Qu'est-ce qu'une base légale au sens du RGPD ?

Une base légale est la justification juridique qui autorise une finalité précise de traitement. L'article 6 du RGPD en prévoit six. L'organisation doit choisir celle dont les conditions correspondent aux faits avant de traiter les données, puis conserver un raisonnement vérifiable au lieu de sélectionner la base la plus commode.

Le consentement est-il toujours la base la plus sûre ?

Non. Un consentement n'est valable que s'il est libre, spécifique, éclairé et univoque, et s'il peut être retiré aussi facilement qu'il a été donné. Lorsqu'un contrat, une obligation légale ou une mission publique explique réellement le traitement, le consentement peut au contraire créer une promesse impossible à tenir.

Peut-on changer de base légale après la collecte ?

Un changement opportuniste est difficile à défendre, notamment si les personnes ont reçu une information différente. Une évolution réelle de la finalité impose une nouvelle analyse de compatibilité, une information mise à jour et, selon les faits, un autre fondement. Le dossier doit expliquer la chronologie et non réécrire rétroactivement la décision initiale.

L'intérêt légitime dispense-t-il d'une mise en balance ?

Non dans l'Union européenne. L'article 6, paragraphe 1, point f), exige un intérêt déterminé, la nécessité du traitement et une mise en balance avec les intérêts, droits et libertés des personnes. Le droit britannique actuel connaît une route supplémentaire pour certains objets spécifiés, mais elle n'existe pas dans le RGPD de l'Union.

Une base de l'article 6 suffit-elle pour des données sensibles ?

Non. Le responsable doit d'abord disposer d'une base de l'article 6, puis satisfaire l'une des conditions distinctes de l'article 9 pour les catégories particulières de données. Les données relatives aux condamnations pénales et aux infractions relèvent encore d'une couche séparée prévue par l'article 10.

Base légale RGPD : choisir le fondement adapté au traitement

Une base légale RGPD n'est pas une étiquette ajoutée au registre une fois le projet lancé. Elle relie une finalité déterminée à l'une des six justifications prévues par l'article 6 du règlement (UE) 2016/679 et conditionne l'information, les droits ainsi que la durée du traitement ¹.

Réponse rapide — La base légale RGPD est le fondement qui autorise un traitement poursuivant une finalité précise. L'Union européenne en prévoit six : consentement, contrat, obligation légale, sauvegarde des intérêts vitaux, mission d'intérêt public et intérêts légitimes. Le choix dépend des faits, doit précéder le traitement et doit rester documenté.

Dernière mise à jour : 26 août 2026.

Six voies qui imposent six raisonnements différents

L'article 6 prévoit six voies, mais aucune n'autorise l'organisation à traiter des données « au cas où ». Le point de départ reste toujours une finalité explicite, un périmètre nécessaire et une relation réelle avec la personne concernée.

Base de l'article 6	Quand elle peut correspondre aux faits	Question de contrôle
Consentement	La personne dispose d'un choix véritable, reçoit une information précise et peut retirer son accord sans subir de préjudice.	Le service resterait-il accessible si elle refusait une utilisation non nécessaire de ses données ?
Contrat	Le traitement est objectivement nécessaire pour exécuter un contrat avec la personne ou prendre, à sa demande, des mesures précontractuelles.	Pourrait-on fournir la prestation promise sans cette opération particulière ?
Obligation légale	Une règle du droit de l'Union ou du droit d'un État membre impose l'opération au responsable du traitement.	Le texte applicable désigne-t-il réellement cette organisation et cette conservation ou transmission ?
Sauvegarde des intérêts vitaux	Le traitement protège un intérêt essentiel à la vie d'une personne et aucune voie moins exceptionnelle ne répond à l'urgence.	Existe-t-il un danger concret et immédiat, plutôt qu'un simple avantage général ?
Mission d'intérêt public	Une mission ou l'exercice de l'autorité publique repose sur le droit de l'Union ou d'un État membre.	Le mandat juridique définit-il la mission et permet-il le traitement envisagé ?
Intérêts légitimes	Un intérêt licite et déterminé nécessite le traitement, sans que les droits et libertés de la personne prévalent.	Le test de finalité, de nécessité et de mise en balance reste-t-il favorable compte tenu des attentes raisonnables ?

Le contrat ne couvre donc pas tout ce qu'une entreprise a écrit dans ses conditions générales. De même, une obligation légale ne naît pas d'une préférence interne et une mission publique ne se déduit pas de l'utilité sociale d'un service. Les intérêts légitimes exigent, dans l'Union, les trois étapes complètes confirmées par les lignes directrices européennes : intérêt poursuivi, nécessité, puis mise en balance ³.

La finalité précède la base

La question utile n'est pas « quelle base préférons-nous ? », mais « pourquoi cette opération existe-t-elle ? ». Envoyer une facture, prévenir une fraude et proposer une offre à un ancien client sont trois finalités différentes, même si elles utilisent la même adresse électronique.

Pour chaque opération, formulez d'abord le résultat attendu sans citer de base juridique. Décrivez ensuite les données, les personnes, les destinataires, la durée, le canal et la conséquence d'un refus. Cette fiche révèle souvent qu'un projet apparemment unique contient plusieurs traitements : le paiement peut relever du contrat, une conservation comptable d'une obligation légale et une prospection d'un intérêt légitime ou du consentement selon le canal et les règles nationales mettant en œuvre la directive ePrivacy ⁵.

Le fondement doit être fixé avant le début du traitement et annoncé de façon intelligible. Si la finalité change réellement, reprenez l'analyse de compatibilité, vérifiez le nouveau fondement et actualisez l'information. Il ne suffit pas de remplacer une mention dans le registre pour légitimer rétroactivement une opération déjà accomplie.

Prenons un service de livraison qui souhaite réutiliser les numéros de téléphone pour une enquête de satisfaction. La remise du colis peut relever du contrat, mais cette sollicitation ultérieure n'est pas nécessaire à son exécution : l'équipe analyse séparément la finalité, le canal, les attentes et la base, puis empêche l'outil d'importer automatiquement chaque ancien client sans décision. Ce découpage protège aussi l'information, car une personne comprend mieux deux usages précis qu'une formule générale couvrant toute la relation client.

Consentement et intérêts légitimes ne sont pas interchangeables

Le consentement convient lorsqu'un choix autonome fait partie de la conception. Il suppose une action positive, des finalités séparées lorsque cela est nécessaire et une preuve de ce qui a été accepté. Son retrait n'annule pas le traitement passé, mais il arrête les opérations futures qui ne disposent d'aucune autre justification ². Prévoir le retrait dès l'écran de collecte évite de conserver un consentement impossible à exercer.

Les intérêts légitimes conviennent seulement si l'organisation peut nommer un intérêt licite, montrer que le traitement est nécessaire et expliquer pourquoi les effets sur les personnes ne l'emportent pas. Les attentes raisonnables, la nature des données, la vulnérabilité, l'ampleur, les garanties et la facilité d'opposition appartiennent à cette mise en balance. L'arrêt C-621/22 confirme qu'un intérêt commercial peut être légitime sans devenir automatiquement prépondérant ⁴.

Le droit britannique actuel comporte une septième voie pour certains objets spécifiés, souvent appelée intérêt légitime reconnu, où la mise en balance est écartée tandis que la nécessité demeure. Cette divergence n'existe pas dans l'Union européenne : une organisation appliquant le RGPD de l'Union doit réaliser la mise en balance pour toute invocation de l'article 6, paragraphe 1, point f).

Pour trancher, le propriétaire du traitement écrit ce qui se passe dans les deux branches. Si la personne refuse ou retire son consentement, l'opération doit pouvoir s'arrêter sans dégrader la prestation qui n'en dépend pas ; si cette interruption est impossible parce que l'opération répond réellement à un besoin indépendant, présenter un choix serait trompeur. À l'inverse, l'intérêt légitime ne convient pas lorsque l'organisation veut que la décision de la personne soit précisément la condition de démarrage.

Le dossier conserve des preuves différentes. Pour le consentement, il relie la version de l'information, les finalités, l'action positive, la date et la propagation du retrait. Pour les intérêts légitimes, il montre l'intérêt poursuivi, les solutions moins intrusives étudiées, les attentes raisonnables, les effets possibles, les garanties, l'opposition et l'approbation du test. Une conclusion préremplie ou une case « balance favorable » ne permet pas de reproduire le raisonnement.

Testez enfin la branche négative dans les systèmes : un refus ne doit créer ni relance cachée ni profil parallèle, et une opposition à la prospection directe doit arrêter les prochains envois. Le responsable du traitement attribue chaque signal, fixe un délai de propagation chez les destinataires et conserve un échantillon prouvant que l'état juridique correspond à l'état technique.

Enfin, la base légale ne remplace jamais les règles du canal. Un courriel, un traceur ou une prospection téléphonique peut rester soumis à la directive ePrivacy et à sa mise en œuvre nationale, même lorsque le traitement sous-jacent dispose d'un fondement au titre du RGPD.

Les données sensibles exigent une condition supplémentaire

Une base de l'article 6 ne suffit pas pour les catégories particulières de données. Si un système traite, par exemple, un diagnostic médical transmis au service des ressources humaines, le responsable doit identifier à la fois la base générale et une condition distincte de l'article 9 ¹. Cette seconde condition ne répare pas une finalité vague ni une collecte excessive.

Les données relatives aux condamnations pénales et aux infractions suivent encore une autre règle, celle de l'article 10. Inscrivez les deux couches dans le dossier, avec le texte précis qui les soutient, afin qu'une personne relisant la décision ne confonde pas autorisation du traitement et protection renforcée de la donnée.

Le fondement modifie les droits autour du traitement

Le choix produit des conséquences opérationnelles. Une personne peut retirer son consentement ; elle peut s'opposer à un traitement fondé sur les intérêts légitimes ou une mission publique ; le droit à la portabilité vise certains traitements automatisés fondés sur le consentement ou le contrat. L'organisation doit donc acheminer la demande vers la bonne équipe et interrompre les opérations concernées au bon moment.

Les droits ne remplacent toutefois pas l'analyse initiale. Une opposition à la prospection directe doit arrêter cette prospection, tandis qu'une opposition à un autre intérêt légitime appelle l'examen des motifs impérieux éventuels. Décrivez ces branches dans la procédure avant la première demande réelle, et non après qu'une boîte générique a reçu un message urgent.

Transformer le choix en décision réutilisable

Un registre utile permet à un collègue de comprendre et d'exécuter la décision sans en deviner les prémisses. Une ligne portant seulement « intérêt légitime » ne montre ni la finalité, ni la nécessité, ni les protections promises.

Élément du dossier	Ce qu'il doit établir	Preuve opérationnelle attendue
Finalité	Le résultat précis poursuivi, séparé des usages voisins.	Une formulation identique dans le registre et l'information remise aux personnes.
Opération et données	Les actions réalisées et les données strictement nécessaires.	Un flux relié aux systèmes, fournisseurs et destinataires réels.
Base de l'article 6	La voie choisie et les faits satisfaisant chacune de ses conditions.	Le contrat, le texte obligatoire, le mandat ou le test complet correspondant.
Couche supplémentaire	L'article 9, l'article 10 ou la règle ePrivacy applicable.	La condition exacte et les garanties qui permettent de l'appliquer.
Droits et signaux	Les retraits, oppositions ou autres demandes qui changent l'opération.	Une consigne, un responsable et un délai reliés au canal d'entrée.
Durée et révision	Le déclencheur de conservation et les événements qui imposent une nouvelle analyse.	Une date calculable, un contrôle périodique et un journal des changements.
Validation	La personne responsable de la décision et les réserves encore ouvertes.	Une version datée, approuvée et accessible aux équipes qui exploitent le traitement.

Relisez ce dossier lorsqu'une finalité, une source de données, un destinataire, une technologie ou une règle applicable change. Le responsable de traitement reste redevable de la cohérence entre le document et les systèmes réels ; un formulaire ancien ne constitue pas une démonstration ¹.

En France, la Commission nationale de l'informatique et des libertés (CNIL) est l'autorité à contacter pour les questions relevant de sa compétence. Ce lien sert à orienter le lecteur ; les affirmations communes de cette page reposent exclusivement sur le droit et les orientations de l'Union européenne cités dans les sources.