Comment choisir la base légale d'un traitement ?
En bref
Chaque usage de données personnelles doit reposer sur une base légale, c'est-à-dire une justification prévue par le RGPD. Les plus courantes sont le consentement, l'exécution d'un contrat, le respect d'une obligation légale et l'intérêt légitime. Le choix se fait usage par usage, avant la collecte, et il ne se change pas en cours de route : il conditionne les droits des personnes.
Le RGPD ne demande pas seulement de traiter les données correctement : il demande d'abord d'avoir le droit de les traiter. C'est le rôle de la base légale, la justification sur laquelle repose chaque usage. Sans elle, le traitement n'est pas licite, même s'il est utile. Cet article donne des repères généraux et ne constitue pas un conseil juridique.
Une base légale par usage, pas par fichier
Le raisonnement se fait par finalité, c'est-à-dire par objectif poursuivi. Un même fichier de clients peut servir à plusieurs choses, et chaque objectif a sa propre base légale. Répondre à une demande de devis, facturer une prestation et envoyer une lettre d'information ne reposent pas sur la même justification, même si les adresses e-mail sont les mêmes.
Les bases légales les plus utilisées
| Base légale | Ce qu'elle signifie | Exemple en entreprise |
|---|---|---|
| Consentement | La personne a dit oui, librement, pour un usage précis, et peut revenir sur son accord. | Inscription à une lettre d'information, dépôt d'un traceur publicitaire. |
| Contrat | Le traitement est nécessaire à un contrat en cours ou aux démarches qui le précèdent. | Livrer une commande, créer un accès à un espace client, établir un devis demandé. |
| Obligation légale | Un texte impose de traiter ces données. | Conserver les pièces comptables, établir les déclarations sociales. |
| Intérêt légitime | Vous avez un intérêt réel qui ne porte pas une atteinte disproportionnée aux personnes. | Sécuriser un site, prévenir la fraude, gérer une relation client existante. |
| Mission d'intérêt public | Le traitement relève d'une mission confiée par les textes. | Rare pour une entreprise privée. |
| Sauvegarde des intérêts vitaux | La vie ou l'intégrité d'une personne est en jeu. | Situation d'urgence exceptionnelle. |
Comment choisir, concrètement
- Écrivez l'objectif en une phrase : « envoyer chaque mois une actualité aux personnes inscrites ».
- Demandez-vous si le traitement est indispensable à un contrat ou aux démarches qui le préparent. Si oui, la base contractuelle s'impose naturellement.
- Vérifiez s'il existe une obligation imposée par un texte. Dans ce cas, le consentement n'a pas de sens : la personne ne peut pas s'y opposer.
- À défaut, examinez l'intérêt légitime, en pesant votre intérêt et les attentes raisonnables des personnes.
- Réservez le consentement aux usages qui ne sont pas nécessaires, comme la prospection ou les traceurs non essentiels.
- Notez la base retenue dans votre registre des traitements, avec la raison du choix.
L'intérêt légitime demande un examen écrit
Cette base est souple, ce qui la rend tentante. Elle suppose en contrepartie une mise en balance que vous devez pouvoir présenter. Trois questions la structurent :
- L'intérêt est-il réel et précis ? « Améliorer nos services » ne suffit pas.
- Le traitement est-il nécessaire ? Un moyen moins intrusif atteindrait-il le même but ?
- Les personnes s'y attendent-elles ? Un client existant s'attend à recevoir un suivi de commande, beaucoup moins à voir ses habitudes analysées en détail.
Cette base ne convient jamais aux traitements pour lesquels les textes exigent un accord préalable, comme certains traceurs. Elle s'accompagne toujours d'un droit d'opposition simple à exercer.
Les erreurs qui reviennent le plus souvent
- Tout fonder sur le consentement : une case à cocher pour facturer une commande laisse croire qu'un refus est possible, alors qu'il ne l'est pas.
- Changer de base en cours de route quand la première devient gênante, par exemple après un retrait de consentement.
- Un consentement groupé qui couvre à la fois la commande, la prospection et le partage avec des partenaires.
- Une base annoncée qui ne correspond pas à celle décrite dans la politique de confidentialité.
Le choix de la base légale a des conséquences directes : selon les cas, la personne peut retirer son accord, s'opposer, ou demander la portabilité de ses données. En cas de doute, reportez-vous aux fiches de la CNIL. NexSecure vous aide à documenter ces choix dans le cadre de son offre de conformité RGPD.
Questions fréquentes
Peut-on utiliser plusieurs bases légales pour un même usage ?
Non. Chaque finalité repose sur une seule base légale, choisie avant la collecte. Un même fichier peut en revanche servir plusieurs finalités, chacune avec la sienne.
Le consentement est-il la base la plus sûre ?
Pas nécessairement. Il doit être libre, éclairé, spécifique et révocable à tout moment. S'il est mal placé, il fragilise le traitement, car un retrait vous oblige à cesser l'usage concerné.
Qu'est-ce qu'un intérêt légitime valable ?
Un intérêt réel, précis et actuel, poursuivi par un moyen nécessaire, qui ne porte pas une atteinte disproportionnée aux personnes. La mise en balance doit être écrite et pouvoir être présentée sur demande.
Où indiquer la base légale retenue ?
Dans le registre des traitements, pour la traçabilité interne, et dans l'information donnée aux personnes, généralement la politique de confidentialité. Les deux doivent dire la même chose.
Sources
Service lié
Articles liés
Rédigé par l'équipe NexSecure. Responsable de la publication : Yohann Toumine. Dernière mise à jour le 11 septembre 2026.
Une question sur votre situation ? Parler de votre projet