer trois éléments : un intérêt réel poursuivi par lui-même ou un tiers, la nécessité du traitement pour cet intérêt, puis une mise en balance favorable avec les droits et libertés des personnes. Les autorités publiques ne peuvent pas invoquer ce fondement lorsqu’elles accomplissent leurs missions.
Accord Location souhaite coordonner la livraison d’instruments avec un contact professionnel dans une entreprise cliente. Le traitement du nom, de la fonction utile et de l’adresse professionnelle peut se justifier si une boîte générique ne permet pas d’organiser le rendez-vous, si le salarié peut raisonnablement s’attendre à ces échanges et si l’accès reste limité au suivi de la location. L’entreprise doit aussi informer la personne et lui permettre d’exercer son droit d’opposition dans les conditions prévues par le RGPD.
La même justification ne couvre pas un classement individuel de ce salarié, une évaluation de sa fiabilité ou l’envoi de promotions sur ses coordonnées privées. Ces usages changent la finalité, les conséquences possibles ou les attentes raisonnables. Une analyse sérieuse consigne l’intérêt poursuivi, les données indispensables, les effets pour les personnes et les garanties mises en place : accès limité, durée courte, absence de données privées et procédure d’opposition.
Pour automatiser ces vérifications, les outils peuvent organiser les preuves, mais ne remplacent pas le raisonnement. Un assistant IA peut aider à repérer les champs d’un formulaire ou préparer une grille de contrôle ; il ne peut pas décider seul que la balance des intérêts est favorable. Les enjeux de gouvernance liés à ces usages rejoignent ceux de la régulation de l’IA en Europe. En matière de données, l’automatisation accélère le travail ; elle accélère aussi les erreurs si le fondement n’est pas compris.
Dans les deux cas, la question centrale reste celle de la nécessité et du contexte. Une urgence vitale ne justifie pas un usage commercial, et un intérêt légitime ne dispense jamais de regarder les effets concrets pour les personnes concernées.
Nouvelle finalité et conformité RGPD : documenter les décisions dans le temps
Une base légale valable au moment de la collecte ne donne pas un droit général de réutiliser les données. Lorsqu’un responsable envisage un nouvel usage, l’article 6(4) demande d’examiner sa compatibilité avec la finalité initiale, sauf notamment si la personne a consenti à cette nouvelle finalité ou si le traitement repose sur un cadre juridique répondant aux conditions prévues par le règlement.
L’analyse porte sur cinq dimensions : le lien entre les objectifs initiaux et futurs, le contexte de collecte et la relation avec les personnes, la nature des données, les conséquences possibles de la réutilisation et les garanties prévues. Le considérant 50 précise qu’une réutilisation compatible peut continuer à s’appuyer sur la base ayant permis la collecte, mais les obligations d’information et les autres règles du RGPD demeurent applicables.
Accord Location envisage de créer un classement de solvabilité à partir de l’historique des réservations. Changer la notice de confidentialité ne suffit pas. Il faut analyser la compatibilité de cette nouvelle finalité, les données mobilisées, ses conséquences pour les clients et les règles éventuelles relatives au profilage ou aux décisions automatisées. Tant que l’analyse n’est pas aboutie, l’entreprise ne transmet pas d’export nominatif à un prestataire.
En parallèle, elle peut étudier des statistiques réellement anonymes sur le nombre de locations par catégorie d’instrument. Remplacer les noms par des numéros ne rend pas automatiquement des données anonymes : si l’entreprise peut réidentifier les personnes au moyen d’une table de correspondance ou d’autres informations, il s’agit encore de données personnelles. L’anonymisation doit être évaluée au regard des moyens raisonnablement disponibles pour retrouver les personnes.
La base légale doit aussi s’articuler avec les autres obligations du règlement. Elle ne supprime ni la minimisation des données, ni la limitation de conservation, ni les exigences de sécurité. Si des catégories particulières de données sont traitées, l’article 9 doit également être vérifié. La notice d’information doit préciser les finalités et la base juridique conformément aux articles 13 ou 14, selon que les données sont recueillies directement auprès de la personne ou non.
L’article 30 n’énumère pas la base légale parmi les informations expressément requises dans le registre des activités. La documenter reste toutefois une manière utile de démontrer le respect du principe de responsabilité prévu à l’article 5(2). Il s’agit de distinguer l’obligation juridique de licéité de la forme choisie pour en garder la preuve : fiche de traitement, analyse d’intérêt légitime, référence au texte applicable ou trace du consentement.
Lorsqu’un témoignage publié sur le site est retiré, l’équipe doit vérifier les emplacements sous son contrôle, y compris une campagne planifiée qui reprendrait le texte. Elle peut garder une preuve limitée de la demande et de son traitement, mais ne doit pas continuer la publication en rebaptisant après coup le fondement « intérêt légitime ». Modifier l’étiquette ne régularise pas rétroactivement une opération dépourvue de base valable.
Une fiche de décision bien tenue relie chaque usage à sa finalité, à ses données, à sa base et aux mesures opérationnelles associées. Elle permet aux équipes produit, marketing et juridique de travailler sur les mêmes faits avant la mise en production. C’est ce passage de la règle au processus qui rend la conformité praticable.
Avant de lancer un formulaire, une campagne ou une automatisation, une vérification courte peut éviter bien des reprises : identifier la finalité, choisir la base correspondante, tester sa nécessité, préparer l’information et prévoir comment traiter les droits. Le point de contrôle décisif reste la cohérence entre ce qui est annoncé et ce que l’outil fait réellement.
L’article 6 du RGPD impose-t-il une hiérarchie entre les six bases légales ?
Non. Il n’existe pas d’ordre général imposant de choisir d’abord le consentement ou une autre base. Le responsable doit retenir, pour chaque finalité, le fondement dont les conditions correspondent réellement au traitement et pouvoir le justifier.
Peut-on invoquer le contrat pour toute donnée demandée à un client ?
Non. Le traitement doit être objectivement nécessaire à l’exécution du contrat ou à une mesure précontractuelle demandée par la personne. Inscrire une collecte dans les conditions générales ne suffit pas à démontrer cette nécessité.
Un consentement peut-il être remplacé par l’intérêt légitime après son retrait ?
Non, pas pour poursuivre automatiquement le même usage après le retrait. Il faut respecter les conséquences du choix annoncé et examiner séparément tout projet futur. Changer le nom de la base ne rend pas licites les opérations déjà réalisées sans fondement valable.
Une entreprise peut-elle invoquer l’obligation légale sur demande d’un client ?
Pas sur cette seule base. L’obligation légale suppose une règle de droit qui s’impose au responsable. Un contrat, une préférence commerciale ou une politique interne ne constituent pas, à eux seuls, une telle obligation au sens de l’article 6(1)(c).
