RGPD : Comment choisir sa base légale ?

Comme nous l’expliquions dans cet article, la base légale d’un traitement, aussi appelée « licéité » ou « fondement juridique », est exposée à l’article 6 ¹ du Règlement Général sur la Protection des Données. La CNIL définit la base légale comme « ce qui autorise légalement la mise en œuvre d’un traitement, ce qui donne le droit à un organisme de collecter ou d’utiliser des données personnelles », en respectant les règles en matière de protection de la vie privée et des données personnelles. 

Pour être considéré comme licite, un traitement de données personnelles doit reposer sur l’une des six bases légales exposées par le RGPD : 

• Le consentement de la personne concernée 

• Le contrat auquel la personne concernée est partie, ou l’exécution de mesures précontractuelles prises à la demande de la personne concernée 

• L’obligation légale à laquelle est soumis le responsable de traitement 

• La sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique 

• L’exécution d’une mission d’intérêt public 

• Les intérêts légitimes poursuivis par les responsables de traitement ou par un tiers 

Chacune des finalités pour lesquelles vous traitez des données doit reposer sur une base légale. Mais comment choisir la base légale adéquate ? 

Selon la CNIL (Commission Nationale de l’Informatique et des Libertés), le choix de la base légale est une « opération décisive », à réaliser avant la mise en œuvre du traitement. Dans certains cas, plusieurs bases légales peuvent s’avérer appropriées pour une même finalité, mais il faut en retenir une seule. 

Voici quelques questions pour vous guider : 

• Un texte législatif ou réglementaire vous impose-t-il de réaliser le traitement ?
  • Si oui, retenez la base de l’obligation légale. Par exemple, le Code du travail impose à un employeur d’éditer les bulletins de paie. 
• Existe-t-il un contrat ou futur contrat avec la personne concernée ?
  • Si oui, retenez la base du contrat. Par exemple, traiter l’adresse d’un client pour lui envoyer une commande se fera dans le cadre du contrat existant. 
• Votre entité a-t-elle un intérêt légitime à traiter les données ?
  • Si oui, retenez la base de l’intérêt légitime. Par exemple, la prospection commerciale sur un produit similaire. 
• Le traitement relève-t-il d’une mission d’intérêt public ?
  • Si oui, retenez la base de la mission d’intérêt public. Par exemple, un recensement national. 
• Le traitement protège-t-il les intérêts vitaux d’une personne incapable de consentir ?
  • Si oui, retenez la base de la sauvegarde des intérêts vitaux. Par exemple, les services de secours utilisant des données pour protéger une victime d’accident.
• Pouvez-vous collecter le consentement de la personne concernée ?
  • Le consentement doit être libre, spécifique, éclairé et univoque pour être valide. 

Vous pouvez également vous appuyer sur les publications de la CNIL ou sur les traitements types proposés par défaut dans EQS Privacy Cockpit pour vous guider. 

À noter : le choix de la base légale conditionne les droits et libertés des personnes concernées.