Les 6 bases légales (Art. 6.1)
Les 6 Bases Légales Fondamentales (Art. 6.1)
L'Article 6 du RGPD établit une liste exhaustive de six bases légales. Un traitement n'est licite que s'il repose sur au moins l'une d'entre elles. Cette identification est la première étape absolue de toute conformité.
| Base légale | Condition clé | Exemple typique |
|---|---|---|
| Consentement (a) | Acte positif, libre, spécifique, éclairé et univoque. | Newsletter commerciale. |
| Contrat (b) | Strictement nécessaire à l'exécution ou aux mesures précontractuelles. | Livraison d'une commande. |
| Obligation légale (c) | Imposée par le droit de l'UE ou de l'État membre. | Déclaration fiscale. |
| Intérêts vitaux (d) | Sauvegarde de la vie d'une personne. | Urgences médicales (si incapable). |
| Mission publique (e) | Nécessaire à une mission d'intérêt public. | Collecte des impôts. |
| Intérêt légitime (f) | Ne prévaut pas sur les droits et libertés de la personne (Test LIA). | Prévention de la fraude. |
L'exigence de stricte nécessité
Les bases légales liées au contrat, à l'obligation légale, à l'intérêt vital et à la mission d'intérêt public exigent que le traitement soit nécessaire. Si l'objectif peut être atteint par des moyens moins intrusifs, la base légale n'est pas valide.
L'illusion du choix
Le CEPD souligne qu'une organisation ne "choisit" pas sa base légale comme dans un menu. Elle doit procéder à une analyse juridique pour déterminer celle qui est intrinsèquement appropriée. En cas d'erreur initiale, il est interdit de basculer vers une autre base (par exemple, passer du consentement à l'intérêt légitime après un retrait).
"Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie..."
— Article 6.1 du RGPD