Article 6 RGPD : Les 6 Fondements Légaux de Licéité

1. Les 6 Fondements Légaux de Licéité (Art. 6.1)

Pour qu'un traitement de données à caractère personnel soit licite au regard du droit de l'Union, le responsable du traitement doit démontrer qu'il repose sur au moins l'une des six bases légales alternatives prévues à l'Article 6(1) :

• a) Consentement valide (Art. 6.1.a & Art. 7) : La personne concernée donne son accord libre, spécifique, éclairé et univoque. Le consentement doit pouvoir être retiré à tout moment aussi facilement qu'il a été donné. Des dispositions spécifiques peuvent exiger un consentement explicite, notamment l'Article 9(2)(a) pour les catégories particulières de données et l'Article 49(1)(a) pour les transferts internationaux dérogatoires.
• b) Exécution d'un contrat (Art. 6.1.b) : Le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à sa demande.
• c) Obligation légale (Art. 6.1.c) : Le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis en vertu du droit de l'Union ou du droit de l'État membre (ex: déclarations fiscales, facturation, droit social).
• d) Sauvegarde des intérêts vitaux (Art. 6.1.d) : Le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique (urgences médicales, catastrophes humanitaires ou naturelles).
• e) Mission d'intérêt public / Autorité publique (Art. 6.1.e) : Le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relève de l'exercice de l'autorité publique dont est investi le responsable (base de référence du secteur public).
• f) Intérêt légitime (Art. 6.1.f) : Le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée (inapplicable aux autorités publiques dans l'exercice de leurs missions).

2. Démarche d'Accountability & Choix de la Base Légale

La base légale doit être déterminée en amont et documentée au titre de l'accountability. La consigner dans le registre des activités de traitement (Art. 30) constitue une bonne pratique de gouvernance utile.

Concernant l'intérêt légitime (Art. 6.1.f), la Cour de Justice de l'UE a confirmé dans son arrêt CJUE C-621/22 KNLTB qu'un intérêt commercial n'est pas exclu par principe, mais que l'Article 6(1)(f) ne peut pas servir de base légale au traitement si la condition de stricte nécessité n'est pas satisfaite ou si la mise en balance lèse les droits fondamentaux des personnes concernées.

Sur le terrain opérationnel, le traitement de données particulièrement révélatrices — telles que les données de localisation — exige un fondement juridique autonome, explicite et rigoureusement documenté : une organisation ne peut prétendre asseoir ces collectes sur une base imprécise ou détournée lorsque les personnes concernées ne peuvent raisonnablement en appréhender la portée (décision DPC Irlande du 21 septembre 2026, Google Ireland).

Lunettes connectées — déclaration officielle du CEPD (13 octobre 2026)

La base de l’article 6 doit être appréciée avant et pendant chaque traitement. Un consentement recueilli après la captation ne régularise pas celle-ci ; l’intérêt légitime exige une mise en balance contextualisée, particulièrement délicate pour des tiers non informés et l’entraînement d’IA (§§ 27–30).

• Apprécier les garanties au regard des usages et des personnes concernées.

Déclaration adoptée, orientations préliminaires : aucune obligation nouvelle autonome.

Sources Officielles Vérifiées

Micro-Outils Opérationnels Associés

Voir aussi dans le Référentiel